Fórum Ubuntu CZ/SK

Ostatní => Archiv => Oficiální oznámení (archiv) => Téma založeno: Vojtěch Trefný 13 Květen 2009, 19:53:05

Název: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 19:53:05
Z důvodu závažné bezpečnostní chyby v kódu SMF (Simple Machines Forum) jsme byli nuceni smazat veškeré přílohy a avatary nahrané na serveru a do doby než bude chyba odstraněna zakázat nahrávání nových.

Preventivně byla zrušena práva zápisu do složek fóra, můžete mít problém se změnou některých nastavení v profilu.

Byla také smazána všechna "alternativní" témata vzhledu, z toho důvodu jsme všem uživatelům změnili téma na výchozí. (Těm, kteří měli zvolené jiné, ale funkční téma, se omlouváme -- jednotlivá změna není možná.)

Omlouváme se za způsobené problémy.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Tadeáš Pařík 13 Květen 2009, 19:56:11
A historie je fuč  :) No tak hlavně, že na to ten klučina upozornil...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Martin 'Želva' Malý 13 Květen 2009, 20:22:31
Jak tak koukám, nemůžu ani pořádně editovat svůj profil.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Tadeáš Pařík 13 Květen 2009, 20:26:21
No je v tom nějaký nepořádek, rozhodilo se mi celé fórum, vzhledově to je trošku jiné (to používám jenom základ, žádný jiný vzhled). Některé věci se nezobrazují dobře. Teď to tak nějak funguje, ale na 100% to není...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 20:42:11
Jak tak koukám, nemůžu ani pořádně editovat svůj profil.

Většina složek fóra (spíš všechny) je přenastavená na read-only, takže některé věci měnit nepůjdou...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 20:43:08
No je v tom nějaký nepořádek, rozhodilo se mi celé fórum, vzhledově to je trošku jiné (to používám jenom základ, žádný jiný vzhled). Některé věci se nezobrazují dobře. Teď to tak nějak funguje, ale na 100% to není...

Tak žádné takové změny nepozoruji a ani si nejsem vědom toho, že by se něco mohlo změnit, takže bych poprosil o screenshot.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: MacHala 13 Květen 2009, 20:44:16
nj, vsiml jsem si, ze mi zmizel avatar, tak jsem ho upnul znova a ted , kdyz jsem se podival tak byl zase pryc :D

spis me mrzi, ze zmizelo i graficke tema, ktere jsem pouzival (Dilber multicolor), zvyk je zelezna kosile...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 20:46:08
Asi postupně začnu psát další věci, které jsme změnili :)

Jinak kdo se chce dočíst více, tak přímo "od zdroje":

http://www.simplemachines.org/community/index.php?topic=309741.0
http://www.simplemachines.org/community/index.php?topic=307717.0
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Martin 'Želva' Malý 13 Květen 2009, 20:53:51
Citace
The method is...

They register.
Log in.
Upload an avatar that has PHP code in the EXIF data.
Access the avatar using some unknown exploit through index.php (and if someone does figure it out, obviously they shouldn't post it publicly) which causes the avatar to be executed as PHP.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Tadeáš Pařík 13 Květen 2009, 20:54:39
Citace
The method is...

They register.
Log in.
Upload an avatar that has PHP code in the EXIF data.
Access the avatar using some unknown exploit through index.php (and if someone does figure it out, obviously they shouldn't post it publicly) which causes the avatar to be executed as PHP.

Už se ví kdo to byl ;D ?

EDIT: mluví se tam o jednom uživateli -

Citace
I have just countered 730 SMF forums he has registered on ranging from SMF 1.1.1 to RC1
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Martin 'Želva' Malý 13 Květen 2009, 20:59:23
Jistěže já. Před rokem mi starenka cracknul stránku (komentářům nefungovalo ošetření od HTML kódu :'( ) a teď se mstím. :)
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 20:59:35
Už se ví kdo to byl ;D ?

Stejný uživatel "krisbarteo" jako všude. Podle whois odněkud z Lotyšska.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Tadeáš Pařík 13 Květen 2009, 21:00:42
Už se ví kdo to byl ;D ?

Stejný uživatel "krisbarteo" jako všude. Podle whois odněkud z Lotyšska.

je tam tohle...
Citace
He came from 94.142.129.147
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 21:03:36

je tam tohle...
Citace
He came from 94.142.129.147

IP adresu jsem si samozřejmě našel u nás taky...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Tadeáš Pařík 13 Květen 2009, 21:08:18
Podlé té disukuze tam, očekávám i nějaká "nepříjemná" opatření na zdejším fóru...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 21:17:23
Podlé té disukuze tam, očekávám i nějaká "nepříjemná" opatření na zdejším fóru...

