MPC-BE forum

Технические работы 1 Января 2018 года

Здравствуйте, В связи с вводом в эксплуатацию нового энерговвода в московском датацентре, запланированы работы по модификации повербаров в стойках. В связи с этим, необходимо выключить серверы максимально на 2 часа. Работы будут произведены завтра, 1 Января 2018 года, в 22:00, время московское. Приносим свои извинения за возможные неудобства.

Хорошо. Спасибо за информацию.

Технические работы
Уважаемые клиенты! 15 - 16 января будут проводиться краткосрочные работы на всех серверах нашего хостинга. Недоступность ваших ресурсов составит 15 - 30 минут. Приносим извинения за возможные неудобства.

Форум теперь работает на HTTPS. :)

спс V0lt за тех. помощь в переводе движка форума на работу с защищённым протоколом.
--
я включаю безусловный редирект.

т.е. теперь даже если вы пытаетесь перейти по ссылкам http вас будет автоматически перенаправлять на защищенный зашифрованный ssl  (httpS).

пример вы набираете http://mpc-be.org/ - попадаете на https://mpc-be.org/
тоже самое и с форумом. https://mpc-be.org/forum/

данные меры были введены ввиду недоверия к сайтам без ssl в будущих релизах современных браузеров.
итак чтобы сайт не помечался "потенциально небезопасным" и связь между юзером и сервером шифровалась был включен SSL.

Сегодня словил глюк форума. Зашел как Evgeniy1990 и даже сообщение написал. :)
Удалил сообщение. Вышел-зашел стало нормально. Но странно все это.

Angel
Я также, как и V0lt, поймал глюк форума. Некто, под моим ником, рассылает всяческий спам, очень нехорошего характера. Просьба разобраться.

ЦитироватьЗашел как Evgeniy1990 и даже сообщение написал.

ЦитироватьНекто, под моим ником, рассылает всяческий спам, очень нехорошего характера.

Чёта ржу)))

Цитата: LeoЧёта ржу)))

Что тут смешного?

Я сам видел лично сообщение от V0lt-а под своим ником.
И сегодня уже второй раз видел и удалил два сообщения со спамом.
[merge_posts_bbcode]Добавлено: 2018-03-12 17:35:43[/merge_posts_bbcode]

Если вам, уважаемый Leo, так интересно, что за спам такой был, я вам отвечу - первый по "Shemale", я вообще даже знать не знаю что это такое и знать не хочу, эротика какая-то..., а второй - вообще хрен его знает что. Лично я эти спамы не писал и сюда на форум не отправлял. Но они под моим ником числятся. Ужас какой-то...

Что у нас с форумом такое случилось?

Вот скриншот со спам-сообщением.

Evgeniy1990
Для профилактики смени пароль на форуме и почтовом ящике.

PS: Надеюсь это всего лишь временный глюк, а не успешная атака.

Цитата: V0ltEvgeniy1990
Для профилактики смени пароль на форуме и почтовом ящике.

PS: Надеюсь это всего лишь временный глюк, а не успешная атака.

Я только что недавно поменял пароль.
[merge_posts_bbcode]Добавлено: 2018-03-12 17:38:53[/merge_posts_bbcode]

V0lt, так уже два спама за день было, которые я сам лично удалил. Это что, - начало атаки, или это вызов мне?

[merge_posts_bbcode]Добавлено: 2018-03-12 17:42:09[/merge_posts_bbcode]

Тогда сразу скажу пока всем нашим форумчанам, что если вдруг появится какое-либо сообщение со спамом, под моим ником, знайте, что это пишу не я. Я всегда пишу только по делу, по темам, относящимся к проекту MPC-BE. Никакой рекламой я не занимаюсь и уж тем более, я ее не распространяю.

[merge_posts_bbcode]Добавлено: 2018-03-12 17:49:28[/merge_posts_bbcode]

Странно то, что используется вроде как защищенный протокол https://, а такой "ужас" стал творится...
Что у нас с SSL и TLS?

V0lt, движок можешь обновить?
у вас была проблема с сертификатами на субдомены вашего (mpc-be.org) домена, но я отключил "несуществующие домены" являющиеся причиной глюков скрипта выдачи сертов. сейчас серты обновились и "перевыдались".

