UWAGA: W PHP wykryto krytyczne podatności, przez które Wasze strony/fora mogą zostać zhakowane! Dzisiaj mają być udostępnione poprawione wersje, warto monitorować i ustawić odpowiendie wersje PHP na swom serwerze.

Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!

Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off

Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/

Dla serwera Apache ustaw w pliku .htaccess

Kod: Zaznacz cały

RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F]
i/lub - nie testowałem

Kod: Zaznacz cały

<If "req('Content-Type') =~ /multipart/i">
    Require all denied
</If>

Dla nginx

Kod: Zaznacz cały

# http {} context, e.g. /etc/nginx/conf.d/block-multipart.conf
map $http_content_type $block_multipart {
    default       0;
    "~*multipart" 1;
}

# inside every server {} that passes requests to PHP, including default/catch-all servers
if ($block_multipart) {
    return 403;
}
_____________________________________________________

Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!

Polski pakiet językowy dla phpBB 3.3.19

Wyłudzanie danych bankowych - mBank, Inteligo...

Rozmowy z innymi użytkownikami forum na różne tematy, niekoniecznie związane ze skryptem phpBB.
ODPOWIEDZ
Awatar użytkownika
daroPL
Administrator
Posty: 4564
Rejestracja: 24 czerwca 2005, 13:36
Lokalizacja: Poznań
Kontakt:
Skontaktuj się z daroPL

Wyłudzanie danych bankowych - mBank, Inteligo...

Post autor: daroPL » 22 sierpnia 2007, 08:07

Poniżej dwie wiadomości z portalu dobreprogramy.pl:
Wiadomość dotycząca Inteligo:
Po mBanku przyszła kolej na Inteligo. Rodzimi phisherzy nie marnują czasu i zalewają skrzynki e-mailowe zawiadomieniami o rzekomej konieczności weryfikacji danych.

e-mail wygląda analogicznie jak poprzednio. Phisherzy nadal nie nauczyli się poprawnie kodować polskich liter w tekście nakłaniającym do kliknięcia w link. Samo łącze wygląda na prowadzące do https://secure.inteligo.com.pl, w rzeczywistości pokazuje na http://etoolstogo.com/grahak/secure.inteligo.com.pl.php. Również tym razem strona phishingowa została wykonana starannie i do złudzenia przypomina oryginalne strony Inteligo. Brak mechanizmów ukrywających adres strony pozwala jednak łatwo stwierdzić, że nie jest to prawdziwa strona banku Inteligo.

Przypominamy o zachowaniu szczególnej ostrożności przy podawaniu danych osobowych, loginów, haseł, numerów kart kredytowych itp.
Wiadomość dotycząca mBank:
Przez cały weekend skrzynki pocztowe polskich użytkowników internetu były zalewane listami opatrzonymi logo mBanku, wzywającymi do podania swoich danych na fałszywej stronie banku. Rzekomo w celu ich weryfikacji.

Złodzieje umieścili w treści listu link, który sugerował, że prowadzi do mBanku. W rzeczywistości wskazywał na stronę wyglądającą zupełnie jak strona logowania banku. Po "zalogowaniu" użytkownik proszony był o podanie wielu danych, między innymi nazwiska panieńskiego matki, daty urodzenia, adresu, numerów telefonów i... numeru karty kredytowej wraz z datą ważności oraz kodem CVV2. Po "weryfikacji tych danych" był przenoszony na oryginalną stronę mBanku.

Ten sposób "phishingu" występuje w internecie od dawna, jednak w Polsce na taką skalę pojawił się po raz pierwszy. I nie można wykluczyć, że wiele osób podało swoje dane. Mimo, że banki zawsze informują (np. na swoich stronach) klientów, że nigdy o takie dane nie będą prosiły.
Zauważyłem, że Firefox wykrywa przynajmniej tą pierwszą stronę jako próbę wyłudzeń, jednak i tak radzę zachować uwagę i nie podawać żadnych danych, jeżeli ktoś o nie prosi i podaję się za bank itp. bo takie firmy/instytucję te dane posiadają na pewno i nigdy o takie coś nie poproszą :)
Więcej informacji odnośnie bezpieczeństwa w sieci i wyłudzeń na http://www.cert.pl/
Na górę
ODPOWIEDZ

Wróć do „Ogólne dyskusje”