[HaBo]

freakazoid

Anzeige

hi,

wurde heute Opfer dieses Exploits! Gibt es eine Möglichkeit Joomla zu patchen, thx.

*** hat sich ja mittlerweile erledigt, daher hab ich den Exploit mal entfernt - LX ***

lg freakazoid

edit: hat sich bereits erledigt:

http://www.joomlaos.de/Joomla_CMS_Do...ble_Patch.html

Elderan

Hallo,
Einfach den Ordner administrator zusätzlich per htaccess schützen.

Ansonsten gibts bestimmt Patches dagegen, nichts in den joomla Foren dazu gefunden? Aktuellste Version installiert?

freakazoid

Patch hab ich gefunden siehe oben. Komischerweise war der Administrator-Ordner via htaccess geschützt und die htpasswd nicht im web-folder. Wie kann sowas umgangen werden. Hab jetzt den Patch eingespielt und die Passwörter geändert. Ist das ausreichend oder soll ich das System neu aufsetzen. Könnte der FTP-Account auch übernommen worden sein, soll ich dort das Passwort auch lieber ändern bzw. SQL? Danke

Keci

Das hat man bestimmt in 2sek. gefixt. Du musst einfach alle Hochkommatas mit str_replace (oder preg_replace) löschen.

$db->setQuery('SELECT id FROM #__users WHERE block = 0 AND activation = '.preg_replace('/\'/','',$db->Quote($token)));

freakazoid

Der Patch ist doch jetzt schon drin! Die größere Frage ist doch, wie sie an dem htaccess vorbei gekommen sind?

Elderan

Hallo,
also ohne Exploit ist soetwas schwer zu beantworten

Aber aus dem Gedächtnis:
Die Schwäche lag irgendwo in der index.php, über diese konnte man das Admin PW ändern.
Wenn aber der Adminbereich, sofern dieser _ausschließlich_ über /administrator/ erreichbar ist, noch zusätzlich per htaccess geschützt ist, kann man zwar das Admin PW ändern, man kommt aber nicht am htaccess vorbei.

Evt. gelangt man aber auch anders ins Admin Bereich, kenn mich mit Joomla nicht aus. Deswegen ist es ganz praktisch, denn Admin Bereich nochmal zusätzlich mittels htaccess zu schützen, am besten mit einem anderen PW.


Ansonsten:
Am besten alle Passwörter ändern. Sind die wirklich eingedrungen oder wurde nur das PW geändert?
Evt. auch noch mal alle Dateien neu aufspielen, sofern möglich, nicht das dort irgendwo eine PHP Backdoor eingebaut wurde.

freakazoid

Ja, sind wirklich eingedrungen! Es wurde mindestens ein Beitrag verändert. Hab glaub ich noch ein etwas älteres Backup zu Hause, allerdings bin ich imo nicht zu Hause. Werd ich die nächsten Wochen aber sicherlich mal einpielen. Mich würde interessieren, ob man auch andersweitig in den Administrator-Bereich kommt. Damit man das dann auch absichern kann.

Danke für deine Hilfe Elderan

smaster100

Wie schon gesagt wurde, kann eine htaccess über dem admin bereich viel verhindern.
Ich gehe davon aus, dass es sicher noch eine oder zwei lücken gibt, denen du aber mit einer htaccess entgegenwirken kannst. Wenn du dann auch noch zwei unterschiedliche, sichere passwörter wählst, so ist es schon sehr sicher!

beavisbee

@smaster100: vieleicht wäre es doch ganz hilfreich, die Postings des Threadstellers genau zu lesen:

Die Frage ist überhaupt erstmal WIE die Angreifer eingedrungen sind...
Läuft auf dem Server noch irgendwo ein PHPmyAdmin oder ähnliches?

Wenn ja: vieleicht sind die Angreifer auch irgendwie an die SQL-Daten gekommen und haben die Beiträge per Hand in der Datenbank geändert?!

Ich würde definitiv erstmal ALLE Passwörter ändern und nachschauen, ob nicht irgendwo auf dem Server noch eine PHP-Shell oder andere Hintertüren installiert wurden...

Ist das eigentlich ein eigener Server? vServer? oder nur Webspace irgendwo?
Was hast du für Möglichkeiten, irgendwelche Logfiles einzusehen?
Wie genau kannst du den Zeitpunkt des Angriffes eingrenzen?

freakazoid

Ist leider nur Webspace. Hab also keine Einsicht in irgendwelche Log-Files. Kann das aber evtl. mit dem Anbieter mal abklären. Den Zeitraum des Hacks kann ich auf 2 plusminus 1 einschränken. Anhand der Log-Files könnte man sicherlich einiges herausfinden. FTP und SQL PW hab ich auf jeden Fall mal ändern lassen. PMA läuft auf dem Server. Werde aber sicherlich in der nächsten Zeit mehr auf updates achten.

beavisbee

Sekunden? Minuten? Stunden? Tage? Wochen?

Wo ist's denn eigentlich gehostet (bin ma neugierig...)?