psylosss Sep 20 2013 at 01:33

Владельцам форумов на vBulletin — волна взломов

2 min

12K

CMS *Information Security *

+22

Comments 24

amarao Sep 20 2013 at 03:21

Весь айтишный мир страшно болен shared-хостингом. Из изначальной технологии «домашних страничек» вырос колосс на глинянных ногах. install-каталоги, конфигурирование админки через скрипты, теоретически доступные пользователям, миллион ухищрений, чтобы работать без sudo и/или root, без запуска своего сервера приложения на localhost, без доступа к конфигам веб-сервера…

Каждый раз, когда я вижу ПО подобного типа, меня передёргивает от отвращения. Ничего личного по отношению к vbulletin.

psylosss Sep 20 2013 at 10:52

В том-то и дело, что скрипт конфигурирования админки из веба был удален. Эксплоит был по соседству.

Насчет колосса не вполне согласен с вами. Точнее, не согласен с эмоциональным посылом. Да, мы с вами ойтишнеги-профессионалы, и нам подвластен путь конфигурирования через config.php, и мы знаем, что права на него не должны быть 777, но множество других людей — не такие. И главная причина выбора шаред-хостингов, конфигурирования скриптов из админки и прочей ереси — экономическая.

Что касается vBulletin, это была моя грандиозная ошибка, которую я уже не знаю как исправить: слишком большой сайт и слишком большой форум уже.

NickyX3 Sep 20 2013 at 15:30

Перейдите на XenForo — импорт есть, более того — есть прямой импорт при установке вроде
Авторы то одни :-)

psylosss Sep 20 2013 at 15:32

Нет, хватит с меня коробочных нерасширяемых решений. Уж лучше я свой форум напишу, чем буду подгонять продукт под возможности имеющегося инструмента.

NickyX3 Sep 20 2013 at 15:34

Ну с виду XF как бы неплох
Разработчики же писали в начале, что это то, куда должен был развиваться vB если бы vB не продали перед выпуском 4 версии

amarao Sep 20 2013 at 18:29

Вы меня не поняли. Существование config.php вместо /etc/application/config.conf — это и есть главное уродство, которое породила система.

Там _слишком_ много отвратительного, чтобы его можно было легко разрешить.

psylosss Sep 20 2013 at 18:32

Да, немного не понял. Но суть все-таки та же: отвратительное порождается экономикой. И это глобальная проблема

amarao Sep 20 2013 at 20:01

Нет никакой «экономики». Средней руки vds стоит денег, иногда меньших, чем хотят за шаред хостинг. Это пережиток и консерватизм, а не «экономика». На чём экономить-то? На ID контейнеров?

psylosss Sep 20 2013 at 20:05

На услугах людей, которые этим будут заниматься. Сконфигурировать из админки гораздо дешевле, чем описываемым вами способом. Поставить скрипт инсталлятором гораздо дешевле, чем по мануалу.

amarao Sep 20 2013 at 20:24

А скрипт на сайте окажется святым духом? Или тоже «по манулу»?

Я ж говорю, чистой воды инерция сознания, потому что конфиг в условиях добротного сервера вообще не надо трогать (укажите пароль от SQL — хер я знаю пароль от моего sql, у меня этим дебиановский конфигуратор заведует), а надо только указать имя сайта и ещё пару мелких вещей.

Я очень надеюсь, что в ближайшие 2-3 года shared-хостинг (общий веб-сервер и доступ только по ФТП) сдохнет как паршивая собака.

psylosss Sep 20 2013 at 20:45

А скрипт на сайте окажется святым духом? Или тоже «по манулу»?

ФТП же. Во всяком случае так было, когда я еще этим занимался (лет 7 назад последний раз).

Я очень надеюсь, что в ближайшие 2-3 года shared-хостинг (общий веб-сервер и доступ только по ФТП) сдохнет как паршивая собака.

Меня эта проблема обошла, но желаю всем счастья :)

amarao Sep 21 2013 at 00:46

То есть инструкция «как залить эту дрянь на сайт через ftp» за мануал не считается, а инструкция «наберите команду и ответьте на вопросы» считается?

Заметим, дебиан сам настраивает базу данных, сам генерирует конфиги и т.д., то есть работы раз в цать меньше.

При этом всё получается правильно и секьюрно.

psylosss Sep 21 2013 at 00:49

Я с вами не спорю :) более того, я на одной с вами стороне баррикад. Я просто пытаюсь осмыслить как думают те, кто ~~покупает битрикс~~ конфигурит через админку и/или config.php

Mirza Sep 20 2013 at 08:54

>> Главный вывод: владельцы форумов на vBulletin — удалите папку install полностью!
А за каким лешим ее вообще оставляли?

psylosss Sep 20 2013 at 10:46

1. Установщик просил в явном виде: «remove file /install/install.php». Я привык доверять установщику vBulleting
2. Могу ошибаться, но припоминаю, что в каких-то старых версиях папка install была необходима для нормальной работы самого форума

Caelicola Sep 20 2013 at 10:55

psylosss, поправьте, пожалуйста, в статье ссылку на vbulletin.com. Букву одну пропустили.

psylosss Sep 20 2013 at 11:02

Спасибо! поправил

Andrew1000000 Sep 20 2013 at 18:17

Кстати, есть какой-нибудь проект по созданию форума повышенной защищённости? Пусть с минимальным функционалом, но написанный людьми, разбирающимися в теме ИБ.

amarao Sep 20 2013 at 18:31

Дебиановская версия phpbb с php-файлами в /usr/share и конфигами в /etc/ выглядит интересно. Обновляется аптитьюдом, как все системные компоненты, к обычным дропам/эксплоитам устойчива.

Минусы: старая версия, хоть и с фиксами.
Не работают всякие системы установки тем, плагинов и т.д.

Andrew1000000 Sep 20 2013 at 19:25

Спасибо :)
Старая это гуд, значит многое пофиксили.
Без плагинов, ещё и на дебиан. Должно быть надёжно.
А номер версии не посоветуете?

amarao Sep 20 2013 at 20:03

apt-get install phpbb3.

Dimec Sep 20 2013 at 21:02

В посте было бы неплохо указать информацию о технической стороне эксплойта, потому как первые ссылки в Гугле по вашему запросу указывают на уязвимость с раскрытием путей и никак не связаны с /install/

psylosss Sep 20 2013 at 21:29

Извините, я совсем не специалист в этой области. Если я возьмусь писать об этом, то получится весьма дилетантский материал.

mobilz Sep 20 2013 at 23:45

Ставте xenforo.
Кстати, то, как vb хранит код плагинов, это вообще сказка. php код вставляется прямо из базы или из memcache, если получить доступ к одному из вышеперечисленных, читай, у тебё доступ к файловой системе и системным командам.