Scansione del sito

[stekko992]

Ciao a tutti, dopo l'ennesimo attacco al sito web, che per fortuna ho ripristinato abbastanza velocemente con un backup precedente di  [non so se si può dire] Akeeba, che tra l'altro ne ha creato uno proprio dopo l'attacco, da solo... Vabbè comunque dicevo dopo l'attacco e il conseguente ripristino ho scansionato il sito con JoomScan ed ho ottenuto questo risultato:

Codice: [Seleziona]

Server: Apache/2.4.3 (Unix) mod_fcgid/2.3.7
X-Powered-By: PHP/5.3.19




## Checking if the target has deployed an Anti-Scanner measure


[!] Scanning Passed ..... OK




## Detecting Joomla! based Firewall ...


[!] No known firewall detected!




## Fingerprinting in progress ...


Use of uninitialized value in pattern match (m//) at ./joomscan.pl line 1009.
~Unable to detect the version. Is it sure a Joomla?


## Fingerprinting done.




## 4 Components Found in front page  ##


 com_search    com_content   
 com_phocadownload    com_users   








Vulnerabilities Discovered
==========================


# 1
Info -> Generic: htaccess.txt has not been renamed.
Versions Affected: Any
Check: /htaccess.txt
Exploit: Generic defenses implemented in .htaccess are not available, so exploiting is more likely to succeed.
Vulnerable? Yes


# 2
Info -> Generic: Unprotected Administrator directory
Versions Affected: Any
Check: /administrator/
Exploit: The default /administrator directory is detected. Attackers can bruteforce administrator accounts. Read: http://yehg.net/lab/pr0js/view.php/MULTIPLE%20TRICKY%20WAYS%20TO%20PROTECT.pdf
Vulnerable? N/A


# 3
Info -> Core: Multiple XSS/CSRF Vulnerability
Versions Affected: 1.5.9 <=
Check: /?1.5.9-x
Exploit: A series of XSS and CSRF faults exist in the administrator application.  Affected administrator components include com_admin, com_media, com_search.  Both com_admin and com_search contain XSS vulnerabilities, and com_media contains 2 CSRF vulnerabilities. 
Vulnerable? N/A


# 4
Info -> Core: JSession SSL Session Disclosure Vulnerability
Versions effected: Joomla! 1.5.8 <=
Check: /?1.5.8-x
Exploit: When running a site under SSL (the entire site is forced to be under ssl), Joomla! does not set the SSL flag on the cookie.  This can allow someone monitoring the network to find the cookie related to the session.
Vulnerable? N/A


# 5
Info -> Core: Frontend XSS Vulnerability
Versions effected: 1.5.10 <=
Check: /?1.5.10-x
Exploit: Some values were output from the database without being properly escaped.  Most strings in question were sourced from the administrator panel. Malicious normal admin can leverage it to gain access to super admin.
Vulnerable? N/A


# 6
Info -> Core: Frontend XSS - HTTP_REFERER not properly filtered Vulnerability
Versions effected: 1.5.11 <=
Check: /?1.5.11-x-http_ref
Exploit: An attacker can inject JavaScript or DHTML code that will be executed in the context of targeted user browser, allowing the attacker to steal cookies. HTTP_REFERER variable is not properly parsed.
Vulnerable? N/A


# 7
Info -> Core: Frontend XSS - PHP_SELF not properly filtered Vulnerability
Versions effected: 1.5.11 <=
Check: /?1.5.11-x-php-s3lf
Exploit: An attacker can inject JavaScript code in a URL that will be executed in the context of targeted user browser.
Vulnerable? N/A


# 8
Info -> Core: Authentication Bypass Vulnerability
Versions effected: Joomla! 1.5.3 <=
Check: /administrator/
Exploit: Backend accepts any password for custom Super Administrator when LDAP enabled
Vulnerable? N/A


# 9
Info -> Core: Path Disclosure Vulnerability
Versions effected: Joomla! 1.5.3 <=
Check: /?1.5.3-path-disclose
Exploit: Crafted URL can disclose absolute path
Vulnerable? N/A


# 10
Info -> Core: User redirected Spamming Vulnerability
Versions effected: Joomla! 1.5.3 <=
Check: /?1.5.3-spam
Exploit: User redirect spam
Vulnerable? N/A


# 11
Info -> Core: Admin Backend Cross Site Request Forgery Vulnerability
Versions effected: 1.0.13 <=
Check: /administrator/
Exploit: It requires an administrator to be logged in and to be tricked into a specially crafted webpage.
Vulnerable? N/A


# 12
Info -> CoreLibrary: phpmailer Remote Code Execution Vulnerability
Versions effected: Joomla! 1.5.0 Beta/Stable
Check: /libraries/phpmailer/phpmailer.php
Exploit: N/A
Vulnerable? N/A


# 13
Info -> CoreComponent: com_content SQL Injection Vulnerability
Version Affected: Joomla! 1.0.0 <=
Check: /components/com_content/
Exploit: /index.php?option=com_content&task=blogcategory&id=60&Itemid=99999+UNION+SELECT+1,concat(0x1e,username,0x3a,password,0x1e,0x3a,usertype,0x1e),3,4,5+FROM+jos_users+where+usertype=0x53757065722041646d696e6973747261746f72--
Vulnerable? No


