possibile explot su invision board 2.0.4

[HyperSonic2097]

Dunque, oggi verso le 5 di pomeriggio ho notato che un nuovo utente si era registrato a nome di "waxo" sul mio forum (IPB 2.0.4). Qualche minuto dopo ha uploadato un file creando una discussione col nome di "test" ed ha cancellato quest'ultima. Fino a qui non ho fatto molto caso ma circa una decina di minuti dopo ho visto che quest'ultimo aveva acquisito i poteri di admin; non ci ho messo molto ed ho bannato ip,mail ed ho cancellato l'utente. Purtroppo però ho notato che sul forum si è intromesso adesso un trojan col nome di exploit.WMF ed in seguito altri due trojan. Questo problema l'ho riscontrato sopratutto con IE che esegue una sorta di prompt dei comandi e blocca tutto,ed in seguito con Firefox, avendo però Nod32 come antivirus. Leggendo tra gli indirzzi su cui si connetteva il forum ho notato che và in un proffy209.com (che a quanto pare cercando informazioni in giro, non è la prima volta che sto sito rompe a qualcuno) ed altri con nomi sconosciuti Oo


Ho anche fatto degli screen che mostrano cosa succedeva accedendo al forum :

http://img65.imageshack.us/img65/405/01vj0.png

http://img107.imageshack.us/img107/531/02gt9.png

http://img140.imageshack.us/img140/7854/03wf1.png



Ho controllato sia la board che il MySql ma non riesco a capire cosa sia...aiuti al riguardo ?


poi un altra cosa.. ho dei dump del database che sono stati salvati così

INSERT INTO `ibf_skin_macro` (`macro_id`, `macro_value`, `macro_replace`, `macro_can_remove`, `macro_set`) VALUES (3494, 'P_CLOSEEOPT', '[img][/img]/p_optsclose.gif'' border=''0'' alt=''Close'' />', 1, 1),
(3493, 'P_OPENEOPT', '[img][/img]/p_entryopts.gif'' border=''0'' alt=''Entry Options'' />', 1, 1),
(3492, 'SORT_DESC', '[img][/img]/sort_desc.gif'' border=''0'' alt=''desc'' />', 1, 1),
(3491, 'SORT_ASC', '[img][/img]/sort_asc.gif'' border=''0'' alt=''asc'' />', 1, 1),
(3479, 'B_EXT', '[img][/img]/be_new.gif'' border=''0''  alt=''External Blog'' />', 1, 1),
(3480, 'E_PUB', '[img][/img]/e_pub.gif'' border=''0''  alt=''Entry'' />', 1, 1),
(3481, 'E_LOCK', '[img][/img]/e_pub_lock.gif'' border=''0''  alt=''Closed'' />', 1, 1),
(3482, 'E_DRAFT', '[img][/img]/e_draft.gif'' border=''0''  alt=''Draft'' />', 1, 1),
(3483, 'E_DLOCK', '[img][/img]/e_draft_lock.gif'' border=''0''  alt=''Closed'' />', 1, 1),
(3484, 'P_LOCK', '[img][/img]/p_lock.gif'' border=''0''  alt=''Lock entry'' />', 1, 1),
(3485, 'P_UNLOCK', '[img][/img]/p_unlock.gif'' border=''0''  alt=''Unlock entry'' />', 1, 1), 

ma non riesco a ripristinarlo (penso perchè non c'e insert ecc in tutte le righe). come posso fare?

[mafeldj]

ciao hype
non ti so aiutare ma ti uppo

[luca200]

Originariamente inviato da HyperSonic2097
ma non riesco a ripristinarlo (penso perchè non c'e insert ecc in tutte le righe).

Non è sicuramente quello il motivo.
Forse la query di ripristino è troppo grossa, spezzala.

[kuarl]

è successo anche a me, il tipo modifica i template del forum, in particolare quello generale, aggiungendo un iframe all'inizio della pagina che include il pastrocchio. Attualmente non sono ancora riuscito a venirne a capo, semplicemente quando succede (una o due volte al mese) ripristino il template come era prima. Da me però invece creare un utente con i diritti da admin, riesce ad accedere con i dati di un admin esistente... non so' come faccia...

[HyperSonic2097]

ciao hype
non ti so aiutare ma ti uppo

ciao

cmq Kuarl, quindi se ripristino tutte le tabelle riguardanti il template da un backup non infetto dovrei riuscire a sistemare? più che altro vorrei capire se sto frocio ha toccato solo l'sql (in questo caso rimetto su un backup di qualche giorno fa, ed auguratemi buona fortuna perchè sono 60 MB <_<) o proprio ha modificato qualche file su ftp.
cmq quel finocchio ti accede ancora al forum? si tratta proprio di quel sito, proffy209?

Non è sicuramente quello il motivo.
Forse la query di ripristino è troppo grossa, spezzala.

gia provato ma non so perchè da errore, mentre sò per certo che un database che contiene la riga di comando ad ogni riga funziona benissimo. non ci sono programmi per ripristinare database sql senza spezzettarli? perchè come ho gia detto sono 60 MB di database, è da suicidio

[kuarl]

non c'è bisogno di ripristinare un dump, accedi al pannello di controllo e ripristina i template con gli strumenti di invision

[GoLBeZ]

Forse un po' off-topic ma...

http://www.mysqlfreaks.com/forums/in...ct=Reg&CODE=00