NPDS : Gestion de contenu et de communauté

bonjour et meilleurs voeux à tous pour 2007

j'ai ces derniers temps de petites attaques sur le site (sous sable 5.10), sans conséquences pour le moment, mais qui me posent vraiment questions (au moins pour 2) :

1 - la dernière, ce jour, création d'un compte par un robot qui ouvre un compte sous la forme wow123nomdesite@agnitum.net

question : l'inscription se retrouve dans la base de données alors que tous les champs obligatoires ne sont pas remplis, comment cet enregistrement est-il possible? ... faille?
est-il possible de bloquer un domaine dans ipban ou faut-il faire un htacces?
le code de npds peut-il être modifié pour vérouiller ce problème? :paf

2 - lors d'un transfert de la base de donnée, j'ai vérifié les données enregistrées, et j'y trouve des commentaires (pas très nets) de la part d'anonymes (robot) alors que les commentaires ne sont pas autorisés pour les anonymes
nota : ces commentaires n'apparaissent pas à l'écran
bon, je les ai effacés par l'admin de Mysql, mais c'est pas top

là encore même question qu'en 1

si quelqu'un a une ... ou plusieurs solutions, je suis preneur

merci
richard

ça doit être des inclusions SQL, les robots ne passent pas par ton site...

merci,
mais ca veut dire quoi "inclusion sql"
ou mieux, comment faire pour s'en protéger?

j'avais effacé, il vient de récidiver (moins de 15 minutes après effacement)

nb : l'email c'est wow321nomdusite@agnitumhost.net
et le compte : wow321nomdusite

richard

anti spambot ou nospam de neomachine sont tes amis ;-)

Il ne s'agit pas d'injection SQL ... mais d'adaptation des robots .... Anti-SpamBot est effectivement la solution à généralisée

J'ai eu la même création de compte sur un de mes sites.

Hors, sur ce site, les inscriptions sont fermées.... :paf

Aie, donc on repart sur un problème d'inclusion sql...

Ca s'appelle de l'injection sql, mais de l'inclusion sql. ;-)

Bref, première question : Y a-t-il un script autre que npds présent sur votre compte? (en gros, citez tout ce qui est sur votre compte et qui n'est pas de NPDS)
Sinon, quels sont les modules installés? (en supplément des modules de base)
Avez-vous appliqué des patchs quelconques sur npds, qu'ils viennent de modules.npds.org ou d'ailleurs? (SURTOUT S'ILS VIENNENT D'AILLEURS !!!)

Car oui, il est possible qu'il y ait un vrai problème. Je prépare le terrain pour The Big Boss, I have named Dev!

Hébergé chez OVH.

Pas de script particulier sauf SQLyog, mais le script est renommé et il faut trouver le passe de la base...

Modules : Gallerie photo e wiki (mais je dois être un des seul)

Et le module Block_user-info, que je verrais bien en coupable potentiel, bien que je n'y ai rien trouvé d'inquiétant.

Message édité par : mrotta / 14-01-2007 19:28

Ce n'est pas une injection SQL !!!! mais une faiblesse de l'enregistrement des nouveaux utilisateurs de NPDS. Le formulaire n'est pas protégé contre les robots en somme (comme cela étaient avec les forums, commentaires, ...)

La solution est de mettre de l'anti-spam dans users.php en fait

je pensais qu'il y était mais non en fait je viens de vérifier

Pour gérer un gros forum en phpBB auquel nous avons ajouté de l'anti-spam à l'inscription et un mail de confirmation, je peux vous dire que ce n'est pas un panacée complète.

Il y a des personne physique qui crée régulièrement des comptes dans le seul objectif d'envoyer des spam. Durée de vie moyenne sur le forum moins de 30mn, nous avons une bonne équipe de modérateurs.

Mais il reste certain que l'anti-spam va arrêter un certain nombre de moteur et forcer à mettre des équipes humaines.

Il serait bon aussi d'interdire l'accès au formulaire si les inscriptions sont fermées.

effectivement / je ferais aussi cette modif