к вопросу перехвата и атак: это никакого отношения не имело, просто неисправность и сиПанель меня заспамила письмами с просьбой разобраться) я порядка десяти писем получил от автоматики прежде чем среагировал.

p.s. проблема явно в форумном движке. если его нельзя "залатать" нужно думать о замене и переходе на другой.
imho есть какая то дырка, о которой не знают авторы и на которую пока нет заплатки.
[merge_posts_bbcode]Добавлено: 2018-03-16 02:38:10[/merge_posts_bbcode]

Evgeniy1990

ЦитироватьЧто у нас с SSL и TLS?

всё хорошо уже, и на вход это не влияло никоим образом.

Angel
Обновление на PunBB 1.4.4 в прошлый раз не получилось. Надо будет еще раз попробовать. Уходить на другой движок не вариант - это как новый форум с нулю создать.

я раньше обслуживал форумы на IPB и скажу что под него легко мигрировать бд почти с чего угодно, но он платный.
смысл написанного: что конвертеры для основных распространенных форумных движков давно написаны и работают, так что переход не такая уж невыполнимая миссия которой кажется.

по крайней мере учетные данные юзеров и их посты всегда сохраняются.
(максимум придется обновить подписи и аватары с профилями после конвертации).

p.s. я не призываю переходить на монструозный платный ИПБ, просто привел как пример.

Движок форум обновлен до PunBB 1.4.4. Немного изменены расширения.

Если заметите проблемы, то пишите в эту тему.

Цитата: V0ltДвижок форум обновлен до PunBB 1.4.4. Немного изменены расширения.

Если заметите проблемы, то пишите в эту тему.

А почему форум имеет первоначальный вид на английском языке? Если пользователь не зашел на форум, то он остается на английском языке. Если зашел, то автоматически меняется на русский. Просто это странно, раньше такого никогда не было.

Evgeniy1990
Так получилось. :|
Тут похлеще проблема была, поэтому пришлось обновиться и в бубен постучать - вроде нормализовалось. В общем можно радоваться, что вообще заработали.

Добавлено: 2018-06-23 21:03:16

Вероятная причина проблемы - кривая работа опции "Remember me" при входе на форум.

этой стрелки давно не хватало! как же меня бесило копипастить руками ник в форму быстрого ответа!
V0lt, (https://klikr.org/3f8dfd30c7f785a2750b03835b3a.png)
---
можно копирайты как то подтереть? и не только в подвале шаблона, но и в коде.
(от школьников шаловливых подальше).
а то я лично был свидетелем такого действа: скрипткиддис читает новость об уязвимости, тут же вбивает в поисковик эту версию и пошла {...} по кочкам.

те, что поумнее еще и пишут вредоносные программы для автоматизации заражения или "поломки" уязвимых сайтов из поисковой выдачи.

Еще была такая проблема - если пользователь находился достаточно долго на форуме, например, больше одного часа, то ему становилась доступной более детальная информация, плоть до того, что он мог видеть даже IP-адреса каждого участника.

Цитата: Angelможно копирайты как то подтереть? и не только в подвале шаблона, но и в коде.
(от школьников шаловливых подальше).

Можно, надо аккуратно код главной страницы поправить. Но что-то Я сомневаюсь в реальной пользы этого. :)
Найду время, подтеру.

Evgeniy1990
С тем что было раньше, мы уже ничего не поделаем. Если увидишь новые проблемы пиши мне в личку сюда или на рубоард.

V0lt, если несложно добавь код на фавикон сайта в шаблоны форума, а то неприятно видеть вкладку браузера без иконки.

между тегами head
<link rel="shortcut icon" href="/favicon.ico">
саму иконку сайта брать там:
<link rel="shortcut icon" href="/_h5ai/client/images/favicon/favicon-16-32.ico"

(лучше путь не указывай на каталог верхнего уровня, а скопируй иконку в каталоги форума, напр. в "img")

Angel
Сделал, взял старую иконку (она поменьше размером), проверь.

V0lt, иконка форума (https://yadi.sk/i/0PNjmzp33YNv6j) отсутствует.

что то ты не то сделал. я не вижу иконки на табе с форумом.
(https://klikr.org/8b19b6cb76d550516e2040d5f6b2.png)
скопируй сам значок в корень форума и СРАЗУ после открывающего тега HEAD (внутри него добавь такой код)
       
вобщем глянь как у всех, у меня например: на главной, это работает сто лет и незачем усложнять (если не добавлять SVG-векторные иконки для "огрызков"-яблок.)

