Darum bin ich gegen vorgefertigte CMS Systeme.

[ZAM]

New worm Santy has started spreading. This one is infected only web servers, not end user computers. In fact, it infects sites running the popular phpBB discussion forum software.

Many sites are already affected...the end result typically looks like this:

http://www.f-secure.com/weblog/archives/santy.jpg

Apparently version 2.0.11 of phpBB is not vulnerable to the Santy worm. That's according to the description of the apparent vulnerability ("viewtopic.php highlight") posted to Securiteam's site.

This worm is written in Perl. It's searching vulnerable forum sites via Google. When a suitable site is found, the worm uses a remote exploit to gain access to it, defaces it and restarts random scanning for new hosts.

There has been several serious holes in the phpBB software over the years. One was discussed in Netcraft just days ago.

We don't know how many phpBB sites there are in the world, but Google search for inurl:phpbb inurl:viewtopic gives over a million hits...

The first defacement we heard about happened today at around 15:00 GMT.

Official home page of phpBB does not mention this incident yet.

Quelle: http://www.f-secure.com

 

[Schisshase]

Es sollte heißen "Darum bin ich gegen Spinner, die meinen, sie müßten alles kaputt machen, nur weil sie es können".

 

[Gorthaur]

Es sollte heißen "Darum bin ich gegen Spinner, die meinen, sie müßten alles kaputt machen, nur weil sie es können".

Oder mit den Worten von Schnittberichte.com

Wir waren gerade mit unserem alten Fiat Panda auf der A7 unterwegs. Da bemerkte uns ein anderes, großes, neues Auto, dass über die mangelnde Sicherheit in unserem Kleinwagen informiert war und rammte uns um zu demonstrieren wieviel sicherer wir doch mit Airbag und einer vernünftigen Knautschzone unterwegs wären. Deshalb liegen wir jetzt schwer verletzt im Straßengraben.

Oder anders ausgedrückt:

Ein paar Kinder, die sonst keinen Antrieb in ihrem Leben haben und mit so einem Verhalten wohl auch nie finden werden, wollten uns darauf hinweisen wie ungeschützt unsere Seite ist und haben sie außer Gefecht gesetzt.

Sorry, die Reparatur kann unter Umständen noch dauern.
Der fertige "Chronicles of Riddick" SB muss also etwas warten.

 

[ZAM]

Es sollte heißen "Darum bin ich gegen Spinner, die meinen, sie müßten alles kaputt machen, nur weil sie es können".

Nein eigentlich bin ich gegen Spinner die meinen Sie "hätten was drauf" aber installieren sich dann doch nur Open Source Müll *g*

 

[Dexter]

Es sollte heißen "Darum bin ich gegen Spinner, die meinen, sie müßten alles kaputt machen, nur weil sie es können".

Nein eigentlich bin ich gegen Spinner die meinen Sie "hätten was drauf" aber installieren sich dann doch nur Open Source Müll *g*

und ich habe was gegen Spinner die meinen nur was richtig Geld kostet ist auch gut.

Den Patch auf 2.0.11 und den Hinweis auf das Sicherheitsloch gibt es schon gute 5 Wochen, wer also nicht aktualisiert ist selbst Schuld. Außerdem wurde mir gesagt das es ein reines PHP Problem ist, also auch andere Software betroffen wäre, phpBB ist nun mal sehr verbreitet, also wurde nach den Foren gescannt..

 

[ZAM]

Wer sagte denn was von wegen zahlen?

 

[forestspyer]

Ich würde mein Forum für meine Webpräsenz auch selber coden. Das ist auf jeden Fall sicherer. Aber es ist ein großer Zeit- und Arbeitsaufwand, nicht jeder will für ein Clanboard gleich selber was coden, manchen können es nicht. Also nimmt man ganz einfach ein CMS bzw. eine fertige Forensoftware. Das ist komfortabel und einfach. Finde ich grundsätzlich auch falsch, aber noch schlimmer finde ich dieses Hacken, dann sollen sie das Forum der Entwickler hacken oder ein Testforum, aber nicht irgendwelche Foren von irgendwelchen ahnungslosen Menschen.

mfg fs

 

[LopezdieMaus]

Wer sagte denn was von wegen zahlen?

Irgendwann wirst du mal zahlen

 

[Batze]

Ich würde mein Forum für meine Webpräsenz auch selber coden. Das ist auf jeden Fall sicherer. Aber es ist ein großer Zeit- und Arbeitsaufwand, nicht jeder will für ein Clanboard gleich selber was coden, manchen können es nicht. Also nimmt man ganz einfach ein CMS bzw. eine fertige Forensoftware. Das ist komfortabel und einfach. Finde ich grundsätzlich auch falsch, aber noch schlimmer finde ich dieses Hacken, dann sollen sie das Forum der Entwickler hacken oder ein Testforum, aber nicht irgendwelche Foren von irgendwelchen ahnungslosen Menschen.

mfg fs

Du glaubst doch nicht selbst das was du da schreibst.
Den möchte ich mal sehen der eine Forensoftware ala wbb/vb/ubb und so weiter mal so auf die schnelle für ne kleine Hp selbst coden könnte.
Und sicherer schon gar nicht.
Da sind nämlich meistens einige Jahre an Entwicklung eingebunden.
Außerdem sind da nämlich Profis am werkeln die Ahnung von haben und das sicherlich besser können als wir kleinen gelegenheits php coder.

