Foro de elhacker.net

Seguridad Informática => Seguridad => Mensaje iniciado por: Arkanth en 2 Diciembre 2013, 21:41 pm



Título: Seguridad en foros
Publicado por: Arkanth en 2 Diciembre 2013, 21:41 pm
Hola, igual es demasiado precipitado pedir ayuda en el primer post, pero hace un tiempo me ayudasteis bastante en este foro con un problema de seguridad web y ahora que tengo otro podia pensar sitio mejor para preguntar xD

El caso es que hace tiempo me cree un foro con Foroactivo, en phpbb3 estandar, y ningun problema hasta ayer, que, un tipo, extrajo unos cuantos posts del foro, imagino que parte de la DB y los colgo en su propia web para filtrar lo que se decia en el foro. Imagino que es alguien con permisos de usuario en el foro, pero no se quien, pues, en los posts que extrae, sale conectado como un usuario, pero dudo mucho que se trate de el, y cuando apreto a algo, me redirige a esa misma opcion en el foro real, no el la extraccion, de ahi que suponga que es una extraccion literal del codigo fuente.

El caso es que agradeceria mucho si alguien me puede decir, primero, una forma de averiguar quien ha filtrado realmente esos posts, y segundo, como cojones se extrae la base de datos con tanta facilidad para intentar poner una solucion. Muchisimas gracias de antemano, enserio.

PD: Una cosa sospechosa es que cuando edito uno de los posts del supuesto usuario que ha filtrado, el que aparece como su cuenta, (el unico post que me deja editar, los demas tienen retirada la opcion) me lleva a editar otro post de otro usuario.

PD2: Si hace falta cuelgo links de lo que digo.


Título: Re: Seguridad en foros
Publicado por: r32 en 24 Diciembre 2013, 20:58 pm
Hola lo que comentas se puede hacer con un iframe colocado en su web, se verá el contenido del tema de tu foro, lo mismo lo he entendido mal, te refieres a eso?
Alguna forma de averiguar quien es? Se me ocurre que revises las cuentas de correo que utlizó durante el registro, con suerte si utiliza la misma para todo coincidirá el contacto de su web con el de registro que utilizó en tu foro.
Creo que no hace falta tener acceso a la DB para lo que comentas, a parte que siendo un user normal sin privilegios no puede acceder a ella, salvo que utilice algun bug que le permitiese descargar una copia de tu configuración.

Saludos.