vBulletin 4.2.2 verfügbar - Feedback

[Masterix]

Mal eine blöde Frage ..., ich kann diese Beta im Kundenbereich nirgendwo finden. Wie komme denn an diese Version ran? Liebe Grüsse: Tammy

Im Kundenbereich, rechts auf (...) herunterladen klicken und dann dort, oben Links bei "Version", die Betaversion auswählen und herunterladen.

[Tamara-Jasmin]

da is bei mir wohl was anders .. hab da nur startseite und PW ändern .. habs aber dort anderswo gefunden (andere Downloadoptionen) - und ist leider nur in Englisch verfügbar.

Liebe Grüsse:
Tammy

[kevin2007]

Im Kundenbereich ist stillschweigend nun eine 4.2.3 verfuegbar. Ist das noch eine Beta/RC oder eine fertige Version?
Wo ist die Ankuendigung dazu? Weder hier, noch bei vBulletin selbst.. bin daher etwas verwirrt.

[MrD]

Naja die Version ist seit Ende Juli verfügbar
http://forum.vbulletin-germany.com/s...C3%A4nderungen

[kevin2007]

Hm okay, mir wurde es vorgestern erst im ACP angezeigt. Dennoch ist meine bzw. diese Frage noch offen:

Auch bin ich es gewohnt, Änderungen zu erfahren. Folgt diese Beschreibung noch in kürze ?

[MrD]

Sehe das du das Thema nicht gelesen hast.

[StarShaper]

Ich bekomme keinen Zugriff mehr auf mein Kundenmenü.

Deshalb kann ich den verdammten Patch nicht herunterladen.

Jetzt musste ich auch noch feststellen, dass irgendein Idiot unter dem Proxy 77.247.181.162 offensichtlich den Exploit ausgenutzt hat.

/forum/forumrunner/request.php?d=1&cmd=get_spam_data&postids=-1)union%20select%201,2,3,(select%20(@x)%20from%20(select%20(@x:=0x00),(select%20(0)%20from%20(jos_users)where%20(0x00)%20in%20(@x:=concat(@x,0x3c62723e,id,0x3a,name,0x3a,username,0x3a,email,0x3a,password,Limit0x3330))))x),5,6,7,8,9,10--%20-

Wo zum Teufel bekomme ich den Patch her?

[pogo]

Schön, dass du den Zugang zum Kundenbereich inzwischen wiederherstellen konntest.

[StarShaper]

Schön, dass du den Zugang zum Kundenbereich inzwischen wiederherstellen konntest.

Damals hat auch kein Recovery funktioniert.

Ich konnte jetzt von 4.2.1 auf 4.2.3 Level 2 aktualisieren. Einen Patch für 4.2.1 gab es ja nicht. Hinzu kommt, dass ich auf PHP 5.4 hochgehen musste, weil 5.3 nicht ausreichend war.

Ist aber ein schwacher Trost. Ich muss jetzt die Logs von gestern durchgehen und schauen was der User mit der IP 77.247.181.162 alles getrieben hat.

Es sieht so aus, als hätte er unter anderem die Tabelle "Users" der Joomla Installation über den Exploit ausgelesen, nachdem er sich das Datenbankschema geholt hatte. Ausgesprochen ärgerlich, vorallem weil ich das Addon Forumrunner überhaupt nicht aktiv habe.

Die Zugangspasswörter habe ich mittlerweile auch alle geändert, obwohl die Backends separat über Htaccess geschützt sind. Mit den gesalzenen Hashes der User wird der Angreifer/Depp aber ohnehin wenig anfangen können. Dummerweise hat er jetzt alle E-Mail-Adressen.

[alcazar]

Das dürfte unerheblich sein, ob in vB das Addon "aktiv" ist oder nicht, wenn die Dateien vorhanden und aufrufbar sind.

Les ich das richtich, das bei Euch mehrere Anwendungen in der GLEICHEN Datenbank gespeichert sind?
Das ist unüblich, schon wegen Datensicherheit und -konsistenz, normal nimmt man pro Script/Anwendung eine DB.
Denn wenn die DB gelöscht wird / defekt ist / kompromittiert etc. könnten alle beteiligten Anwendungen betroffen sein, statt einer einzelnen.
Danke.

PS: Die fragliche IP scheint auf ein Tor-Netzwerk zu verweisen, also wohl kein gewöhnlicher "Angriff" ...

