Взлом форума

[Instructor]

16 августа 2026 года форум был взломан. Удалено множество сообщений. То, что осталось уже было не пригодно, т.к. удалённые id постов в базе чередовались, создавая разрозненные куски. Поддержка SourceForge сообщила, что они не делают регулярных бэкапов. Последнее, что они могут восстановить от 2023 года. С моей стороны самый актуальный бэкап, который я делал, нашёлся от 06 октября 2024. Он и был восстановлен.

Предполагаемая проблема phpBB версии 3.3.10: "пользовательские данные обрабатывались некорректно, что могло привести к потенциальной SQL-инъекции через данные полей профиля." Форум phpBB обновлён до последней версии.

Итог:
Утерянные посты 06.10.2024 - 16.08.2026

[Infocatcher]

Ах вот, что за странности я видел 16 августа, вот такое сообщение было, оставил себе заметку, чтобы позже перепроверить:

https://akelpad.sourceforge.net/forum/
You have been permanently banned from this board.
Please contact the Board Administrator for more information.
Reason given for ban: https://tagan.priv.at
A ban has been issued on your IP address.

В зависимости от подхода разработчиков phpBB к солению хэшей, рекомендуется всем пользователям сменить пароль, особенно если он задействован где-то еще.

А еще описание итога не похоже на ручной взлом (раньше на старых страницах или в старых темах могли налепить рекламы ради перекрестных ссылок и прочего SEO, поглубже, чтобы не сразу обнаружилось), а тут как будто нейронку натравили. И это пугает, проекты с открытом кодом более уязвимы, особенно если не обновлены до последних версий. А теперь даже не надо ждать, когда кто-нибудь опубликует уязвимости, можно проанализировать исходный код.

Есть смысл спрятать стандартные администрирующие ссылки, добавить редиректы.

Файловое хранилище не затронуто? Только форум?
Хотя бы логи запросов у SourceForge есть?

На пробу скачал пакеты плагинов – они совпадают с теми, что я сохранил в мае.

[Instructor]

Файловое хранилище не затронуто? Только форум?

Только база форума.

Хотя бы логи запросов у SourceForge есть?

Возможно. Чтобы узнать были ли select'ы к таблице phpbb_users, где хранятся хэши паролей?

[Infocatcher]

Только база форума.

А вот это интересно, через доступ к базе форума, в зависимости от того, что приводило к SQL-инъекции (не было экранирования перед записью вообще или была какая-то фильтрация, но недостаточная), можно либо угнать учетную запись администратора (записать хэш-сумму своего пароля) и включить какую-нибудь загрузку файлов или установку модов к движку форума (и там могут быть свои уязвимости), либо получить только возможность на какие-то конкретные действия (только удаление?).
Поискал уязвимости phpBB про SQL-инъекции, но что-то нашел только про уязвимый процесс миграции при обновлении версии движка.

Чтобы узнать были ли select'ы к таблице phpbb_users, где хранятся хэши паролей?

Приятель, который видел логи полноценного хостинга после взлома, так пока и не прочитал мое сообщение с вопросом, есть ли у него бэкапы.
Вроде, должны быть и логи запросов (к каким URL и с каких IP обращались).
И логи запросов к серверу базы данных.
Тут бы убедиться, что кроме базы ничего не затронуто (не знаю, как формализовать алгоритм, будто бы должно быть видно IP запросов, повреждавших базу, а с этих же IP – запросы к URL'ам, если сумели залить свой PHP-код куда-то – должны бы остаться обращения-запросы). Когда-то давно так родилось вот это наколенное поделие, но оно не умеет обходить запрет на увеличение max_execution_time (и должно быть сохранено состояние до взлома).
А насчет базы – по идее, да, не было ли обращений в сторону таблицы с хэшами.
Но без полноценного доступа к серверу это все напоминает анекдот про обои и замочную скважину.

[Instructor]

Но без полноценного доступа к серверу это все напоминает анекдот про обои и замочную скважину.

Так точно