_https://angelnet.ru/  -->  CTRL + U
(https://klikr.org/823385cc99edf57023629f469d94.png)

Evgeniy1990, Angel, сейчас точно должна заработать.
Если не заработает, то почистите кеш браузера.

Цитата: V0ltEvgeniy1990, Angel, сейчас точно должна заработать.
Если не заработает, то почистите кеш браузера.

В самой вкладке иконка появилась.

А если создать новый дил с таким сайтом: mpc-be.org/forum, то автоматически присваивается непонятно что:
"index · powered by h5ai 0.27.0 (http://larsjung.de/h5ai/)" - вместо "MPC-BE forum"

Даже если просто создать дил с сайтом: mpc-be.org, то получаю тоже самое:
"index · powered by h5ai 0.27.0 (http://larsjung.de/h5ai/)"
Если к данному сайту добавить "/forum", то вообще присваивается имя "404 Not Found" - это неправильно.

P.S. Скажу сразу, что кеш браузера я полностью очистил, чтобы проверить, все ли корректно отображается, особенно, при создании вкладки (дила). И как видно, что косяки еще остались.

Evgeniy1990
Я ничего не понял, что такое "дил" не знаю.
Просто напиши URL-ы с которыми у тебя проблема.

Цитата: V0ltEvgeniy1990
Я ничего не понял, что такое "дил" не знаю.
Просто напиши URL-ы с которыми у тебя проблема.

Дил(ы) - это и есть сохраненные вкладки в расширении "FVD Speed Dial" для браузера "Mozilla Firefox".

Чтобы воспроизвести данные косяки, о которых я вам написал, вам необходимо:

1. Браузер "Mozilla Firefox"
2. Расширение "FVD Speed Dial"
3. В "FVD Speed Dial" добавляйте сайт "mpc-be.org/forum"
4. Далее - смотрите, какое имя будет автоматически присвоено данному сайту, после его введения.

У вас будет как раз именно то, что я вам и написал выше: "index · powered by h5ai 0.27.0 (http://larsjung.de/h5ai/)"

Вывод: проблемными сайтами являются:

1. mpc-be.org
2. mpc-be.org/forum
3. mpc-be.org + /forum, при условии, что /forum будет добавлен после mpc-be.org

Evgeniy1990
Проблема какого-то расширения - это проблема какого-то расширения. Даже сами авторы пишут, что у них не все в порядке. Цитата: "Новая версия, оказалась с критичными проблемами, которые мы не смогли выловить на уровне тестирования".
В браузере все нормально - для меня это достаточно.

удалено

Добавлено: 2018-06-25 21:02:35

Цитата: V0ltПроблема какого-то расширения - это проблема какого-то расширения. Даже сами авторы пишут, что у них не все в порядке. Цитата: "Новая версия, оказалась с критичными проблемами, которые мы не смогли выловить на уровне тестирования".
В браузере все нормально - для меня это достаточно.

Вот только опять же странно, что из 20 сохраненных у меня дилов (вкладок) такое творится только с нашим форумом, т.е. с нашими сайтами, особенно с сайтом mpc-be.org/forum.

V0lt, мне тут друг вебмастер посоветовал: не ссылаться на каталог верхнего уровня если используешь разные скрипты/цмс итп.
у ваc как раз этот сценарий (для корня свой .htaccess у скрипта листинга директорий, а для форума свой), вобщем если уж совсем по колхозному объяснять то через один скрипт (уязвимый) могут взломать оба.

к чему я это: не ссылайся на иконку в каталогах корня сайта, лучше пусть у форума будет "своя".
p.s. теперь на табах она отображается.

Добавлено: 2018-06-25 22:12:09

add: что то могло поломаться из за принудительного переключения сервером ссылок хттп ->httpS.
/опять же с помощью .htaccess, который был взят из сети и написан его автором явно неидеально/
но я не буду откатывать это, принудительное шифрование для меня важнее мелких неудобств.

Angel

Тема: Непонятный (трудный) доступ к личным сообщениям.

