hack webu domainz.cz s joomla 1.6.3
| ←Předchozí přiznání k DPH a dani z příjmu v PROFITu | JComments 2.3.0 pro joomla 1.6 1.7 2.5 Další→ |
|---|
domainz.cz
joomla 1.6.3
zpráva od hostingu - napadený web
na základě našeho zjištění došlo k napadení vašeho webu. Pravděpodobně se útočník na váš web dostal přes bezpečnostní chybu v redakčním systému.
Důrazně doporučujeme následující:
1) Zkontrolujte si váš počítač antivirovým programem. Je možné, že jej máte zavirovaný a touto cestou mohl útočník zjistit vaše přístupové údaje k webu.
2) Změňte si všechna hesla k webům, databázím, doménám, e-mailům apod.
3) Zkontrolujte si obsah vašeho webu. Nejlépe uděláte, když obsah celého webu smažete a nahrajete jej znovu. Může se totiž stát, že na vašem webu je umístěn další skrytý škodlivý kód, o kterém nevíme.
4) Nainstalujte si poslední verzi redakčního systému s posledními bezpečnostními aktualizacemi.
Odpověď
Hosting má pravdu. Ú točník se na web dostal bezpečnostní chybou CMS Joomla 1.6.3
byl změněn .htaccess a přidán soubor index.htm, kde vzkaz, že stránky patří "SiTe OwNeD bY DiE_AucH !!". Taková hloupost... Graficky celkem pěkné (obrázek siluety s kapucí), ale co bylo strašné to byla hudba, co se automaticky při načtení stránky přehrávla.
Nalezeny tyto změněné soubory v posledním týdnu:
V souboru error.php nalezena informace:
2012-12-29 17:28:45 - 88.244.221.192 Joomla FAILURE: Invalid password
útočník je podle IP z Turecka.
V administraci nalezen user hsacrew
Opatření:
- update joomla na 1.6.6
- změna hesel FTP, MySQL a administrace Joomla
- zablokování usera hsacrew
tato opatření shledána jako nedostatečná, bezpečnostní díra kterou se útočník dostal na web je podle všeho
[20120303] - Core - Privilege Escalation a týká se 2.5.2, 2.5.1, 2.5.0, a všech 1.7.x and 1.6.x releases
- hack se provádí pomocí Firefox ad-onu firebug.
- na webu s Joomla 1.6.x, 1.7.x, 2.5.0-2 se jde na stránku s registrací, pokud není nalezena, lze ještě zkusit defaultní cestu
http://example.com/component/users/?view=registration. Pokud není v administraci reistrace zkázána měla by ta default fungovat. Může se ale stát, že je v administraci registrace zakázána. V tom případě hack nefunguje. - pak při vyplňování registrace udělat záměrně jednu chybu (odzkoušel jsem s kontrolní heslo schválně jiné)
- než potvrdíte registraci aktivujte Firebug, Zobrazte si HTML k registračnímu formuláři. A dejte upravit HTML.
- Vložte input pole:
ve formu se objeví pole: a pak dejte tlačítko (potvrdit) "registrovat". - JElikož jste schválně zadali jednu kontrolní hodnotu chybně, form vás bude o tom informovat a bez všimnutí zbaští vstupní pole [groups] = 7 , tj. administrator.
- Vy tentokrát zadejte vše správně a odešlete form.
- Dle nastavení v administraci Joomla teď přijde potvzovací email nebo ani nebude nutné, případně pokud je potvrzení na adminivi máte smůlu a hack nebude úspěšný (to má nastavené ale málo který web).
- Potvrď potvrzovací email a můžeš se rovnou přihlásit do administrace Joomla.
- Důrazně doporučuji Joomla aktualizovat v Administrace Joomla > Extensions > Extension Manager > Update
- Provizorní obramnou může být vypnutí možnosti registrace a potvrzení registrace adminem.
- How to hack Joomla - Escalate privileges Joomla