Владельцам форумов на vBulletin — волна взломов

[amarao]

Весь айтишный мир страшно болен shared-хостингом. Из изначальной технологии «домашних страничек» вырос колосс на глинянных ногах. install-каталоги, конфигурирование админки через скрипты, теоретически доступные пользователям, миллион ухищрений, чтобы работать без sudo и/или root, без запуска своего сервера приложения на localhost, без доступа к конфигам веб-сервера…

Каждый раз, когда я вижу ПО подобного типа, меня передёргивает от отвращения. Ничего личного по отношению к vbulletin.

[psylosss]

В том-то и дело, что скрипт конфигурирования админки из веба был удален. Эксплоит был по соседству.

Насчет колосса не вполне согласен с вами. Точнее, не согласен с эмоциональным посылом. Да, мы с вами ойтишнеги-профессионалы, и нам подвластен путь конфигурирования через config.php, и мы знаем, что права на него не должны быть 777, но множество других людей — не такие. И главная причина выбора шаред-хостингов, конфигурирования скриптов из админки и прочей ереси — экономическая.

Что касается vBulletin, это была моя грандиозная ошибка, которую я уже не знаю как исправить: слишком большой сайт и слишком большой форум уже.

[NickyX3]

Перейдите на XenForo — импорт есть, более того — есть прямой импорт при установке вроде
Авторы то одни :-)

[psylosss]

Нет, хватит с меня коробочных нерасширяемых решений. Уж лучше я свой форум напишу, чем буду подгонять продукт под возможности имеющегося инструмента.

[NickyX3]

Ну с виду XF как бы неплох
Разработчики же писали в начале, что это то, куда должен был развиваться vB если бы vB не продали перед выпуском 4 версии

[amarao]

Вы меня не поняли. Существование config.php вместо /etc/application/config.conf — это и есть главное уродство, которое породила система.

Там _слишком_ много отвратительного, чтобы его можно было легко разрешить.

[psylosss]

Да, немного не понял. Но суть все-таки та же: отвратительное порождается экономикой. И это глобальная проблема

[amarao]

Нет никакой «экономики». Средней руки vds стоит денег, иногда меньших, чем хотят за шаред хостинг. Это пережиток и консерватизм, а не «экономика». На чём экономить-то? На ID контейнеров?

[psylosss]

На услугах людей, которые этим будут заниматься. Сконфигурировать из админки гораздо дешевле, чем описываемым вами способом. Поставить скрипт инсталлятором гораздо дешевле, чем по мануалу.

[amarao]

А скрипт на сайте окажется святым духом? Или тоже «по манулу»?

Я ж говорю, чистой воды инерция сознания, потому что конфиг в условиях добротного сервера вообще не надо трогать (укажите пароль от SQL — хер я знаю пароль от моего sql, у меня этим дебиановский конфигуратор заведует), а надо только указать имя сайта и ещё пару мелких вещей.

Я очень надеюсь, что в ближайшие 2-3 года shared-хостинг (общий веб-сервер и доступ только по ФТП) сдохнет как паршивая собака.

[psylosss]

А скрипт на сайте окажется святым духом? Или тоже «по манулу»?

ФТП же. Во всяком случае так было, когда я еще этим занимался (лет 7 назад последний раз).

Я очень надеюсь, что в ближайшие 2-3 года shared-хостинг (общий веб-сервер и доступ только по ФТП) сдохнет как паршивая собака.

Меня эта проблема обошла, но желаю всем счастья :)

[amarao]

То есть инструкция «как залить эту дрянь на сайт через ftp» за мануал не считается, а инструкция «наберите команду и ответьте на вопросы» считается?

Заметим, дебиан сам настраивает базу данных, сам генерирует конфиги и т.д., то есть работы раз в цать меньше.

При этом всё получается правильно и секьюрно.

[psylosss]

Я с вами не спорю :) более того, я на одной с вами стороне баррикад. Я просто пытаюсь осмыслить как думают те, кто покупает битрикс конфигурит через админку и/или config.php

[Mirza]

>> Главный вывод: владельцы форумов на vBulletin — удалите папку install полностью!
А за каким лешим ее вообще оставляли?

[psylosss]

1. Установщик просил в явном виде: «remove file /install/install.php». Я привык доверять установщику vBulleting
2. Могу ошибаться, но припоминаю, что в каких-то старых версиях папка install была необходима для нормальной работы самого форума

[Caelicola]

psylosss, поправьте, пожалуйста, в статье ссылку на vbulletin.com. Букву одну пропустили.

[psylosss]

Спасибо! поправил

[Andrew1000000]

Кстати, есть какой-нибудь проект по созданию форума повышенной защищённости? Пусть с минимальным функционалом, но написанный людьми, разбирающимися в теме ИБ.

[amarao]

Дебиановская версия phpbb с php-файлами в /usr/share и конфигами в /etc/ выглядит интересно. Обновляется аптитьюдом, как все системные компоненты, к обычным дропам/эксплоитам устойчива.

Минусы: старая версия, хоть и с фиксами.
Не работают всякие системы установки тем, плагинов и т.д.

[Andrew1000000]

Спасибо :)
Старая это гуд, значит многое пофиксили.
Без плагинов, ещё и на дебиан. Должно быть надёжно.
А номер версии не посоветуете?

[amarao]

apt-get install phpbb3.

[Dimec]

В посте было бы неплохо указать информацию о технической стороне эксплойта, потому как первые ссылки в Гугле по вашему запросу указывают на уязвимость с раскрытием путей и никак не связаны с /install/

[psylosss]

Извините, я совсем не специалист в этой области. Если я возьмусь писать об этом, то получится весьма дилетантский материал.

[mobilz]

Ставте xenforo.
Кстати, то, как vb хранит код плагинов, это вообще сказка. php код вставляется прямо из базы или из memcache, если получить доступ к одному из вышеперечисленных, читай, у тебё доступ к файловой системе и системным командам.