phpBB.com hacked

[Kevin]

It seems that phpbb.com has been hacked and userdata has been copied.
Everyone using the same password at phpbb.com and here, should change it immediately!
As well as on other sites.

---

Es hat den Anschein, das phpbb.com gehacked wurde und Userdaten ausgelesen wurden.
Jeder, der hier und auf phpbb.com das selbe Passwort benutzt, sollte es hier schnell ändern!
Ebenso auf anderen Seiten.

[Marc]

Wieso gibt es eigentlich immer solche Idioten, die Seiten hacken und dann auch noch öffentlich damit prahlen?
Hoffentlich war der Typ so blöd und hat keinen Proxy genutzt um bei blogspot den Blog zu eröffnen.

Wenn ich das richtig sehe, ist phpbb.com jetzt offline um den Fehler zu beheben und wird dann wahrscheinlich die nächsten Stunden wieder online gehen.

[Kevin]

Der hat einen Proxy benutzt:

Next I enabled my favorite program proxy program and tried

Und ist bestimmt kein Anfänger.

Wenn ich das richtig sehe, ist phpbb.com jetzt offline um den Fehler zu beheben und wird dann wahrscheinlich die nächsten Stunden wieder online gehen.

Die werden den Stecker gezogen haben, das einzig richtige in der Situation. Aber das die in den nächsten Stunden wieder online gehen, davon würde ich nicht ausgehen. Überleg mal was die jetzt alles machen und überprüfen müssen. Alle Scripte checken, Passwörter ändern, updaten, nach Backdoors des Hackers suchen.
Wenn die innerhalb der nächsten Tage wieder online sind, denn sind die fix nach meiner Einschätzung.

[japagun]

can you tell us in english please some more details about this???!!!!

[Mike]

Vor nem Jahr is doch auch phpbb.de gehackt worden, auf ne ähnliche art und weise, oder?
Ne Seite zu hacken und die Daten für Spamming zu benutzen is ja das eine, aber dann alle Userdaten inclusive Passwort hashes als Download zur verfügung zu stellen, das is wirklich mies...
Ich hab zwar im groben Verstanden wie der das nun gemacht hat, aber sollte da nicht eigentlich jeder ein potentielles Ziel sein, der phpbb3 drauf hat?!?

... Ne tolle Step by Step Anleitung gibts ja nun bereits dazu

[Marc]

English Translation:

He actually used a proxy:

Next I enabled my favorite program proxy program and tried

Und ist bestimmt kein Anfänger.

The way I see it, phpbb.com is offline right now in order to solve the problems and will be back up in a few hours.

They probably took the server down, the only right thing to do in this situation. However, I don't think they will be back up in a few hours. Think of what they have do and check now. Check every script, change the passwords, update and look for the backdoor of the hacker.
They are really fast, if they are back up in the next few days.

He still doesn't seem to be the brightest, or he would have tried to crack the passwords with rainbow tables. Brute Force is basically the slowest method you can use.

edit: So ich das verstanden habe liegt der Fehler ja nicht in phpBB3 sondern in phplist.

edit2: Mal gucken wie sicher meine neuen Passwörter sind. (RainbowTables werden schon runtergeladen )

[Christian_N]

Na dann wird wohl die Tage phpBB 3.0.5 rauskommen wenn da eine Sicherheitlücke in phpBB3 war.

Aber wollt ja eh mein PW noch ändern auf den ganze Seite wo ich bin, mach ich sowieso einmal im Jahr.

EDIT:

edit: So ich das verstanden habe liegt der Fehler ja nicht in phpBB3 sondern in phplist.

Na dann doch kein Update.

[Mike]

Seltsam das auf pbpbb.de davon nix zu lesen ist. Ausgerechnet dort sollten die Leute ja auf jeden Fall gewarnt werden, zwecks Passwort ändern und so...
Oder haben die Angst vor einer neuerlichen Panik, wie sie da schon vor nem Jahr ausgebrochen is... :/

[Marc]

Es gibt nen Thread im Community Talk.

[Kevin]

Na dann wird wohl die Tage phpBB 3.0.5 rauskommen wenn da eine Sicherheitlücke in phpBB3 war.

Nein, wohl keine Lücke in phpBB3.

edit: So ich das verstanden habe liegt der Fehler ja nicht in phpBB3 sondern in phplist.

So habe ich das auch verstanden. Darüber ist er rein gekommen und hat sich dann weiter durch gefräst.

[Christian_N]

Die Admin sind dort immer etwas langsamer, wenn ein neues release raus kommt stet die news bei phpBB.de auch manchmal erst 1-2tage später dort.
Wo schon die User vorher im Community Talk plaudern.

Habe mal bei meine beide Seite auch in "Announcements & News"-Forum als Zitat es verfasst, mit der bitte das Passwort zu ändern, auch habe ich im ACP mal "Passwortänderung erzwingen:" aktiviert das nach 180Tage (ca. halbes Jahr) das Passwort geändert werden muss.

[Kevin]

Bestätigt:

Aus dem IRC-Channel:

The topic for #phpbb is: We are sorry to report that we have been attacked through a vulnerability in an outdated PHPList installation. phpBB.com and related sites will remain unavailable while we work to recover. No new vulnerabilities have been found in the phpBB software itself. | phpBB 3.0.4 available from http://www.ohloh.net/p/phpbb/download | Support available from this IRC channel | We apologise for the inconvenience

Wer das phpBB Subversion Repository braucht, findet hier ne Kopie: http://code.bantux.org/svn/phpbb/

Quelle: http://www.phpbb.de/community/viewtopic ... 3#p1076703

[Christian_N]

Na dann braucht man sich keine Sorgen machen das ggf. sein eigenes Board noch gecrackt wird weils ne Lücke in der Software gewesen wäre, also noch mal Schwein gehabt.

das Passwortänderung erzwingen funktioniert nicht schlecht kaum hatte ich es im ACP aktiviert gehabt wurde ich nachdem ich auf Foren-Übersicht wollte auf die Profil-Seite geleitet um das Passwort zu ändern, konnte keine Seite mehr aufrufen.

[Mike]

Ah, danke... is ja schön versteckt... Ich denke ich weis auch warum...

Die phpbb.de Staff dürfte ja ein kleines Déjà-vu haben.

[Marc]

Egal wie oft die meinen MD5-Hash holen, bis die mein neues Passwort knacken dauerts ganze schön lange:
Anzahl benötigte Versuche: 29.704.107.513.041.915.767.971.641

Die Sicherheit eines Passwortes kann man übrigens auch hier checken: https://passwortcheck.datenschutz.ch/check.php?lang=de