[PhpBB] Aiuto per la sicurezza - Attacchi

[stylennstilo]

Ciao, utilizzo phpbb da circa 5 anni semplicemente come forum personale, fondamentalmente per il fantacalcio, quindi non pubblicizzato nè nulla.

Dopo 2 mesi che non lo utilizzavo (pausa estiva campiopnato) ho notato che dai 18 utenti registrati il contatore era passato a oltre 6000. Con tantissimi compleanni..
La registrazione del nuovo utente era senza approvazione dell'amministratore (cioè io) nè con email.
Aggiorno il forum dalla versione 3.0.3 alla 3.0.9.

Ho cancellato tutti gli oltre 6000 utenti, lasciando i famosi 18, ho impostato la conferma dell'amministratore e stop. A quel punto mi contatta Aruba dicendomi che il file ucp.php contiene uno script di phishing, e mi esorta a rimuoverlo immediatamente.

Rimuovo la pagina incriminata che serve, a quanto pare, al logout utente e la sostituisco con il file di backup che avevo.

Imposto i permessi del forum per gli ospiti in modo che non vedano nessun topic/post etc.
Da quel momento ho sempre connessi 2/3 ospiti con ip tedeschi o americani, che si iscrivono o che navigano nel pannello utente. Sono costretto ad eliminarli dalla lista "attesa di approvazione".

Cosa rischio? C'è un bug nel forum? Perchè questo spam in un forum privato?
Chiedo qualche info in più per capire meglio la situazione.

Grazie.

[dierre]

Ma perché di solito son dei crawler che semplicemente riconosco la versione bacata di un bulletin board e l'attaccano. Certo che se sono riusciti a sostituirti un file la cosa è molto grave.

[stylennstilo]

Tra l'altro ho scoperto che stanno mandando email a raffica dall'indirizzo dell'amministratore a tutte le 18 mail dei miei 18 contatti. Ho cambiato tutti gli indirizzi email dei contatti.

Se vado a vedere "chi c'è in linea" trovo i solo "ospiti connessi" e fanno le seguenti operazioni:


Indice
Sta utilizzando il pannello di controllo utente
Sta visualizzando il profilo di un iscritto


Come fa a fare quest'ultima operazione se non è registrato? Entra come amministratore?

[dierre]

ti consiglio di chiedere qui: http://www.phpbbitalia.net/

cmq io proverei ad eliminare tutti i file ed a rimettere un'istallazione pulita, poi basta che editi il file di configurazione con i dati esatti del db. Però così, te lo dico ad orecchio senza aver usato phpBB.

[stylennstilo]

Originariamente inviato da dierre

ti consiglio di chiedere qui: http://www.phpbbitalia.net/

cmq io proverei ad eliminare tutti i file ed a rimettere un'istallazione pulita, poi basta che editi il file di configurazione con i dati esatti del db. Però così, te lo dico ad orecchio senza aver usato phpBB.

MA se banno gli ip "ospiti" che vedo connessi al forum? E' inutile utilizzano delle shell?

[dierre]

Originariamente inviato da stylennstilo

MA se banno gli ip "ospiti" che vedo connessi al forum? E' inutile utilizzano delle shell?

Beh, se hai messo l'autorizzazione admin ed entrano lo stesso, non vedo alternative.

[stylennstilo]

Pare si sia risolto non ci sono più "ospiti connessi". Questo da quando ho bloccato le iscrizioni, le abiliterò nuovamente quando dovrò aggiungere qualche utente.. Grazie cmq.