Необходимо реализовать более простой доступ к личным сообщениям пользователя.
Сейчас, после того, как заходишь на форум, совершенно непонятно куда тыкать, чтобы перейти к личным сообщениям, особенно в разделы "Входящие" и "Исходящие".

Сейчас, единственный способ - это выбрать некоего пользователя, отправить ему личное сообщение и только через форму "Написать сообщение" можно перейти в разделы "Входящие" и "Исходящие", что согласитесь, ну уж очень неудобно.

Я считаю, что обязательно должен быть отдельный раздел в заголовке данного форума с названием "Личные сообщения", чтобы сразу к ним был быстрый доступ.

Прошу вас подумать над этим и реализовать, или же вынести данный раздел в заголовок форума.

Evgeniy1990
У нас не веб-программиста в штате для таких изменений. Мы используем движок форума как есть.

Отправить личное сообщени можно так.
1. Зайти в профиль пользователя
2. Нажать  "Отправить личное сообщение"
3. Написать сообщение и отправить.

Второй способ:
1. Нажать "Личные сообщения" в верхнем правом углу.
2. В появившейся странице нажать "Написать сообщение".
3. Указать имя пользователя, написать сообщение и отправить.

V0lt

С первым способом итак понятно, это я знаю.

ЦитироватьВторой способ:
1. Нажать "Личные сообщения" в верхнем правом углу.
2. В появившейся странице нажать "Написать сообщение".
3. Указать имя пользователя, написать сообщение и отправить.

В том-то и дело, что в правом верхнем углу нет такой надписи "Личные сообщения (https://yadi.sk/d/LzLyurBdx4zs9Q)".

Меня больше волнует доступ к разделам "Входящие" и "Исходящие". Чтобы до них добраться, приходится, что называется, целый лес пройти. Вот в чем неудобство.

Вот если бы в заголовке форума был бы раздел "Личные сообщения", то доступ к подразделам  "Входящие" и "Исходящие" был бы простым и элементарным.

P.S. А то я вчера голову сломал, пока искал, как же добраться до этих разделов. Хорошо еще, что заранее быстро обратил на это внимание, иначе бы не нашел и не добрался бы вообще.

Evgeniy1990, смотришь с компа или с телефона?
На телефоне надо включать в браузере "версия сайта для ПК" иначе плохо совсем.

Цитата: V0ltEvgeniy1990, смотришь с компа или с телефона?
На телефоне надо включать в браузере "версия сайта для ПК" иначе плохо совсем.

Я смотрю с компа.

Форум переехал на новый движок.
Пароль придется сбрасывать.

Новый движок гуд, лучше старого.

LongKick64, его нельзя так односложно охарактерировать.
он просто СЛОЖНЕЕ. старый был прост как два рубля, этот же пришлось допиливать и чинить код (вольту) и устранять ошибки нам двоим.
вы не представляете себе сколько в нем "проблем искаропки", но да, он функциональнее  простенького и дырявого панББ да и в плане надёжности пока тоже оправдывает.
---
о любых замеченных "аномалиях" просьба сообщать в ПМ лично мне тут или на руборде.
спасибо тем, кто не проходит мимо.

Как по мне, то в PunBB хороший лаконичный дизайн. Этим мне он сильно нравиться. Там не было некоторых фич, но жить было можно. Если бы не это проблемы с безопаснотью, то так и сидели бы дальше. :)

У этого движка с безопасностью получше . Но интерфейс мне не очень нравится, приходится привыкать. :)

Включил регистрацию через одобрение администратора. Понаблюдаю.

забавное совпадение, потому как я как раз наоборот отключил регистрацию ребятам на форуме YSS. (боты последнее время пёрли как на буфет, несмотря на контрольные вопросы/ответы и капчи и обновленный движок).
мне кажется капчу гугла как то научились обходить или обучили нейросетки её распознавать в автоматич. режиме.
всё вышенаписанное касается движка пхпББ. возможно у СМФ дела обстоят иначе. (хочется верить).

Переезд на новый хостинг завершен.
Осталась проблема с сертификатом, чтобы браузеры не ругались. Исправлено.

С переездом вас!

Полугодовалые закрытые баг-репорты перенесены в подраздел "Архив". Такая "чистка" планируется примерно раз в полгода.

Форум обновился до SMF 2.1.1.

Форум обновился до SMF 2.1.3.