Sicherheitsproblem bei phpBB 2.0.0

Kettu · Beitrag von **Kettu** » 25.05.2003 23:57

Hey, wir hatten gerade in einem befreundeten Board den Fall, dass es blitzblautz gehackt wurde ... da war auf einmal jemand anderes Admin und hat alles durcheinander gewürfelt

Ich hab aber keine Ahnung wie!
Kann man das verhindern? Und wie ist das bei phpBB 2.0.4?

Beitrag von **Chaze** » 26.05.2003 09:38

Kann man das verhindern?

Komplett wirst Du das nie verhindern können, leider

Du solltest jedoch auf jeden Fall auf die 2.0.4 Updaten, da seit der 2.0.0 einige Updates in Sachen Sicherheit eingeflossen sind.

Kettu · Beitrag von **Kettu** » 31.05.2003 22:36

Ich selbst hab 2.0.4, aber mein Kumpel nicht. _Und sein Prob ist, dass er extrem viele Mods installiert hat, da ist das mit dem Update ziemlich schwierig!!!
Den Admin-Bereich kann man ja mit htaccess sichern, aber irgendwie gibt es immer noch einen zugang zu den nutzer-accounts. Macht sich schlecht, wenn auf einmal ein Fremder "im Namen" des Admins (oder eines anderen Users) postet und auch seine Zugriffsrechte (bis auf Admin-Area wegen htaccess) hat

Beitrag von **Chaze** » 01.06.2003 10:57

Dann scheint eher die Datenbank gehackt worden zu sein. Achte auf jeden Fall darauf, dass die config.php nicht mehr als CHMOD 644 hat. Ändere als erste Maßahmen alle Passwörter, die Zugang zu Server und zur Datenbank gewähren, sowie alle Admin und Moderatoren Paßwörter.

Zusätzlich zum Admin-Bereich solltest Du auch die Ordner /db und /includes per .htaccess schützen.
Und last but not least: Unbedingt auf 2.0.4 updaten.
Desweiteren solltest Du beachten: Jeder Mod ist ein potentzielles Sicherheitsrisiko!

Kettu · Beitrag von **Kettu** » 11.06.2003 13:42

Mittlerweil haben wir herausgefunden, dass schlicht und einfach Benutzerpasswörter gehackt worden sind. Es gibt da wohl so ein komisches Programm, mit dem man die austesten kann. Meine Leute haben da jetzt einfach eingebaut, dass nach dem 3. falsch eingegebenen PW der account gesperrt wird, und erst wieder vom Admin freigeschaltet werden muss.

The Lord of Programming · Beitrag von **The Lord of Programming** » 18.07.2003 14:31

Kettu hat geschrieben:Meine Leute haben da jetzt einfach eingebaut, dass nach dem 3. falsch eingegebenen PW der account gesperrt wird, und erst wieder vom Admin freigeschaltet werden muss.

Wie geht das? Ist das Standardmäßig im Adminmenü? Wenn ja, wo?

Beitrag von **Henne** » 18.07.2003 14:55

http://mods.db9.dk/viewforum.php?f=43