Zatím je to, co je (a asi to moc příjemné není) -- zatím to znemožňuje další zneužití, až vydají opravu, dohodneme se s Ondřejem, co bude dál...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Martin 'Želva' Malý 13 Květen 2009, 21:26:44
Nebylo by špatné to napsat do novinek nahoru (pokud to ještě jde), aby to bylo všem jasné, proč to fórum vypadá tak divně.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 21:51:30
Protože většina alternativních témat nefunguje, nastavil jsem všem výchozí téma fóra (alternativní motivy zůstaly podle voleb, ale výsledkem byla nepoužitelnost, jednotlivě jsem to měnit nemohl).
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Vojtěch Trefný 13 Květen 2009, 22:27:46
Poznámka: Pokud chcete mít avatar, tak jej nahrajte na jiný server a v profilu máte možnost dát si odkaz na obrázek.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Tadeáš Pařík 13 Květen 2009, 22:30:20
Poznámka: Pokud chcete mít avatar, tak jej nahrajte na jiný server a v profilu máte možnost dát si odkaz na obrázek.

Super, díky. Funguje.
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Yontalcar 13 Květen 2009, 23:08:45
Poznámka: Pokud chcete mít avatar, tak jej nahrajte na jiný server a v profilu máte možnost dát si odkaz na obrázek.
můžete použít avatar který máte na vCard na Jabber serveru jabbim jako adresu
Kód: [Vybrat]
http://www.jabbim.cz/include/img.php?jid=${jid}${jid} nahradit za skutečné Jabber ID

což mi připomíná, že v profilu zmizela možnost udat JID
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Martin Kiklhorn 14 Květen 2009, 00:05:14
což mi připomíná, že v profilu zmizela možnost udat JID
Než kluci opraví zobrazování (v databázi snad JID zůstaly) tak jedině si JID zadat do podpisu, nebo personal textu.

Ad avatar - kdysi jsem si udělal primitivní skriptík se statickými obrázky (http://forum.ubuntu.cz/index.php/topic,28050.msg209786.html#msg209786) aby mi avatar zobrazoval i aktuální status jabberu.
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: Martin 'Želva' Malý 15 Květen 2009, 20:57:07
Jsem asi úplně tupej, ale když dám editovat svůj profil, hodí to zázračnou chybu:

* . (viz téma Wtf v sekci Fórum)

zkoušel jsem i neměnit své údaje a bez jakékoli změny dát "editovat profil", stejně to hodilo, že mě ty údaje asi neuloží... Nemůžu změnit podpis, osobní text, avatar, nic. :(

Já to SMF od začátku moc neměl rád. Když už jsem si řekl, že to zas tak špatné není, tak tohle. Hleďte se: bug na každém rohu, chybu to neumí vypsat ani anglicky, česky to píše hrubky a překlepy, vzhled je nedodělaný...
Název: Re: Přílohy a avatary na fóru
Přispěvatel: Prsatá blondýna 16 Květen 2009, 08:03:12
Už se ví kdo to byl ;D ?

Stejný uživatel "krisbarteo" jako všude. Podle whois odněkud z Lotyšska.

to že nám ten člověk podělal forum je sice na ránu ale i tak mu musím složit respekt.... prokousat se celým systémem forka... muselo dat fušku. ale ať už to znova nedělá
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: Martin 'Želva' Malý 16 Květen 2009, 16:46:46
Vždyť nic neudělal, byl to hodnej hacker, který na chybu upozornil dlouhou poznámkou v HTML.
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: Vojtěch Trefný 16 Květen 2009, 16:49:42
Vždyť nic neudělal, byl to hodnej hacker, který na chybu upozornil dlouhou poznámkou v HTML.

Která byla jen kilometrový spam a to udělal jen asi na tisícovce dalších serverů...
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: Pavel Půlpán 16 Květen 2009, 17:07:34
Vykastrovat! Zlynčujem ho! 8)
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: Janik 19 Květen 2009, 23:02:00
Vždyť nic neudělal, byl to hodnej hacker, který na chybu upozornil dlouhou poznámkou v HTML.

Která byla jen kilometrový spam a to udělal jen asi na tisícovce dalších serverů...

jenže to taky mohlo dopadnout hůře...
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: LuciusMare 20 Květen 2009, 20:21:14
neřekl bych že to byl etický hack ale vyloženě zlý taky nebyl :)
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: anicka 11 Srpen 2009, 13:24:08
Testovací příspěvek

Funguje ten avatar nahraný z jiného serveru nebo ne?

Tak to teď uvidíme. :-)

JJ, super. JUCH! :-D
Název: Re: Výpadek serveru a zrušení příloh a avatarů na fóru
Přispěvatel: LuciusMare 11 Srpen 2009, 21:11:20
Ano,funguje JENOM avatar nahraný z jiného serveru :P