On Wednesday 20 April 2005 23:00, yotis wrote: > eu ce crezi ca am patit :)) > si toate astea din cauza ca sfatul meu catre utilizatori cu privire la > phpBB nu a fost luat in considerare. > am patit-o si mai demult cu el si m-am invatat minte > pana acum toate versiunile phpBB au fost foarte vulnerabile.
Daca e neaparat sa folosesti PhpBB, atunci ai putea sa pui niste patch-uri in kernel (gen grsec) sau sa rulezi apache in chroot. Eu am testat acum cativa ani un exploit de ftp. Initial, rezultatul a fost un shell. Apoi, dupa grsec in kernel, nu a mai functionat exploitul. Mai era si o librarie, libsafe, dar tocmai a fost descoperita o modalitate de evitare :( George > > Vasiliu George wrote: > >On Wednesday 20 April 2005 22:45, yotis wrote: > >>Salut. > >>Pai cam ce ar fi de securizat? > >>Utilizatorul vine si isi uploadeaza scriptul phpBB (care vine din > >>"fabrica" vulnerabil). > >>Eu ce as putea sa fac ...sa urmaresc zilnic fiecare utilizator ce > >>uploadeaza, si in cazul in care descopar ca uploadeaza ceva vulnerabil > >>sa il sterg? sau si mai distractiv sa il patch-uiesc?Si nu vb despre 10 > >>utilizatori aici. > >>Dupa un utilizator care face upload la un script vulnerabil au de > >>suferit si ceilalti in cazul unui atac. > > > >Salut! > > > >Nu vreau sa te dezamagesc, dar un prieten a patit-o pe un FC3 (zicea el > >*sigur*). Atacatorul a folosit un exploit de PHPBB pentru a rula comenzi > > pe server, apoi a folosit un exploit de kernel (rulat din user-ul nobody, > > dupa care rootkit... si asa mai departe. > > > >George > > > >>Poate nu m-am exprimat destul de bine, serverul este securizat, dar ce > >>sa fac in cazul unor scripturi vulnerabile pe care le pune chiar > >>utilizatorul sus? > >>Multumesc. > >> > >>Ground Zero wrote: > >>>On Wed, 20 Apr 2005 12:32:23 +0300 yotis <[EMAIL PROTECTED]> wrote: > >>>>Am o problema cu hosting-ul, mai precis cu phpBB-ul care a ajuns la > >>>>versiunea 2.0.14 si din nou e vulnerabil.De-a lungul timpului am tot > >>>>sperat ca va fi ok, dar vad ca nu este si m-am hotarat sa interzic > >>>>utilizatorilor care au webhosting sa foloseasca phpBB din cauza > >>>>vulnerabilitatilor si a atacurilor pe care le primesc pe serverele de > >>>>webhosting din cauza scriptului mai sus mentionat. > >>> > >>>Nu crezi ca mai bine securizezi cum trebuie serverul? Sper ca > >>> utilizatorii nu platesc pentru serviciile tale, pentru ca altfel o sa > >>> iasa scandal. > >> > >>--- > >>Detalii despre listele noastre de mail: http://www.lug.ro/ > > --- > Detalii despre listele noastre de mail: http://www.lug.ro/ -- This message was scanned for spam and viruses by BitDefender. For more information please visit http://linux.bitdefender.com/ --- Detalii despre listele noastre de mail: http://www.lug.ro/
