PHPBB 3.0.10 vulnerabile agli spambot anche se protetto ?

[devilrex]

Ragazzi non penso che sia una cosa mirata alla 3.0.10 , io ho ancora la versione 3.0.9 e non ho mai avuto spam fino al 13/1/12.

Ecco, questa è una notizia importante.

Oggi ho attivato il Q&A (fino a qualche giorno fa bastava l'immagine 3d).
Vediamo come va.

[Haku]

Leggo solo ora questa discussione.
Non ho aggiornato la board ancora, ma stessa cosa sta succedendo anche alla 3.0.9.

Cancello ogni giorno due o tre spammer (fino ad adesso ne hpo avuti massimo dieci in due anni)...non postano nulla, ma si evidenziano inserendo il compleanno il giorno stesso della registrazione <.<

Alcuni cancellandoli e bannandoli via mail, si reiscrivono comunque.

[GizMo]

... così come è possibile che bug non ce ne siano, ma si tratta di un attacco mirato contro la versione 3.0.10.

Scusa ma ci ho ragionato sopra e non riesco a trovare un motivo per giustificare un attacco mirato ad una specifica versione di phpbb. Lo scopo di uno spammer e' diffondere spam quanto piu' possibile e null'altro gli importa, non gli importa quali sistemi o programmi attacca, gli importa solo che la pubblicita' si diffonda, quindi se ragionassi come uno di loro attaccherei indistintamente tutti i forum. La cosa per logica non mi torna, torna invece piuttosto che abbiano seguito le versioni RC della 3.0.10 trovando forse una debolezza e aspettando che la gente aggiornasse in massa per iniziare a lanciare attacchi verso questi ultimi certi che avrebbero avuto sotto mano molti siti vulnerabili.

[Haku]

... così come è possibile che bug non ce ne siano, ma si tratta di un attacco mirato contro la versione 3.0.10.

Scusa ma ci ho ragionato sopra e non riesco a trovare un motivo per giustificare un attacco mirato ad una specifica versione di phpbb. Lo scopo di uno spammer e' diffondere spam quanto piu' possibile e null'altro gli importa, non gli importa quali sistemi o programmi attacca, gli importa solo che la pubblicita' si diffonda, quindi se ragionassi come uno di loro attaccherei indistintamente tutti i forum. La cosa per logica non mi torna, torna invece piuttosto che abbiano seguito le versioni RC della 3.0.10 trovando forse una debolezza e aspettando che la gente aggiornasse in massa per iniziare a lanciare attacchi verso questi ultimi certi che avrebbero avuto sotto mano molti siti vulnerabili.

Probabilmente potrebbe essere.
Unico appunto, è che in tanti siti aprono topic di massa, e in altri rimangono in semplici registrazioni con firma che porta a casinà, torrent et simili.
La cosa non sta succedendo solo alla 3.0.10, ma anche a board non aggiornate (in questo caso la 3.0.9).
Non so se da qualche sorgente si riesce a vedere la versione del forum, perchè appunto, non sembrano far caso alla versione ultima in questione, ma bensì un pò a tutti i forum phpBB gli si presentino davanti.

Secondo me, ipotizzando la situazione, potrebbe esserci un presunto aggiornamento come c'era stato per la PL1 (<.<)...ma dico anche che secondo me ci/vi stiamo/state allarmando troppo su un presunto bug cui phpBB dice di non avere...

[Micogian]

Con l'inserimento del plugin Q&A finora non ho avuto nessuna registrazione.
Quello che sembra strano è il fatto che la scelta di un plugin di sicurezza escluda gli altri. se inserisco la Q&A mi toglie il CAPTCHA e viceversa.
Mi sembra che con una Mod si possano unire i due plugin, ma perchè non farlo di default ?

Finora non avevo grossi problemi di spammer e su questo argomento non mi ero documentato più di tanto.

[Silver Surfer]

Guardate io uso il reCaptcha, ma ho aggiunto una domanda obbligatoria in fase di registrazione e da allora, penso fossi alla 3.0.8. non ho avuto più spam.
Ma la cosa che mi lascia molto dubbioso è che ci sia un attacco mirato sulla 3.0.10.
Per diversi ordini di cose mi sembra altamente improbabile; per una questione d'opportunità ma anche meramente numerica, si mira sempre al bersaglio grosso, e in questo caso la 3.0.10 lo diverrà solo tra diverso tempo.

[Tiger]

Mi sembra che con una Mod si possano unire i due plugin, ma perchè non farlo di default ?

Quale Micogian?

[Angolo]

Quella indicata in questo argomento.
Io con la 3.0.9, rilevo tentativi di registrazione, ma rimangono tali: tentativi... da quando ho inserito il set di domande intelligenti via MOD, che può pertanto associarsi al recaptcha, non ho più avuto problemi di spam. E nel raro caso, in cui qualche spammer (più umano che bot) passi, c'è il gruppo nuovi utenti registrati, sottoposto a coda di moderazione. Quindi, non potranno in nessun caso pubblicare i loro link. E non uso l'attivazione amministratore. E nemmeno l'attivazione utente! Poi dipende anche dal tipo di domande scelte... Ma è questo il punto, come rilevato da Micogian, col solo Q&A o col solo recaptcha, ce la fanno... con entrambi no. Si spiazzano. Perché diventa un algoritmo troppo complesso... e non ci si impegna così per un forum, ma per un conto in banca! Anche Silver, ha risolto infatti associando recaptha con domanda spaventapasseri, che funziona, opportunamente configurata. Ma io personalmente preferisco una domanda intelligente. Ma sempre da unire al recaptcha.
Micogian, è dalla 3.0.6, che rileviamo questa discutibilissima "politica" del plug-in singolo...
Se si riesce a trovare un sistema per farli coesistere, tanto meglio.
Peraltro, la MOD usata, sebbene perfettamente funzionante, non sembra più curata dall'autore.. è rimasta in RC... potresti rielaborarla tu... Il vantaggio è notevole: il database non viene toccato.

[Tiger]

Grazie per le Info Angolo.
Cmq da quando ho aggiornato non ho avuto il benche' minimo problema.
Molto probabilmente ,perche' il mio forum e' ancora troppo giovane.
Il gruppo nuovi utenti registrati e' un ottima barriera.

[devilrex]

SI, anche io uso i nuovi utenti registrati, che possono solo mettere 1 topic in "presentazioni".
Questi benedetti spammer riescono a farlo xD e dopo iniziano ad inserire topic ovunque xD

Ieri ho implementato il Q&A. Vediamo se migliora.