# 14
Info -> CoreComponent: com_search Remote Code Execution Vulnerability
Version Affected: Joomla! 1.5.0 beta 2 <=
Check: /components/com_search/
Exploit: /index.php?option=com_search&Itemid=1&searchword=%22%3Becho%20md5(911)%3B
Vulnerable? No


# 15
Info -> CoreComponent: MailTo SQL Injection Vulnerability
Versions effected: N/A
Check: /components/com_mailto/
Exploit: /index.php?option=com_mailto&tmpl=mailto&article=550513+and+1=2+union+select+concat(username,char(58),password)+from+jos_users+where+usertype=0x53757065722041646d696e6973747261746f72--&Itemid=1
Vulnerable? No


# 16
Info -> CoreComponent: com_content Blind SQL Injection Vulnerability
Versions effected: Joomla! 1.5.0 RC3
Check: /components/com_content/
Exploit: /index.php?option=com_content&view=%' +'a'='a&id=25&Itemid=28
Vulnerable? No


# 17
Info -> CoreComponent: com_content XSS Vulnerability
Version Affected: Joomla! 1.5.7 <=
Check: /components/com_content/
Exploit: The defaults on com_content article submission allow entry of dangerous HTML tags (script, etc).  This only affects users with access level Author or higher, and only if you have not set filtering options in com_content configuration.
Vulnerable? N/A


# 18
Info -> CoreComponent: com_weblinks XSS Vulnerability
Version Affected: Joomla! 1.5.7 <=
Check: /components/com_weblinks/
Exploit: [Requires valid user account] com_weblinks allows raw HTML into the title and description tags for weblink submissions (from both the administrator and site submission forms).
Vulnerable? N/A


# 19
Info -> CoreComponent: com_mailto Email Spam Vulnerability
Version Affected: Joomla! 1.5.6 <=
Check: /components/com_mailto/
Exploit: The mailto component does not verify validity of the URL prior to sending.
Vulnerable? N/A


# 20
Info -> CoreComponent: com_content view=archive SQL Injection Vulnerability
Versions effected: Joomla! 1.5.0 Beta1/Beta2/RC1
Check: /components/com_content/
Exploit: Unfiltered POST vars - filter, month, year  to /index.php?option=com_content&view=archive
Vulnerable? No


# 21
Info -> CoreComponent: com_content XSS Vulnerability
Version Affected: Joomla! 1.5.9 <=
Check: /components/com_content/
Exploit: A XSS vulnerability exists in the category view of com_content.
Vulnerable? N/A


# 22
Info -> CoreComponent: com_users XSS Vulnerability
Version Affected: Joomla! 1.5.10 <=
Check: /components/com_users/
Exploit: A XSS vulnerability exists in the user view of com_users in the administrator panel.
Vulnerable? N/A


# 23
Info -> CoreComponent: com_installer CSRF Vulnerability
Versions effected: Joomla! 1.5.0 Beta
Check: /administrator/components/com_installer/
Exploit: N/A
Vulnerable? N/A


# 24
Info -> CoreComponent: com_search Memory Comsumption DoS Vulnerability
Versions effected: Joomla! 1.5.0 Beta
Check: /components/com_search/
Exploit: N/A
Vulnerable? No


# 25
Info -> CoreComponent: com_banners Blind SQL Injection Vulnerability
Versions effected: N/A
Check: /components/com_banners/
Exploit: /index.php?option=com_banners&task=archivesection&id=0'+and+'1'='1::/index.php?option=com_banners&task=archivesection&id=0'+and+'1'='2
Vulnerable? Yes


# 26
Info -> CoreComponent: com_mailto timeout Vulnerability
Versions effected: 1.5.13 <=
Check: /components/com_mailto/
Exploit: [Requires a valid user account] In com_mailto, it was possible to bypass timeout protection against sending automated emails.
Vulnerable? N/A


# 27
Info -> Component: Dada Mail Manager Component Remote File Inclusion Vulnerability
Version Affected: 2.6 <=
Check: /administrator/components/
Exploit: /administrator/components/com_dadamail/config.dadamail.php?GLOBALS[mosConfig_absolute_path]=
Vulnerable? No


# 28
Info -> Component: Component com_newsfeeds SQL injection
Versions Affected: Any <=
Check: /index.php?option=com_newsfeeds&view=categories&feedid=-1%20union%20select%201,concat%28username,char%2858%29,password%29,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30%20from%20jos_users--
Exploit: /index.php?option=com_newsfeeds&view=categories&feedid=-1%20union%20select%201,concat%28username,char%2858%29,password%29,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30%20from%20jos_users--
Vulnerable? No


# 29
Info -> Component: Joomla Component com_searchlog SQL Injection
Versions Affected: 3.1.0 <=
Check: /administrator/index.php?option=com_searchlog&act=log
Exploit: /administrator/index.php?option=com_searchlog&act=log
Vulnerable? No


