Konsekwencje ataku na diyaudio.pl

[Q]

Ponieważ doszło do osadzenia w kodzie naszego serwisu kilku backdoor'ów możliwe jest, że zostały przechwycone hasła logowania. Dlatego też proszę wszystkich, którzy byli zalogowani na forum diyaudio.pl po 26.lutego o zmianę swoich haseł logowania do serwisu.
Obecnie nie stwierdziłem żadnej anomalii w kodzie strony ale proszę zachować czujność i w razie czego niezwłocznie mnie informować o nieprawidłowościach. Z góry dziękuję.

[djrobo]

z tego co widze nie mozna wklejac zdjec?

[pegelmesser]

z tego co widze nie mozna wklejac zdjec?

Szybko sie obudziles, zalacznikow nie ma od paru miesiecy juz...

A tak wogole jak mozna zhackowac forum? Jak on sie dostal na serwer?

[ghazi]

Quester (tudzież inni spece od zabezpieczeń),

z czego wynika tak duża podaność DIYA na ataki? Chodzi o przestarzały mechanizm forum, czy moze zle zabezpieczone serwery?

Jakie byłby koszta przejścia na system Invision Power Board? (powraca temat dobrowlnych zrzutek $$$)

Z tym wyciąganiem haseł to mnie naprawde zmartwiłeś :(

[Pawel S.]

a ja sie zastanawiam jaki jest sens hakowania takiego forum? przeciez zadnej kozysci z tego nie beda mieli :???:

[Rfck]

Moze ktoś nie lubi tego forum, albo był tu kiedyś ktoś go pojechal i zrobił zemste :o

[Chilihead]

Rfck, Moim zdaniem robią to dla zabawy, żeby pokazać, że potrafią. Wiele chętnie odwiedzanych for jest hackowanych tylko dla zabawy.

Ale Bogu dzięki, że diyaudio jest z powrotem.

[DIGIPROCOMP]

Może ktoś z elki :grin: tam wieje nudą a dział DIY przypomina śmietnik :twisted:

Osobiście 8razy miałem przyjemność z trojanami i robakami przy próbie wejścia na forum.

[Pawel S.]

Może ktoś z elki tam wieje nudą a dział DIY przypomina śmietnik

tam jedynie garstka osob jest na tyle obeznana ze tematem zeby cokolwiek zrobic. a z tej garstki sporo osob jest zwiazane z nasza stronka...
tak wiec watpie zeby to mialo cokolwiek wspolnego z elektroda

[nik156]

Znając życie to wyciągnął baze danych,a mając bazę może mieć wszystkie hasła dlatego radze zmienić modelatorom hasło do profilu :)
A to ze dostał się na serwer to znaczy o jednym HOSTING MA BUGI I DZIURY :)

[pawel033]

ale mam farta. miałem zaufanie do diyaudio ( i dalej mam) i już miałem wyłączać avasta bo myślałem że to fałszywy alarm.

całe szczęście że już jest OK.

[damiani]

Znając życie to wyciągnął baze danych,a mając bazę może mieć wszystkie hasła dlatego radze zmienić modelatorom hasło do profilu :)

hasła są zaszyfrowane 32bitowym kluczem a rozszyfrowanie jednego zajęło by kilka lat przeciętnemu komputerowi
bardziej bał bym się spamu na maile.....

[kaczortrex]

podatności diyaudio.pl na ataki wynika głównie z przestarzałego engine - przemo 2003; cudów wtedy nie było, a i wiele luk odkryto; zapewne atak był poprzez sql injection, albo ktoś się bardziej postarał; w każdym bądź razie proponowałbym uaktualnienie do najnowszego engine, bo takie sytuacje będą się powtarzały; z darmowych można by zrobić migracje na smf, bo chociaż płatne fora są dobrze zbudowane, to uważam że ew. zebrane pieniądze lepiej zainwestować w serwerl ze swojej strony nie polecam mybb (mamy forum roku i jest przyjemne w konfiguracji, ale ma mało pluginów). w razie problemów oferuje się z pomocą

Znając życie to wyciągnął baze danych,a mając bazę może mieć wszystkie hasła dlatego radze zmienić modelatorom hasło do profilu :)

hasła są zaszyfrowane 32bitowym kluczem a rozszyfrowanie jednego zajęło by kilka lat przeciętnemu komputerowi
bardziej bał bym się spamu na maile.....

hmm, koleś może mieć dostęp do tzw klastrów i wtedy to nie będzie kilka lat, mógł przechwycić hasło logowania do bazy, korzystać z konta Questera etc, także nie byłbym taki pewny

A to ze dostał się na serwer to znaczy o jednym HOSTING MA BUGI I DZIURY :)

tyż prawdopodobne, że hosting nie radzi sobie z atakami; Quester gdzie są pliki forum? podaj na pw nazwe hostingu to sie pogoogluje opinie - i znowu powraca temat zrzutek

[marusmk]

podatności diyaudio.pl na ataki wynika głównie z przestarzałego engine - przemo 2003...............z darmowych można by zrobić migracje na smf,

Podpisuje się pod tym stwierdzeniem.

[Warg]

tylko ... np audiomania po zmianie engina zaczeło podupadać bo dużo ludzi było przyzwyczajonych do wyglądu strony, nowy im nie odpowiadał i ... chyba każdy wie co się stało ... :cry:

[Pawel S.]

jedno jest pewne - zadnych zmian systemu forum takich jak w przypadku audiomanii!
odkad tam zmienilo sie troce to jakos odechcialo mi sie zagladac :???:

[kaczortrex]

to chociaż do najnowszego bb uaktualnijcie, bo takie sytuacje bedą na poziomie dziennym

[dj_zibi]

Dokłądnie ten design jest najlepszy, ewentualnie VBiuletyn.

