Forum inaccessibile

Printable View

24-03-2009, 15.49.59

Forum inaccessibile [attacco hacker smf]

Salve,sono un moderatore del forum(li' mi chiamo nfscarbon4 :P) http://saintseiyags.altervista.org/index.php .E' da circa una mezz'ora che il sito risulta inaccessibile restituendomi una serie di errori (qui in basso) .Da cosa può dipendere ciò?Grazie anticipatamente.

Citazione:

Notice: Undefined variable: sourcedir in /membri/saintseiyags/index.php on line 54

Warning: main() [function.main]: open_basedir restriction in effect. File(/QueryString.php) is not within the allowed path(s): (/membri) in /membri/saintseiyags/index.php on line 54

Warning: main(/QueryString.php) [function.main]: failed to open stream: Operation not permitted in /membri/saintseiyags/index.php on line 54

Fatal error: main() [function.require]: Failed opening required '/QueryString.php' (include_path='.:') in /membri/saintseiyags/index.php on line 54
24-03-2009, 16.35.17
silvermaledetto

la prima cosa che mi sovviene sarebbe quella di sovrascrivere con quella di un recente backup sicuramente funzionante la cartella
index.php
sembra addirittura che manchi!
24-03-2009, 16.48.20
darkwolf

Vedo che usate smf 1.1.8 ma c'è la "vecchia" shoutbox.
Assicurati sia correttamente patchata (è a rischio xss).
-
Leggi qui: http://www.smitalia.net/community/in...ic,3856.0.html
24-03-2009, 17.03.13
saintseiyags

Sono l'admin del sito, problema risolto, ed era nel file setting.php che qualcuno entrando fraudolentamente nel mio account di altervista me lo aveva completamente editato facendolo risultare vuoto. la "vecchia" shoutbox era patchata Darkwolf.
Vi chiedo in virtù di questo se è possibile, magari tramite richiesta apposita, avere l' indirizzo ip di chi si è loggato nella giornata di oggi sul mio account di altervista.
Grazie
24-03-2009, 17.26.29
darkwolf

Assicurati non ci siano file e/o directory strane e cambia la password del tuo account.
Se usi un servizio di statistiche controlla eventuali richieste a url interni anomali.
-
PS: se qualcuno entra non si mette a svuotare il setting.php, fa ben altro :wink:
-
PS: pur essendo stato modificato, sarebbe cortese mantenere un riferimento del template (overview by DzinerStudio) nei crediti del forum (come ho fatto io del resto pur avendolo modificato pesantemente anche nei colori).
24-03-2009, 17.47.37
saintseiyags

Citazione:

Originalmente inviato da darkwolf

Assicurati non ci siano file e/o directory strane e cambia la password del tuo account.

La pass l'ho cambiata però eccetto quel setting.php modificato in data di oggi non mi sembra di aver notato altre anomalie

Citazione:

Se usi un servizio di statistiche controlla eventuali richieste a url interni anomali.

Purtroppo non uso niente del genere l'unica cosa strano che ho notato andando a vedere il log degli errori del forum è stato questo, cioè un visitatore ha tentato di accedere a questo url :

Codice:

http://saintseiyags.altervista.org/index.php?amp;action=quickmod2;topic=837.0 Impossibile verificare l'url di provenienza. Per favore torna indietro e riprova.

Citazione:

PS: se qualcuno entra non si mette a svuotare il setting.php, fa ben altro :wink:

Speriamo non fa altri danni oltre che cambiare pass non so che contromisure prendere onestamente:???:

Citazione:

Originalmente inviato da darkwolf

PS: pur essendo stato modificato, sarebbe cortese mantenere un riferimento del template (overview by DzinerStudio) nei crediti del forum (come ho fatto io del resto pur avendolo modificato pesantemente anche nei colori).

Non avevo messo il link perchè appunto lo avevo modificato anche nelle tabelle, però non è un problema lo rimetto :wink:

Sulla storia degli ip di chi si logga al mio account potete rispondermi? Così anche per rendermi conto se si è trattato di pass rubato anche se ignoro come possano averlo fatto:???:
Grazie a tutti^^
24-03-2009, 18.05.19
darkwolf

Citazione:

Originalmente inviato da saintseiyags

La pass l'ho cambiata però eccetto quel setting.php modificato in data di oggi non mi sembra di aver notato altre anomalie

Purtroppo non uso niente del genere l'unica cosa strano che ho notato andando a vedere il log degli errori del forum è stato questo, cioè un visitatore ha tentato di accedere a questo url :

Codice:

http://saintseiyags.altervista.org/index.php?amp;action=quickmod2;topic=837.0 Impossibile verificare l'url di provenienza. Per favore torna indietro e riprova.

