Autor Téma: Výpadek serveru a zrušení příloh a avatarů na fóru (Přečteno 15634 krát)

Vojtěch Trefný · « **kdy:** 13 Května 2009, 19:53:05 »

Z důvodu závažné bezpečnostní chyby v kódu SMF (Simple Machines Forum) jsme byli nuceni smazat veškeré přílohy a avatary nahrané na serveru a do doby než bude chyba odstraněna zakázat nahrávání nových.

Preventivně byla zrušena práva zápisu do složek fóra, můžete mít problém se změnou některých nastavení v profilu.

Byla také smazána všechna "alternativní" témata vzhledu, z toho důvodu jsme všem uživatelům změnili téma na výchozí. (Těm, kteří měli zvolené jiné, ale funkční téma, se omlouváme -- jednotlivá změna není možná.)

Omlouváme se za způsobené problémy.

Tadeáš Pařík · « **Odpověď #1 kdy:** 13 Května 2009, 19:56:11 »

A historie je fuč

No tak hlavně, že na to ten klučina upozornil...

Martin 'Želva' Malý · « **Odpověď #2 kdy:** 13 Května 2009, 20:22:31 »

Jak tak koukám, nemůžu ani pořádně editovat svůj profil.

Tadeáš Pařík · « **Odpověď #3 kdy:** 13 Května 2009, 20:26:21 »

No je v tom nějaký nepořádek, rozhodilo se mi celé fórum, vzhledově to je trošku jiné (to používám jenom základ, žádný jiný vzhled). Některé věci se nezobrazují dobře. Teď to tak nějak funguje, ale na 100% to není...

Vojtěch Trefný · « **Odpověď #4 kdy:** 13 Května 2009, 20:42:11 »

Citace: Martin 'Želva' Malý 13 Května 2009, 20:22:31

Jak tak koukám, nemůžu ani pořádně editovat svůj profil.

Většina složek fóra (spíš všechny) je přenastavená na read-only, takže některé věci měnit nepůjdou...

Vojtěch Trefný · « **Odpověď #5 kdy:** 13 Května 2009, 20:43:08 »

Citace: Tadeáš Pařík 13 Května 2009, 20:26:21

No je v tom nějaký nepořádek, rozhodilo se mi celé fórum, vzhledově to je trošku jiné (to používám jenom základ, žádný jiný vzhled). Některé věci se nezobrazují dobře. Teď to tak nějak funguje, ale na 100% to není...

Tak žádné takové změny nepozoruji a ani si nejsem vědom toho, že by se něco mohlo změnit, takže bych poprosil o screenshot.

MacHala · « **Odpověď #6 kdy:** 13 Května 2009, 20:44:16 »

nj, vsiml jsem si, ze mi zmizel avatar, tak jsem ho upnul znova a ted , kdyz jsem se podival tak byl zase pryc

spis me mrzi, ze zmizelo i graficke tema, ktere jsem pouzival (Dilber multicolor), zvyk je zelezna kosile...

Vojtěch Trefný · « **Odpověď #7 kdy:** 13 Května 2009, 20:46:08 »

Asi postupně začnu psát další věci, které jsme změnili

Jinak kdo se chce dočíst více, tak přímo "od zdroje":

http://www.simplemachines.org/community/index.php?topic=309741.0
http://www.simplemachines.org/community/index.php?topic=307717.0

Martin 'Želva' Malý · « **Odpověď #8 kdy:** 13 Května 2009, 20:53:51 »

Citace

The method is...

They register.
Log in.
Upload an avatar that has PHP code in the EXIF data.
Access the avatar using some unknown exploit through index.php (and if someone does figure it out, obviously they shouldn't post it publicly) which causes the avatar to be executed as PHP.

Tadeáš Pařík · « **Odpověď #9 kdy:** 13 Května 2009, 20:54:39 »

Citace: Martin 'Želva' Malý 13 Května 2009, 20:53:51

Citace
The method is...

They register.
Log in.
Upload an avatar that has PHP code in the EXIF data.
Access the avatar using some unknown exploit through index.php (and if someone does figure it out, obviously they shouldn't post it publicly) which causes the avatar to be executed as PHP.

Už se ví kdo to byl

?

EDIT: mluví se tam o jednom uživateli -

Citace

I have just countered 730 SMF forums he has registered on ranging from SMF 1.1.1 to RC1

Martin 'Želva' Malý · « **Odpověď #10 kdy:** 13 Května 2009, 20:59:23 »

Jistěže já. Před rokem mi starenka cracknul stránku (komentářům nefungovalo ošetření od HTML kódu

) a teď se mstím.

Vojtěch Trefný · « **Odpověď #11 kdy:** 13 Května 2009, 20:59:35 »

Citace: Tadeáš Pařík 13 Května 2009, 20:54:39

Už se ví kdo to byl ?

Stejný uživatel "krisbarteo" jako všude. Podle whois odněkud z Lotyšska.

Tadeáš Pařík · « **Odpověď #12 kdy:** 13 Května 2009, 21:00:42 »

Citace: Vojtěch Trefný 13 Května 2009, 20:59:35

Citace: Tadeáš Pařík 13 Května 2009, 20:54:39
Už se ví kdo to byl ?