[n_omyzs]

jedno jest pewne - zadnych zmian systemu forum takich jak w przypadku audiomanii!
odkad tam zmienilo sie troce to jakos odechcialo mi sie zagladac :???:

O ile jakeis zmiany moglyby nastpic to nalzealoby propozycje zmian na poczatku przedyskutowac z userami. Np dac probne forum na nowym enginie zeby kazdy sobie przestestowal i dal glos np w ankiecie. To co Q. zrobil z audiomania to totalna porazka. Design zostal zmieniony ilestam razy bez konsultacji z nikim mimo ze widac bylo ze coraz mniej osob wchodzi na forum. Do tego Q. totalnie olal sprawe naszych sugestii (moze ma malo czasu ale jakos na diy czas znajduje). Tamto forum umarlo przez ataki a dobil je sam administrator i do dzis forum audiomania jest tylko SHOUTBOXEM czyli czatem gdzie codziennie gada ze soba garstka znajomych pare osob.. no i jakies pojedyncze posty. Najbardziej dobija to ze na audiomanii totalny brak administracji i moderatora. Smieszny jest fakt ze np ktos tworzy temat na tematy zieleniaka w "gotowych konstrukcjach" i nikt tego nie zmienia. Po prostu smieszne albo moze przykre? Mam nadzieje ze Q. nie zrobi tego samego z diyaudio....

No a pozostanie przy tym enginie jesli jest on podatny na ataki (a jest) moze spowodowac ze pewnego dnia polowa naszych postow zniknie (jak na AM) i od tego czasu zacznie sie powolny upadek forum... chyba trzeba cos zrobic. Moze wladza cos ruszy. Byle z glowa.......

[Q]

Jest takie słynne powiedzenie M. Twain'a: "Lepiej milczeć i wydać się głupim niż się odezwać i rozwiać wszelkie wątpliwości" (czytać między wierszami, a nie wprost). Nie będę teraz odkopywał statystyk z tamtego czasu, ale wierzcie mi, że forum umarło zanim zmodyfikowałem mechanizm. Modyfikacje mechanizmu były próbami ratowania tamtego serwisu, które przyniosły bardzo krótkotrwały skutek (chwilowy wzrost popularności), a dopiero ostatni zmiana była niesławną "kulą w płot" - popularność mimo zmiany mechanizmu nieuchronnie malała. Na przyszłość: jeśli nie znacie kulisów sprawy to zanim rzucicie fałszywe oskarżenia zapytajcie - tak przynajmniej sobie nie narobicie wstydu. Obecnie audiomanię z ogromną przykrością uznaję za upadłą.
De facto są trzy powody upadku audiomanii:
- pierwszy i najważniejszy to utrata połowy bazy danych na skutek włamania do serwisu (to był początek końca audiomanii)
- ogromny spadek popularności odnotowałem w statystykach w chwili przejęcia przeze mnie diyaudio.pl (myślę, że wnioski z tego faktu sami wyciągniecie)
- ostatnia zupełnie nie trafiona zmiana mechanizmu (i to jest jedyne co mogę sobie zarzucić, ale gdyby człowiek wiedział, że się przewróci to by się położył)
Takie jest niestety życie - nawet najlepsze idee czasem umierają śmiercią naturalną. Z całą pewnością postaram się uratować jak najwięcej wartości merytorycznej zawartej na audiomanii ale raczej nie podejmę kolejnych prób jej reaktywacji. Wiem, że nie zyskam sobie tym zwolenników, ale ratowanie na siłę upadłego serwisu nie jest najlepszym pomysłem na wypełnienie mojego wolnego czasu, którego i tak mam niewiele.

Na koniec: możecie mnie obarczać w 100% winą za upadek audiomanii - wasza wola. Fakt jest taki, że to Yoshi, MarekW, Grzesio, Lukasz i ja ją stworzyliśmy i to my ją prowadziliśmy przez cały czas jej istnienia z jednym drobnym problemem: ekipa sukcesywnie się wykruszała. Najpierw Lukasz, potem zainteresowanie serwisem stracił Marek. Została nas trójka i co ciekawe to ani Yoshi, ani Grzesio jakoś nie mają do mnie pretensji mimo, że audiomania jest w dużej części ich dziełem. Zastanówcie się nad tym.

[ Dodano: 2009-03-04, 11:14 ]
UPDATE:

Przeczytajcie sobie ten wątek i popatrzcie na różnice w Waszych opiniach. Czy nie dostrzegacie tego, że stoję między przysłowiowym młotem i kowadłem ? Jedni chcą zmiany na nowocześniejszy i bezpieczniejszy mechanizm, drudzy o zmianach nie chcą słyszeć. Ktoś proponuje zmiany "testowe". Inny przejście na komercyjny mechanizm, którego cena to 180$. Oczekujecie od mnie cudów Panowie. Najłatwiej krytykuje się tego co zarządza, a gorzej idzie Wam ustalenie działań, które zadowolą większość - popracujcie nad kompromisem, wtedy wprowadzę oczekiwane przez Was działania w życie. Chcecie zmian ? A potem znowu będę czytał pod swoim adresem zarzuty, które są pieprzeniem głupot, a nie konstruktywną krytyką ? Zacznijcie być konsekwentni w tym co piszecie. Zauważcie wreszcie, że cokolwiek nie zrobi administrator serwisu to dostaje mu się po tyłku - wykażcie odrobinę empatii. Tak było gdy serwisem zarządzał JS i tak jest gdy ja to robię (i pewnie zawsze tak będzie). Taka postawa naprawdę skutecznie zniechęca do konsultowania z Wami jakichkolwiek działań.