ricordo che nessuno dei plugins citati garantisce la sicurezza assoluta, vedi quanto scritto sul JED e nel mio sito a proposito del plugin. e non perché io mi ritenga un fessacchiotto che prova a programmare, ma perché non devo vendere niente e posso dire le cose come stanno!
parlo per il mio, ma il discorso si applica pari pari all'altro: vengono riconosciuti i più comuni tipi di attacco, ma qualcosa può sempre scappare: in particolare nessun plugin, nessuno al mondo, può salvarti da errori di configurazione o mancati aggiornamenti del server (se faccio saltare apache o bind sai a che serve il plugin).
la soluzione migliore, anzi l'unica sicura, è installare tutto ex-novo su una nuova macchina, con le versioni di joomla e componenti ora on line, trasferire il db da quella di produzione e copiare immagini ed altri file non eseguibili; a questo punto si installano tutti gli aggiornamenti. dopo di che si spiana il server di produzione e si mette in linea il sito rinnovato.
sarebbe opportuno testare anche i files trasferiti dal vecchio sito per verificare che l'estensione corrisponda al contenuto, sì come suggerito da maurizio. per le immagini una un visualizzatore qualunque, quello per cui non ti crea la thumbnail non è un file di immagine!
quello che può esserci nel db è giusto un xss, una rottura ma non pericoloso per il tuo sito.
ciao,
marco
