Jak podejść do włamania na forum

[Kobcio]

Historia jest taka, że jestem modem na forum szkolnym, a admin się dowiedział, że interesuję się bezpieczeństwem komputerowym, to poprosił mnie o zobaczenie jak z bezpieczeństwem na naszym forum tylko, że ja mam wiedzę bardziej teoretyczną, niż praktyczną w tym zakresie i tak średnio wiem od czego by tu zacząć, więc mam pytanie ogólne : W wypadku włamywania się na forum na jakie rzeczy zwrócić uwagę i jakie są "standardowe" sposoby wejścia, jakie usługi atakować ? Osobiście zwróciłem uwagę ( po przeskanowaniu ) na port 21 gdzie jest PureFTPD, szukałem już dłuższy czas exploitów na to, ale nie znalazłem nic co by działało ... bo odszukałem 2, ale niestety niefunkcjonujące ... być może przestarzałe ... ale nie mam dostępu do wiedzy jaka to wersja. Aha ... forum to PHPBB by Przemo (wersja unknown), stoi na Apache 1.3.37 jakby ktoś wiedział od jakiej strony by się za to zabrać, albo jak ugryźć to byłbym wdzięczny bo na razie to szukam na ślepo A wychodzę z założenia, że nie ma systemu "nie-do-ruszenia", a już tym bardziej forum na szkolnym serwerze. A propos jeśli to coś pomoże to serwer to Suse linux 10 wersja serwerowa, jadro 2.4 dokładniej nie mogę określić

[Eragon Argetlam]

Bardzo przyjemnie się odpowiada na tego typu posty. Na moje to aby zapewnić bezpieczeństwo to pierwsza gruntowna sprawa hasła- kluczowi użytkownicy powinni zmieniać hasła dość czesto wybierajac kombinacje cyfr, liter i znaków specjalnych (chodzi mi o modów i adminów). Drugą sprawą jest phpbb by przemo unkow - dość czesto czytam, że są nim błędy.Ale każde forum ma swoje plusy i minusy. Następnym zagadnieniem jest bezpieczeństwo serwera- jeśli jest on dostęp- np stoi w pracowni informatycznej to trzeba uważać na zabezpieczenia fizyczne (myślę o zniszczeniach, stłuczeniach zalaniach przepaleniach) drugą rzeczą są ataki sieciowe, przed którymi trudno jest się ustrzec- najlepsze wyjście według mnie to firewall, NAT, proxy no i standart anty wir.

Mam nadzieje że dobrze myślę

[Kobcio]

Drugą sprawą jest phpbb by przemo unkow - dość czesto czytam, że są nim błędy.

A ja myślałem, że potrafię używać Google bo jakoś o błędach w phpBB młodszych niż 2-3 letnie to nie słyszałem ... cóż poszukiwania czas zacząć a serwerek stoi ponoć w osobnym pomieszczeniu w szkole ... no i jest podpięty bezpośrednio do sieci miejskiej niemniej firewall o ile ma to słaby bo skan wykazuje 16 otwartych portów, od najróżniejszych usług

[kosiarz]

Nawet na tej stronie znajdziesz z przed roku.

[Kobcio]

No fakt ... są, nawet kilka tylko, że to są Remote Inclusion przez XSS, więc "nieco" trudniejsza sprawa od prostego exploita widzę, że chyba przy ataku na forum nie ma prostych metod i trzeba bardziej wyrafinowanych sposobów więc na razie raczej dam spokój sobie i przyznam, że jeszcze sporo nauki przede mną (szczególnie jakiegoś języka skryptowego)

EDIT:
Właśnie siedząc na forum o którym mowa, zauważyłem, że można wprowadzić do postu znaczniki HTML, aż się za głowę złapałem... minimalnie znam JS więc szybko napisałem tam posta ze skryptem wyświetlającym prosty komunikat i o zgrozo po zatwierdzeniu te komunikaty rzeczywiście się pojawiły przy oglądaniu gotowego posta ... może i mało się znam, ale za takie coś to nawet ja mogę admina zbesztać ...

[TQM]

Przeczytalem dyskusje i po pierwszym posice odeslalbym do nauki... bo atakujac forum atakujesz forum - software dostarczajacy interfejs przez WWW a nie system, wiec gadanie o uslugach nie ma sensu... to sa zupelnie rozne formy ataku - to tak dla scislosci

Reszta juz lepiej... i podoba mi sie stwierdzenie

widzę, że chyba przy ataku na forum nie ma prostych metod i trzeba bardziej wyrafinowanych sposobów

... fora sa rozne, lepsze i gorsze... kazde moze potrzebowac czegos innego