Das es hier und da mal ein Sicherheitsloch gibt ist leider nicht von der Hand zu weisen.
Aber hundert prozentig hätte das Sicherheitsloch auch bei dir gewirkt.
Also mach mal keinen auf Supercoder und das du es besser könntest.

Wenn du allerdings ein kleines Popelforum das nicht mehr funktionen hat wie ein Gästebuch, dann kann man das eventuell sicherer machen.
Aber auch nur wenn man sich sehr gut mit php auskennt.

 

[skicu]

Du glaubst doch nicht selbst das was du da schreibst.
Den möchte ich mal sehen der eine Forensoftware ala wbb/vb/ubb und so weiter mal so auf die schnelle für ne kleine Hp selbst coden könnte.
Und sicherer schon gar nicht.
Da sind nämlich meistens einige Jahre an Entwicklung eingebunden.
Außerdem sind da nämlich Profis am werkeln die Ahnung von haben und das sicherlich besser können als wir kleinen gelegenheits php coder.

Das es hier und da mal ein Sicherheitsloch gibt ist leider nicht von der Hand zu weisen.
Aber hundert prozentig hätte das Sicherheitsloch auch bei dir gewirkt.
Also mach mal keinen auf Supercoder und das du es besser könntest.

Wenn du allerdings ein kleines Popelforum das nicht mehr funktionen hat wie ein Gästebuch, dann kann man das eventuell sicherer machen.
Aber auch nur wenn man sich sehr gut mit php auskennt.

Auch wenn die eigene Forensoftware nicht sicher ist - wer bitte macht sich die Mühe, Sicherheitslücken zu finden, wenn das Ding auf nur einer Webseite läuft?

P.S.: Nem Fanclub zu nem fertigen Forum anzugehören ist irgendwie .. naja, egal.

 

[forestspyer]

Du glaubst doch nicht selbst das was du da schreibst.
Den möchte ich mal sehen der eine Forensoftware ala wbb/vb/ubb und so weiter mal so auf die schnelle für ne kleine Hp selbst coden könnte.
Und sicherer schon gar nicht.
Da sind nämlich meistens einige Jahre an Entwicklung eingebunden.
Außerdem sind da nämlich Profis am werkeln die Ahnung von haben und das sicherlich besser können als wir kleinen gelegenheits php coder.

Das es hier und da mal ein Sicherheitsloch gibt ist leider nicht von der Hand zu weisen.
Aber hundert prozentig hätte das Sicherheitsloch auch bei dir gewirkt.
Also mach mal keinen auf Supercoder und das du es besser könntest.

Wenn du allerdings ein kleines Popelforum das nicht mehr funktionen hat wie ein Gästebuch, dann kann man das eventuell sicherer machen.
Aber auch nur wenn man sich sehr gut mit php auskennt.

Ob dus glaubst oder nicht, wenn man mit Coden sein Geld verdient, kann man auch so etwas relativ schnell auf die Beine bekommen. Ist zwar kein Überboard, das alle Features der Welt enthält, aber es hat alles, was ein Message Board braucht und ich würde so etwas nicht als Popelforum betiteln. Und selbst wenn ein Sicherheitsloch drin ist, niemand würde sich wegen diesem einen Board die Mühe machen, das zu suchen.

mfg fs

 

[Seashore]

Fest steht, daß halt nicht jeder die Zeit hat, sich ein eigenes Forum zu coden - und daß einem auch dabei Ausrutscher passieren können. Eine vollkommen sichere Software gibt es nicht, nirgends. Bei selbstgemachten Scripten hat man zwar mehr Kontrolle über den Code und kann sich bei einem Sicherheitsproblem wenigstens an den eigenen Kopf fassen, aber grundsätzlich sicherer als die Machwerke Dritter ist es nicht allein dadurch, daß man es selbst gecodet hat.

Das Problem besteht eher in der Größe solcher Systeme. Ab einer gewissen Menge an Code wird es zunehmend schwieriger, wirklich alle Eventualitäten abzudecken, und wenn da mal einer der Entwickler einen schlechten Tag hat - wupps, schon wird irgendwo eine Eingabe nicht gefiltert.

Ob es OpenSource ist oder nicht, spielt dabei übrigens eine ziemlich untergeordnete Rolle (ich möchte dabei nur auf die ständigen Sicherheitsprobleme in einem gewissen sehr weit verbreiteten Betriebssystem und Browser verweisen). Die Frage ist nur, wie schnell die Entwickler solche Lücken finden und ausbessern. Und spätestens dann ist es Sache des Anwenders, einen Patch zu installieren, sobald er da ist - und nicht erst wenn etwas passiert.

Daß die neue Version des Wurms nicht nur auf phpBB, sondern auf alle PHP-Applikationen abzielt, die Parameter per GET übergeben, und dort nach eventuellen Sicherheitsproblemen bohrt, wurde ja bereits von einem meiner Vorredner erwähnt.