слетел вход под админом

[Keen 10]

Пару дней назад под юзером админ пропал вход через stargazer configurator.

Начало писать Invalid password. Хотя пароль не меняли.

Ессно через ubilling тоже вход слетел. Просто обновляется на страницу входа.

Решил ребутнуть старгейзер, т.к. в папке admins файлы не менялись с 2011г и по бекапам хеш паролей сходится.  Затупил уже мускул база, а не файловая.

Теперь выдает recv data answer error

в логах:

2023-06-07 13:23:02 -- Admin's connect failed. IP 192.168.0.14
2023-06-07 13:26:24 -- Shutting down... 15
2023-06-07 13:26:24 -- +++++++++++++++++++++++++++++++++++++++++++++
2023-06-07 13:26:30 -- Module: 'Stargazer RPC v. 0.2'. Stop successfull.
2023-06-07 13:26:30 -- Module: 'Stg configurator v.0.08'. Stop successfull.
2023-06-07 13:26:31 -- Module: 'Pinger v.1.01'. Stop successfull.
2023-06-07 13:26:33 -- Module: 'Always Online authorizator v.1.0'. Stop successfull.
2023-06-07 13:26:34 -- Module: 'InetAccess authorization plugin v.1.4'. Stop successfull.
2023-06-07 13:26:34 -- Module: 'Ether_cap v.1.2'. Stop successfull.
2023-06-07 13:26:34 -- Traffcounter: Stop successfull.
2023-06-07 13:26:35 -- Users: Stop successfull.
2023-06-07 13:26:36 -- Queue removed successfully.
2023-06-07 13:26:36 -- StgTimer: Stop successfull.
2023-06-07 13:26:36 -- Stg stopped successfully.
2023-06-07 13:26:36 -- ---------------------------------------------
2023-06-07 13:27:20 -- Stg v. 2.407-p1
2023-06-07 13:27:20 -- Message queue created successfully. msgKey=5555 msgID=32768
2023-06-07 13:27:20 -- Timer thread started successfully.
2023-06-07 13:27:20 -- Storage plugin: mysql_store v.0.67. Loading successfull.
2023-06-07 13:27:20 -- Error in parameter password
2023-06-07 13:27:21 -- Users started successfully.
2023-06-07 13:27:21 -- Traffcounter started successfully.
2023-06-07 13:27:21 -- Module: 'Ether_cap v.1.2'. Start successfull.
2023-06-07 13:27:21 -- Module: 'InetAccess authorization plugin v.1.4'. Start successfull.
2023-06-07 13:27:24 -- Module: 'Always Online authorizator v.1.0'. Start successfull.
2023-06-07 13:27:24 -- Module: 'Pinger v.1.01'. Start successfull.
2023-06-07 13:27:24 -- Module: 'Stargazer RPC v. 0.2'. Start successfull.
2023-06-07 13:27:24 -- Module: 'Stg configurator v.0.08'. Start successfull.
2023-06-07 13:27:24 -- Stg started successfully.
2023-06-07 13:27:24 -- +++++++++++++++++++++++++++++++++++++++++++++
2023-06-07 13:27:43 -- Invalid configuration request
 

Если через stg configurator (windows) зайти под юзером касира - конфигуратор виснет намертво..

При этом через юбиллинг доступ есть и линуховый sgconfig под касиром все обрабатывает

Пните, где копать?

 

Відредаговано 2023-06-07 10:59:08 Keen

[madf 279]

Якийсь із адмінів у базі має порожній пароль.

Дивіться таблицю admins

[Keen 10]

спасибо, с этим уже разобрался.

И правда в мускуле в базе админ был с пустым паролем.

sgconfig уже работает, а вот юбиллинг так и не дает доступ. 

Буду щаз с Nightfly советоватся.

Спасибо, за долгую поддержку проэкта.

Відредаговано 2023-06-08 11:21:46 Keen

[nightfly 1 243]

8 часов назад, Keen сказав:

спасибо, с этим уже разобрался.

И правда в мускуле в базе админ был с пустым паролем.

sgconfig уже работает, а вот юбиллинг так и не дает доступ. 

Буду щаз с Nightfly советоватся.

Спасибо, за долгую поддержку проэкта.

Нема там про що "совєтоваться". Там пiздєц. Повний.

Ви проігнорували кожен(!) з цих десяти пунктів: http://wiki.ubilling.net.ua/doku.php?id=security Оце що ви зараз бачите в себе, та побачите в найближчому майбутньому це прямий та закономірний результат цього.

 

Переставляйтесь з нуля, бажано на фрі (там за вас вже все подумано людьми які знають що роблять), мігруйте базу на новий хост, додавайте всіх адміністраторів вручну, придумуючи їм адекватні нові(!!!) паролі. Так, на базу теж нові. Нє не офіс123. Нє, demo2 це теж блдь не пароль.

Відредаговано 2023-06-08 20:17:46 nightfly

[nightfly 1 243]

10 часов назад, madf сказав:

Якийсь із адмінів у базі має порожній пароль.

Дивіться таблицю admins

То підари тупі, не знають архітектури і не в тємі шо інсертами туди хуярити так собі кейс

 

І да, там всьо давно вже бекдорами утикано більше ніж валідним софтом.

 

[Keen 10]

Спасибо за разглашение конф информации.

Gentoo ни чем не хуже вашей ФРИ. Холи вар устраивать не хочу.

Уважаю что вас, что madf, т.к. все еще вы поддерживаете движок проекта.

Відредаговано 2023-06-09 21:34:25 Keen

[nightfly 1 243]

9 часов назад, Keen сказав:

Спасибо за разглашение конф информации.

Gentoo ни чем не хуже вашей ФРИ. Холи вар устраивать не хочу.

Уважаю что вас, что madf, т.к. все еще вы поддерживаете движок проекта.

Це не конфіденційна інформація. Це піздєц.

 

Паролі не повинні такими бути. Доступ до БД ззовні, не повинен бути відкритим. Доступ до старгейзера не повинен бути відкритим. Лістинг директорій(!) не повинен бути, як і доступ до директорій накритий deny from all не повинен відбуватись.

 

Так, гента нічим не гірша. Просто чомусь жодна з "установок на фрі за 3 хвилини",  не стирчить всіма "конфіденційними" даними світ. Як і абонбазою. Не наводить на жодні роздуми? 

 

P.S. я пам'ятається вам навіть бекапи поремонтував в сліпу. Вони не працювали. Тепер хоч маєте, що мігрувати. Ну так, і сповіщення залишив в адмінці, про те що "щось не так". Було це ще 16-го травня. Хороша реакція. Так тримати.