Na dobry początek tygodnia wiadomość email sporego kalibru: zgwałcono phpbb2.pl! Gwałciciele kulturalni i szarmanccy byli, bo nie zrobili wielkiego kuku, a jedynie pokazali, że cnota polskiego supportu najpopularniejszego skryptu forum nie jest należycie strzeżona. Choć prawdę powiedziawszy, to nie wiem, czy ten nasz phpbb2.pl już wcześniej cnoty nie stracił z kimś, z kim nie powinien ;)
Jako darmozjad zarejestrowany na ichnim forum takiego oto maila dostałem:
Brawo, Panowie Włamywacze! Nie psujcie i nie bałagańcie, ale wskazujcie ułomności tam, gdzie być ich nie powinno. Trochę ciekawym, jakim sposobem dopadliście maszynkę do rozsyłania maili, ale nie demonstrujcie tego czasem na mnie :) Może odpowiedzi w odpowiednim komunikacie udzieli sam administrator zgwałconego forum i wyjaśni, jak to się stało, że jego pas cnoty nie spełnił swojej powinności.
W USA pewnie miałbym spore szanse na odszkodowanie z tytułu wysłania do mnie maila niezgodnego z zaakceptowanym przeze mnie regulaminem forum, na którym konto swe posiadam. Na dobrą sprawę jednak nic się wielkiego nie stało: admin nie będzie musiał się produkować z przywracaniem stron serwisów, bo nic złego im się nie stało i dla użytkowników dostępne są przez cały czas. Ale analiza logów nieunikniona. Adminie polskiego supportu phpbb2: koniaka i bukiet goździków panom hackerom w podzięce za klasę, z jaką potraktowali phpbb2.pl!
Update wpisu, godz. 12:01
Za wcześnie panów hakerów pochwaliłem. Na usprawiedliwienie swe rzeknę, iż byłem bardzo śpiący, gdy pisałem o włamaniu na phpb2.pl. Właściwie zamierzałem jedynie na dobranoc pocztę sprawdzić, po czym wyłączyć wszystko w cholerę i pójść spać. Ale że temacik interesujący sam się nawinął ;) Pisząc o włamie pofatygowałem się jedynie na stronę główną serwisu oraz forum: jakoś przez zasypiającą mózgownicę nie przeszła mi myśl, że włamywacze w spokoju mogli zostawić index i viewforum, a dokopać jedynie viewtopic :)
Dziwię się, że admin jeszcze nie postawili forum na nogi. Toć to skandal! Sami trują o konieczności robienia backupów plików po każdych znaczących zmianach w tychże oraz bazy danych zawsze, a tu taka wtopa :) Budzić admina, batem po dupie i niech reanimuje forum. No, chyba, że to jakieś taktyczne zagranie mające na celu zachęcić użytkowników do przesiadki na wersję trzecią skryptu phpBB, bo wsparcie dla "dwójki" kończy się lada miesiąc. Teoretycznie takiego scenariusza wykluczyć nie można, ale tak czy owak: przez szacunek dla userów forum powinno być już dawno na nogi postawione.
http://www.phpbb2.pl/forum/viewtopic.php?t=23281
http://i34.tinypic.com/259jzgp.jpg
Shame on you n00bs.
Jagbyś, tak jak pisze AdamDuma: zaktualizuj system do najnowszej wersji. Luka z hasłem admina występowała chyba (jak dobrze pamiętam) do wersji 1.5.3, w kolejnej została załatana. A system aktualizować trzeba na bieżąco, w szczególności, jeśli update dotyczy bezpieczeństwa.
googlebot, no i mosz :) Wydało się :)
AdamDuma, raczej niczego nie podmienili, bo musieliby znać Twoje hasło do panelu, a ono musiałoby być identyczne z tym do serwera. A ta luka, jak dobrze kojarzę, pozwalała jedynie wstrzyknąć nowe hasło.