# 30
Info -> Component: Joomla Component com_djartgallery Multiple Vulnerabilities
Versions Affected: 0.9.1 <=
Check: /administrator/index.php?option=com_djartgallery&task=editItem&cid[]=1'+and+1=1+--+
Exploit: /administrator/index.php?option=com_djartgallery&task=editItem&cid[]=1'+and+1=1+--+
Vulnerable? N/A


# 31
Info -> Component: JA T3-Framework Directory Traversal Vulnerability
Versions Affected: any
Check: /index.php?file=..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2fetc%2fpasswd&jat3action=gzip&amp;type=css&v=1
Exploit: /index.php?file=..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2f..%2fetc%2fpasswd&jat3action=gzip&amp;type=css&v=1
Vulnerable? No


# 32
Info -> Component: Joomgalaxy Remote File Upload
Versions Affected: 1.2.0.5
Check: /index.php?option=com_users&view=registration
Exploit: /index.php?option=com_users&view=registration
Vulnerable? N/A


There are 2 vulnerable points in 32 found entries!


~[*] Time Taken: 9 min and 38 sec
~[*] Send bugs, suggestions, contributions to joomscan@yehg.net



Come devo comportarmi? che devo fare? Premesso che se rinomino il file htacces mi si impalla tutto...Chiedo aiuto a voi perchè non so proprio come fare. Grazie Mille.

[stekko992]

Rettifica: Ho risolto il problema del file htacces che adesso è stato appunto rinominato in .htacess
resta ancora il problema segnalato da JoomScan che mi dice che il componente com_banners è vulnerabile.
Come mi comporto? e soprattutto, avendo eliminato l'utente super user di default con id 42 e rinominato le tabelle, posso stare un pò più tranquillo? Il sito viene messo giù sempre più spesso ultimamente!

[giovi]

Che versione di joomla stai utilizzando?

[stekko992]

Ciao, sto utilizzando la 2.5.0
Ho notato che JoomScan non è riuscito a risalire alla versione, strano

[giovi]

che ne dici di aggiornare.....?
è inutile fare tutti i controlli fighi se poi l'unica cosa che è realmente necessaria per stare tranquilli è mantenere sempre il sito aggiornato all'ultima versione di joomla! e non lo si fa...

[stekko992]

Il discorso è che non mi riporta alcun aggiornamento da fare joomla perciò non ho provveduto. In ogni caso farò un aggiornamento sperando che la situazione migliori. Grazie

[giovi]

se il componente aggiornamenti non funziona scarica il pacchetto di aggiornamento dalla sezione download, dovrebbe sistemare ogni cosa

[stekko992]

Quando proprio le cose non devono andare...Ho aggiornato senza problemi, scarico akeeba admin tool per vedere se magari mi poteva essere utile alla difesa del sito e appena aggiorno, errore 500...niente da fare tutto è inutile e allora procediamo di nuovo al ripristino da backup. Vabbè passerò un'altra mezza giornata a caricare file con filezilla. Comunque Grazie eh!

[giovi]

cioè l'installazione di akeeba ti ha creato il problema?

[stekko992]

Suppongo di si dato che due secondi prima andava bene e soprattutto aldilà dell'installazione non ho modificato nulla. Installo il componente, clicco su non mi ricordo configura o altro e mi da errore 500 nel box diciamo così, aggiorno la pagina e mi da errore 500. Mah!

[ilvanni]

@stekko992:
giusto per completezza sul discorso di prima, è sempre consigliato e suggerito usare il metodo classico, a prescindere dalla presenza o meno della possibilità di aggiornamento direttamente da back-end, in quanto o ci potrebbero essere delle limitazioni su quel tipo di servizio e/o metodo di trasferimento dati lato hosting o perchè più semplicemente c'è il rischio di imbattersi in errori di time-out o perdita pacchetti o altro indipendenti dalla nostra volontà, quindi sempre meglio il vecchio metodo in manuale tramite filezilla il tutto chiaramente previo sempre backup del db+cartelle+file.

Inoltre è sempre meglio controllare le nuove uscite, magari ti servirà per il futuro, inserisci nei tuoi segnalibri questo link ed ogni tanto vai a controllare, è cosa buona e giusta:

http://www.joomla.it/download.html

Oltretutto cosa importantissima, le estensioni non dimentichiamocele, anche e soprattutto quelle vanno sempre ed obbligatoriamente tenute aggiornate, con la sicurezza non si scherza.

Il backup, certo le soluzioni automatizzate sono più comode ma almeno una volta al mese un bel backup manuale da conservare (che fra l'altro non è che porti via poi tanto tempo eh... poi filezilla lo lanci e puoi andare anche al bar per un caffè) è sempre meglio farlo, sai com'è, non si sa mai... grat grat...

[stekko992]

Certo grazie ilvanni purtroppo lo sto imparando a mie spese e credo che da oggi farò un backup quotidiano praticamente. Per l'aggiornamento invece mi ha fregato il fatto di fidarmi del messaggio Joomla è aggiornato ma farò bene a non guardarlo più di tanto. Grazie a tutti per le risposte, fa piacere sentire qualcuno che da un consiglio