Безопасность форума

[[-frs-] ThickPanda]

сегодня ночью была попытка взлома форума. Точнее попытка унести полный дамп базы данны, совсеми постами, настройкми и т.д.
попытка была осуществлена путем ввода в адресную строку определенной команды, на которую форум должен был выдать тот самый дамп.

По каким то причинам - форум это не сделал, а может и сделал - т.к. учет успешних административных действий не ведется(я в посиске модуля для ведения этого)
по сему предложение:
у нас 6 администраторов, которые могут совершать подобные вещи. Предлагаю создать пользователя(одного) на которого повесить админство, им не писатьна форуме вообще и не заходить(ну допустим раз в неделю заходить - ошибки форума мониторить)

Остальным мемберам выдать модераторов(исправлять\редактировать и т.д.). Чтоб на их чарах не было ТЕХНИЧЕСКОГО доступа к движку форума

p.s.
лог ошибок - тут: http://ds-alliance.ru/forum/index.php?action=viewErrorLog;desc

[[-frs-] ThickPanda]

+ в аллипочте рекомендовать всем поменять пароли на форум

[[-FRS-] Freelancer'Spb]

из куска лога ошибок видно из-под какгого акка была ошибка-

Код: [Выделить]

;user=W.T. - thorisejaили не то?

Upd. так лучше видно: http://ds-alliance.ru/forum/index.php?action=trackip;searchip=193.200.150.137

[W.T. - thoriseja]

ваще походу скриптом ломали, так как рукой могли бы и зайти зная пароль

[[-FRS-] Freelancer'Spb]

но пароль всеравно смени на всякий

[W.T. - thoriseja]

с утра все отресетил у себя

[[-frs-] ThickPanda]

из куска лога ошибок видно из-под какгого акка была ошибка-

Ошибка - да... а удачные попытки - в логах не отображаются

[[-FRS-] Freelancer'Spb]

Всвязи с http://ds-alliance.ru/forum/index.php/topic,346.msg8246.html#new убрал предустановки esam для фе.

И бтв кто-то настроил безусловный доступ монкам - это неправильно, их также нужно на тайтлы посадить.

[[-frs-] ThickPanda]

доступ настроил я... т.к. я не смог им че то объяснить:(
в след версии будет правило "set a rule for "not in corporation""

[[-FRS-] Freelancer'Spb]

Вообщем решил глянуть на права доступа новой корпы. И, внезапно обнаружилось, что чьи-то шаловливые ручки (/me подозрительно косится в сторону Туска  ) дали всем пользователям, по мере возрастания угрозы форуму:

1. Возможность удаления своих сообщений.
2. Возможность удаления своего профиля.
3. Доступ в админку! И редактирование/добавление в ней смайлов/иконок + просмотр информации о всех настойках форума(проверено тестовой учеткой).

По логам данных изменений не видно, неплохоб также логировать изменение прав групп пользователей. Все группы приведены в исходное состояние.

[[-FRS-] Freelancer'Spb]

Upd.
Оказывается это все были только цветочки, теперь ягодки:

Доступ к разделу видео был открыт зарегистрированным пользователям(т.е. любому васе, кто прошел регу, без всякого апи)
Доступ к разделу капшипов был открыт гостям , мб чей-то троллинг, но всеже очередной

З.Ы. Панда пошерсти плз архивы логов, если есть прямой доступ к ним, мб взломали или еще что.

[[-frs-] ThickPanda]

эээ... вопрос понял - покурю сегодня вечером\завтра...
будур результаты - отпишусь

[[-frs-] ThickPanda]

что касется логов - не ведутся логи административных(точнее ведутся, но не 100 действий). Поисчу способ вести полный протокол, о рузультатах отпишусь.

По поводу групп пользоателей: на форум нельзя попасть незарегистрированным вообще. при введении корректного апи - проверяются правила на выдачу групп. если мембер не принадлежит альянсу - ему присваивается группа "удаленные пользователи", которая не может ничего. если он попадает под какое то "корпоративное" правило - ему приваивается группа крпорации, если он не получает корпоративного правила - то ему не присваивается никакая группа(а все имеющиеся снимаются).

во избежание косяков с правами - создал шаблонную группу пользователей. выставил им права. для будущих корпораций создавать группы надо будет на основании этого шаблона. всем заинтересованным - прошу ознакомиться и, если будет необходимость, поправить выставленные там права.

p.s. если требуется мое присутствие на форуме или ответы на вопросы - киньте плс личное сообщение или в аську стукнуться я редко читаю форум(сегодня зашел для мониторинга ситуации с БДСМщиками - не могут они титулы правильно создать в корп интерфейсе )

[[-FRS-]GTusk]

1. Возможность удаления своих сообщений.

Эта возможность уже 2 года есть.
апд не окосей

[[-frs-] ThickPanda]

кто нить - объясните директорам BS-D как создавать корп титулы в корп интерфейсе.
а то дня 3-4 уже мемберы зарегались - а доступа нет. тока у директоров