[Jaydee]

PS: Die fragliche IP scheint auf ein Tor-Netzwerk zu verweisen, also wohl kein gewöhnlicher "Angriff" ...

Genau das schrieb er ja oben selbst schon, TOR = (der wohl bekannteste) Proxy bzw. Onion-Router:

Jetzt musste ich auch noch feststellen, dass irgendein Idiot unter dem Proxy 77.247.181.162 offensichtlich den Exploit ausgenutzt hat.

Nein, ein "gewöhnlicher Angriff" (wie auch immer der aussehen mag) ist es sicher nicht.

Zum Thema "getrennte Datenbanken" kann ich Dir nur absolut zustimmen. Genau das empfehle ich auch immer wieder, macht aber trotzdem nicht jeder Betreiber. Auch wenn meistens (mehr als) genug Datenbanken im Web-Paket zur Verfügung stehen und nur konfiguriert werden müssten.
Auch die reine DB-"Pflege" gestaltet sich dadurch teils deutlich einfacher, zumal die "Crash-Gefahr" einzelner Tables dadurch deutlich minimiert wird.
Aber Viele arbeiten lieber mit Prefixes, um die jeweilige Anwendung "wieder zu erkennen" und doppelte Tables zu vermeiden.

[StarShaper]

Ein Noob war nicht am Werk.

Das sieht man schon daran, dass der Angreifer über einen Proxy arbeitete und die SQL-Statements, die injected wurden sind komplex. Das heißt der User wußte, was er tat.

Aber der Exploit ist im Netz überall erklärt. Das die Script-Kiddies sich irgendwann darauf stürzen war irgendwie klar.

Anscheinend scannen einige Idioten das Internet nach nicht gepatchten vBulletins ab und nutzen dann den Exploit aus.

Der Angreifer hat sich gezielt die Tabellen mit User-Daten beschafft. Sowohl Namen, als auch E-Mail-Adressen und gehashte Passwörter.

BTW:

Das Anwendungen möglichst separate DBs nutzen sollten ist klar. Da ich aber vom Hoster nur noch 1 DB bekomme, musste ich Joomla und vB in einer DB installieren.

[alcazar]

Aber der Exploit ist im Netz überall erklärt. Das die Script-Kiddies sich irgendwann darauf stürzen war irgendwie klar.
Anscheinend scannen einige Idioten das Internet nach nicht gepatchten vBulletins ab und nutzen dann den Exploit aus.

Das ist aber nicht nur bei vB so, das is bei vielen Anwendungen.

Das Anwendungen möglichst separate DBs nutzen sollten ist klar. Da ich aber vom Hoster nur noch 1 DB bekomme, musste ich Joomla und vB in einer DB installieren.

Lösung (auch auf die Gefahr hin gehasst zu werden ): einfach den Hoster wechseln.
Von div. Free-Hostern wie funpic/ohost, bplaced etc. ma abgesehen kenne eigentlich keinen Hoster wo man nur 1 DB/FTP etc. hat.

Schönes WE.

/* edit
@JayDee: Das mag sein, aber der Hoster wo derzeit bin, wie auch die vorigen hatten was DB/FTP/Email angeht keine Begrenzung.
Nur der Webspace an sich (MB/GB), evtl. Domains sowie der Traffic sind je nach Paket.
*/

[Jaydee]

Das ist ja immer vom gewählten Tarif/Paket abhängig.
Bei den ganz minimalistischen Paketen unter 5,- Euro (meist für rein private oder kleine Firmen Pages) mag es das vereinzelt evtl. noch geben, z.B. bei allinkl.com oder Hosteurope/DF könnte ich mir das denken.

Aber Du hast Recht, bei den anderen "namhaften" kommt das wohl heute kaum noch vor, minimaler Standard ist eigentlich eher 3 DBs und natürlich aufwärts.

Ich weiß beispielsweise, dass es bei Artfiles nur noch einen Tarif ganz ohne Datenbank gibt, das ist der "Private Tiny" und der "kostet" mal gerade schlappe 25 Cent! Da kann man das wirklich nicht erwarten.
Der nächste, das ist der "Private Medium", hat für 2,99 € bei 3 Freimonaten bereits 5 Datenbanken inkludiert! Für 10 Euro bekommt man 50 und für 15 Euro 100 Datenbanken bei insgesamt 150 GB Space usw...

Also Geld kann heutzutage wirklich kein Argument dafür mehr sein.