Sicherheitloch = $undeletetableusers Variable schützt nicht immer !

[redlabour]

Hallo,

z.Bsp. durch diesen Hack lässt sich auch der "Hauptadmin" auch wenn er geschützt ist sperren :

http://www.vbulletin.org/forum/showthread.php?t=65336
Warning Hack V1.0

Alle Mods können so auch die Admins sperren selbst den der durch o.g. Variable geschützt ist.

Den gebannte User werden zur "gesperrte User" Gruppe verschoben.

Schön und gut - aber ändern lässt sich das für diesen User nur noch in dem man o.g. Sperre rausnimmt ihn mit einem anderen Admin wieder zum Admin macht und dann wieder schützt.

Klar - es ist ein Makel dieses Hacks. Aber wie kann man den Schutz des Hauptadmins verbessern - er hätte auch vor Änderung zum "gesperrte User" geschützt sein müssen !

[Mystics]

Verschoben ins Hacking-Forum.

Warum sollte das ein Bug in vBulletin sein, nur weil ein Hack schlecht programmiert ist? Natürlich lässt sich jeder Schutz durch Veränderungen am Quellcode aushebeln, dies ist aber kein Fehler in vBulletin.

Diese Variable hilft bei allen vBulletin-internen Funktionen. Es ist unmöglich, auch noch jeglichen Hack dadurch zu entschärfen.

[redlabour]

Ja - so hatte ich das auch nicht gemeint !
Weiss den jemand wie man den Hack so absichert das er die variable berücksichtigt und diesen einen Admin wenigstens komplett ausnimmt ?

btw - @Mystics - es wurden keine Veränderungen am Code vorgenommen sondern lediglich neuer hinzugefügt. Gibt es nicht die Möglichkeit den Hauptadmin noch besser zu schützen ?

[Mystics]

btw - @Mystics - es wurden keine Veränderungen am Code vorgenommen sondern lediglich neuer hinzugefügt. Gibt es nicht die Möglichkeit den Hauptadmin noch besser zu schützen ?Nein.

Wenn ein Hack z.B. diesen Code hinzufügt (egal wo und warum...nur ein Beispiel....):
$DB_site->query("DELETE FROM " . TABLE_PREFIX . "user WHERE usergroupid = 6");
oder:
$DB_site->query("UPDATE " . TABLE_PREFIX . "user SET usergroupid = 2 WHERE usergroupid = 6");
...was sollte dann vBulletin dagegen unternehmen? Es gibt keinen Support für Hacks, und jeder Benutzer, der sich Hacks einbaut, muss sich etwaigen Konsequenzen bewusst sein.

Wobei ich auch nicht verstehe, warum man sich Sorgen machen muss, dass ein Moderator einen Administrator verwarnt...da sollte man seine Mod-Wahl vielleicht nochmal überdenken :rolleyes:

[redlabour]

Da hast Du vollkommen Recht - vielleicht bin ich da auch etwas paranoid ! ;)

Aber man weiss ja nie - was wenn ein Mod mal durchtickt abgesetzt werden soll und er kurz vorher noch die Admins bannt ? :D

[AlphaWolf]

Dann änderst du im phpmyadmin halt deine Groupid wieder;)

[redlabour]

Ach so - stimmt. Dann war meine Aktion von wegen config.php die ID rausnehmen, dann ändern und dann wieder in config.php eintragen umsonst, gelle ? ;)

Wie würde ich die UserID denn dann wieder zum Admin machen ? Wäre schön wenn hier einer das noch posten könnte dann haben wir das Problemchen mal archiviert ! :D

[Mystics]

Wie würde ich die UserID denn dann wieder zum Admin machen ? Wäre schön wenn hier einer das noch posten könnte dann haben wir das Problemchen mal archiviert ! :D
UPDATE user SET usergroupid = 6 WHERE userid = X;

[redlabour]

WHERE userid = X;

müsste dann beim Hauptadmin WHERE userid = 1; heissen ?

[Mystics]

WHERE userid = X;

müsste dann beim Hauptadmin WHERE userid = 1; heissen ?
Wenn dieser die UserID 1 hat...ja.

[redlabour]

Danke ! ;)

Es gibt eine aktualisierte und verbesserte Version von diesem Hack :

http://www.vbulletin.org/forum/showpost.php?p=522078&postcount=74