Siti in joomla hackerati

[francesco85]

Ciao,
abbiamo acquisito una società con circa 30 siti progettati in joomla, ieri un hacker chiamato ghost61 ha cambiato l'home page a tutti sostanzialmente è riuscito a cambiare il file configuration.php. Ho visto che ne ha crackati parecchi in giro per il mondo.

La versione di joomla è 1.0.15

Non credo sia riuscito a crackare il server credo abbia invece sfruttato qualche vulnerabilità di injection su joomla.

Qualcuno a news o sa darmi suggerimenti?

[= odino =]

qualche link?

 - controllato via ftp se c'è tutto?
 - file anomali?
 - configuration.php è ok?

Buona fortuna 

[alexred]

Ciao francesco85,
si hanno notizie di questo genere, ma riguardo a vulnerabilità presenti in componenti installati in joomla e non di Joomla stesso.
Esiste una lista di componenti da evitare per la versione 1.0.x che sono ritenuti pericolosi.

[sheol77]

la lista di componenti non sicuri è reperibile da qualche parte?

grazie

sheol77

[ste]

ciao sheol77, qui trovi delle info utili
http://forum.joomla.it/index.php/topic,8859.0.html

[francesco85]

Sono un programmatore PHP e joomla lo vedo come il fumo negli occhi. Comunque vi spiego nel dettaglio

L'hacker ha sostanzialmente cambiato il file configuration.php con una sua paginetta, non ha toccato nient'altro come dice l'etica hacker ha voluto semplicemente mostrarmi che ha sfondato.
Credo abbia eseguito una injection sfruttando un componente di joomla con bug e sia andato poi in lettura dei record del db.

Comunque questi sono i componenti:

acajoom
Docman
facileforms
JCE
ProjectFork
Rsgallery2
sh404SEF
joomlaXplorer
Joomfish
VIRTUEMART
joomseo
JACLPlus

Se avete altre news...

[ste]

Ciao francesco, ti consiglio di controllare che tutti i componenti siano aggiornati all'ultima versione.

[alexred]

Si, è sempre molto importante tenere aggiornati i componenti installati, nell'elenco che hai inserito ci sono nomi di componenti che hanno versioni con grossi bug di sicurezza. Questo pregiudica la sicurezza dell'intera installazione di Joomla. E' inoltre importante che sul server siano filtrate le chiamate ritenute pericolose e disattivati i comandi ritenuti pericolosi.

[francesco85]

Mi dici quali sono i componenti ritenuti pericolosi indipendentemente dall'aggiornamento? Oppure i componenti sopra citati se aggiornati sono sicuri?

Il lato server è a posto

[alexred]

confrontando con questa vecchia lista:
http://docs.joomla.org/Vulnerable_Extensions_List

ci sono 4 dei componenti da te citati.
Inoltre sono note versioni di Docman e joomlaXplorer con bug di sicurezza.