Mi ricorda un vecchio exploit: http://www.simplemachines.org/commun...topic=220443.0
-
Sarebbe bene avere un qualcosa che tenga traccia delle mosse degli utenti (io uso php-stats) :wink:

Citazione:

Originalmente inviato da saintseiyags

Speriamo non fa altri danni oltre che cambiare pass non so che contromisure prendere onestamente:???:

Assicurati che il tuo pc non sia infetto (ad-aware; spyware; virus) :wink:
Cambiare password di altervista e password del forum.
Controllare eventuali file anomali (potenziali shell).

Citazione:

Originalmente inviato da saintseiyags

Non avevo messo il link perchè appunto lo avevo modificato anche nelle tabelle, però non è un problema lo rimetto :wink:

Più che altro è una forma di rispetto verso l'autore :wink:
24-03-2009, 18.15.29
silvermaledetto

Scusate se intervengo: non conosco quel tipo di forum ma se sono intervenuti sull'account altervista accedendo al database il forum ha ben poche colpe.
Poi mi sembra strano che per tener traccia delle mosse degli utenti bisogna implementare delle MOD o altro!

Ma la Board non registra tutti gli accessi con IP relativi?
O io col phpbb3 sono abituato male?

Per la password : meglio crearla articolata e molto lunga per i bruteforce attack
ma poi ci sono metodi molto gentili di procurarsele contro i quali a volte c'è davvero poco da fare.
Aggiornare sempre alle ultime versioni ogni software.... e tanta difesa passiva.
24-03-2009, 18.27.23
darkwolf

Citazione:

Originalmente inviato da silvermaledetto

Scusate se intervengo: non conosco quel tipo di forum ma se sono intervenuti sull'account altervista accedendo al database il forum ha ben poche colpe.
Poi mi sembra strano che per tener traccia delle mosse degli utenti bisogna implementare delle MOD o altro!

Ti consiglierei di provarlo :wink:
Conosco poco phpbb ma fra i due non ho dubbi (sopratutto per la gestione delle MOD) :)
Si anche smf ha una gestione di tracciamento degli utenti e simili ma, con phpstats si ha una visuale migliore a mio parere :wink:
24-03-2009, 18.29.37
saintseiyags

La mia richiesta di indirizzo ip si riferiva alla registrazione dell'ip quando accediamo al nostro account di altervista non quello sul nostro forum ;) smf certo che memorizza gli ip ma oltre quel fatto che ho segnalato poco fa altre anomalie sul forum non le ho riscontrate.
Volevo chiedere a Darkwolf come sia possibile un attacco exploit vecchio se ho comunque una versione smf aggiornata? Inoltre cosa mi consigli di reinstallare il forum da capo?
Grazie ancora.
24-03-2009, 18.33.01
darkwolf

Citazione:

Originalmente inviato da saintseiyags

La mia richiesta di indirizzo ip si riferiva alla registrazione dell'ip quando accediamo al nostro account di altervista non quello sul nostro forum ;) smf certo che memorizza gli ip ma oltre quel fatto che ho segnalato poco fa altre anomalie sul forum non le ho riscontrate.
Volevo chiedere a Darkwolf come sia possibile un attacco exploit vecchio se ho comunque una versione smf aggiornata? Inoltre cosa mi consigli di reinstallare il forum da capo?
Grazie ancora.

Io ricevo attacchi per vecchie versioni di phpbb, ipb, drupal e simili (lo vedo grazie a apache error handler mod), semplicemente ci provano ma non hanno successo (cosa probabilmente avvenuta anche nel tuo forum.)
SMF 1.1.8 non ha bug noti.
24-03-2009, 18.53.16
silvermaledetto

ma non c'è bisogno di exploit se si accede alla root!
E neppure di debolezze della Board.
Comunque per SMF :no grazie! :top:

Il fatto che abbiano solo danneggiato il file setting.php
non è poi così inusuale: ho visto dozzine di phpbb2 in cui cambiavano solo l'index.php
Sono piccole dimostrazioni di forza senza voler arrecare danni particolari.
A volte attaccano interi server :evil:
24-03-2009, 22.35.36
saintseiyags

Citazione:

Originalmente inviato da silvermaledetto

ma non c'è bisogno di exploit se si accede alla root!

Ma come è stato possibile che hanno scoperto la mia pass di altervista? A quanto dici non sono il primo caso. Ma a chi posso richiedere l'indirizzo ip per scoprire chi si è loggato con il mio account di altervista?
Vi ringrazio.
24-03-2009, 23.18.27
Gianluca

Il fatto che quel file fosse vuoto farebbe pensare ad una corruzione del medesimo per qualche motivo, piuttosto che la manomissione di qualcuno.

Pare esistano precedenti e anche un tool per ripristinarlo: http://www.simplemachines.org/commun...topic=206442.0