SITO BUCATO: Sparito utente administrator

[mattej]

Torno oggi da 3 giorni di vacanza e mi trovo una bella sorpresina..
sulla mail una richiesta di reset password mai chiesta per il mio nome utente (super administrator) del sito.
Il mio portalino non accetta più le mie password.
Se la richiedo dall'apposita voce (hai dimenticato la tua password?) dal modulo "jfusion login" mi dice che alla mail che inserisco non è associato nessun utente..
Entro nel database MYSQL, mostro i campi della taballe jos_user e scopro di avere solo più 17 utenti.. Administrator è sparito!!!

per una maggior comprensione vi spiego com'è strutturata la gestione degli utenti..
forum phpbb (registrazione utenti abilitata)
sito joomla (registrazione utenti disabilitata e sincronizzazione tramite jfusion)

avete qualche idea di come sistemare la cosa?!

è possibile creare un utente super admin dal mysql?

ringrazio

[mattej]

Aggiornamento!!
sono riuscito ad entrare ma è tutto bloccato!
dal phpadmin ho notato un certo utente "vicious" come super administrator, gli ho cambiato la pss e sono entrato nel pannello, però ora qualsiasi funzione è bloccata. mi viene fuori una finestra che mi richiede un autorizzazione per l'accesso:

"Un nome utente e una password sono stati richiesti da http://www.trialmap.it. Il sito riporta: "kullanici adi ve sifreyi girin"

[56francesco]

che versione di joomla avevi installata?

[mattej]

1.5.9
se la aggiorno alla .11 dite che risolvo qualcosa?

[56francesco]

ora non ha senso aggiornare, direi che hai subito una intrusione...

modifica subito le credenziali di accesso, tutte, ftp e dabase comprese perchè ora le conosce anche chi si è introdotto..

se avevi le copie e sono sane prima ripristina quelle  poi aggiorna di corsa
ma se non cambi le credenziali di accesso è lavoro inutile..

anche avvisare l'assistenza hosting sarebbe opportuno..

[mattej]

credenziali modificate!
ma non si riesce proprio a togliere quella finestra di autentificazione senza ripristinare tutto?

[56francesco]

ti riferisci al modulo login? 
non capisco..

[mattej]

no, a quella che salta fuori nel pannello di controllo quando si clicca su qualsiasi voce.

[56francesco]

sarà un effetto dell'intrusione,
non hai una copia sana da ricaricare?
neanche solo del satabase?

[mattej]

si ma risale a fine aprile.
ripristinandola andrebbero perse tutta una serie di modifiche sperimentali che avevo apportato solo sul server e non in remoto.. (sbagliatissimo)

[mattej]

Alla fine ho risolto pubblicando una copia di backup che ho provveduto subito ad aggiornare alla versione 1.5.11.
Tutto bene fino a 10 minuti fà quando mi arrivò una richiesta di reset password sulla mia mail, tempo di collegarsi al sito e.. trak! NUOVAMENTE BUCATO!!! ma com'è possibile!?

[56francesco]

cosa ti è successo di preciso, avevi modificato anche le password ftp e del database?

[mattej]

Del database no perchè non sono riuscito ma le altre tutte.. (FTP e Administrator del sito)
Praticamente mi è arrivata una richiesta di reset password sulla mail e da quel momento mi sono trovato questa pagina al posto del mio sito.. resettando poi la pss admin dal database sono entrato nel pannello di controllo e, dopo aver effettuato il login anzichè la classica schermata compare una roba strana con la possibilità di editare le cartelle del sito..
Dove può essere il problema?
da che parte saranno entrati?
controllando la lista aggiornata dei componenti potenzialmente bucabili ho notato che non ne uso nessuno di quelli.

[56francesco]

Del database no perchè non sono riuscito

Dove può essere il problema?
da che parte saranno entrati?

ti sei risposto da solo....

nella schermata strana forse c'è una opzione per liberare il sito, prova a cercarla  e se puoi prima fai delle stampe delle videate..

[mattej]

Mi sembra un pò strano dal database altrimenti avrebbero potuto fare decisamente più danni.. c'è anche un forum in PHPbb sullo stesso DB e quello funziona senza problemi..
Provo a cercare questa funziona per ripristinare il tutto nel frattempo allego la schemata

[allegato eliminato da un amministratore perchè più vecchio di 365 giorni]

[56francesco]

Mi sembra un pò strano dal database altrimenti ..

hanno fatto esattamente quello che volevano e poi se ne sono andati...
non cambiarla se credi, dopotutto sono immagini che aggiornano spesso e anche carine da vedere..
 

[tiè]

ti hanno installato una shell php sul server!
devi cambiare tutte le password ma proprio tutte, se non ti hanno danneggiato di più è perchè a loro basta così per dimostrare di essere bravi.

p.s. naturalmente è sgaragnao!

[mattej]

Ma una volta modificate le PSS c'è un modo per riparare il sito o reinstallo tutto?

[JoomlArt.eu]

con i backup del db e dello spazio web che esegui via ftp.

[mattej]

con i backup del db e dello spazio web che esegui via ftp.

Ovvio.. ma di ripararlo nemmeno pensarlo?