Stejný uživatel "krisbarteo" jako všude. Podle whois odněkud z Lotyšska.

je tam tohle...

Citace

He came from 94.142.129.147

Vojtěch Trefný · « **Odpověď #13 kdy:** 13 Května 2009, 21:03:36 »

Citace: Tadeáš Pařík 13 Května 2009, 21:00:42

je tam tohle...
Citace
He came from 94.142.129.147

IP adresu jsem si samozřejmě našel u nás taky...

Tadeáš Pařík · « **Odpověď #14 kdy:** 13 Května 2009, 21:08:18 »

Podlé té disukuze tam, očekávám i nějaká "nepříjemná" opatření na zdejším fóru...

Vojtěch Trefný · « **Odpověď #15 kdy:** 13 Května 2009, 21:17:23 »

Citace: Tadeáš Pařík 13 Května 2009, 21:08:18

Podlé té disukuze tam, očekávám i nějaká "nepříjemná" opatření na zdejším fóru...

Zatím je to, co je (a asi to moc příjemné není) -- zatím to znemožňuje další zneužití, až vydají opravu, dohodneme se s Ondřejem, co bude dál...

Martin 'Želva' Malý · « **Odpověď #16 kdy:** 13 Května 2009, 21:26:44 »

Nebylo by špatné to napsat do novinek nahoru (pokud to ještě jde), aby to bylo všem jasné, proč to fórum vypadá tak divně.

Vojtěch Trefný · « **Odpověď #17 kdy:** 13 Května 2009, 21:51:30 »

Protože většina alternativních témat nefunguje, nastavil jsem všem výchozí téma fóra (alternativní motivy zůstaly podle voleb, ale výsledkem byla nepoužitelnost, jednotlivě jsem to měnit nemohl).

Vojtěch Trefný · « **Odpověď #18 kdy:** 13 Května 2009, 22:27:46 »

Poznámka: Pokud chcete mít avatar, tak jej nahrajte na jiný server a v profilu máte možnost dát si odkaz na obrázek.

Tadeáš Pařík · « **Odpověď #19 kdy:** 13 Května 2009, 22:30:20 »

Citace: Vojtěch Trefný 13 Května 2009, 22:27:46

Poznámka: Pokud chcete mít avatar, tak jej nahrajte na jiný server a v profilu máte možnost dát si odkaz na obrázek.

Super, díky. Funguje.

Yontalcar · « **Odpověď #20 kdy:** 13 Května 2009, 23:08:45 »

Citace: Vojtěch Trefný 13 Května 2009, 22:27:46

Poznámka: Pokud chcete mít avatar, tak jej nahrajte na jiný server a v profilu máte možnost dát si odkaz na obrázek.

můžete použít avatar který máte na vCard na Jabber serveru jabbim jako adresu

Kód: [Vybrat]

http://www.jabbim.cz/include/img.php?jid=${jid}${jid} nahradit za skutečné Jabber ID

což mi připomíná, že v profilu zmizela možnost udat JID

Martin Kiklhorn · « **Odpověď #21 kdy:** 14 Května 2009, 00:05:14 »

Citace: Yontalcar 13 Května 2009, 23:08:45

což mi připomíná, že v profilu zmizela možnost udat JID

Než kluci opraví zobrazování (v databázi snad JID zůstaly) tak jedině si JID zadat do podpisu, nebo personal textu.

Ad avatar - kdysi jsem si udělal primitivní skriptík se statickými obrázky aby mi avatar zobrazoval i aktuální status jabberu.

Martin 'Želva' Malý · « **Odpověď #22 kdy:** 15 Května 2009, 20:57:07 »

Jsem asi úplně tupej, ale když dám editovat svůj profil, hodí to zázračnou chybu:

* . (viz téma Wtf v sekci Fórum)

zkoušel jsem i neměnit své údaje a bez jakékoli změny dát "editovat profil", stejně to hodilo, že mě ty údaje asi neuloží... Nemůžu změnit podpis, osobní text, avatar, nic.

Já to SMF od začátku moc neměl rád. Když už jsem si řekl, že to zas tak špatné není, tak tohle. Hleďte se: bug na každém rohu, chybu to neumí vypsat ani anglicky, česky to píše hrubky a překlepy, vzhled je nedodělaný...

Prsatá blondýna · « **Odpověď #23 kdy:** 16 Května 2009, 08:03:12 »

Citace: Vojtěch Trefný 13 Května 2009, 20:59:35

Citace: Tadeáš Pařík 13 Května 2009, 20:54:39
Už se ví kdo to byl ?

Stejný uživatel "krisbarteo" jako všude. Podle whois odněkud z Lotyšska.

to že nám ten člověk podělal forum je sice na ránu ale i tak mu musím složit respekt.... prokousat se celým systémem forka... muselo dat fušku. ale ať už to znova nedělá

Martin 'Želva' Malý · « **Odpověď #24 kdy:** 16 Května 2009, 16:46:46 »

Vždyť nic neudělal, byl to hodnej hacker, který na chybu upozornil dlouhou poznámkou v HTML.