Salve,
un sito di un cliente è stato "defacciato" ed è stato eseguito questa shell r57.
Ce ne siamo accorti dal cambio di home ed abbiamo fatto un backup veloce e cancellato tutto.
Dai log non siamo riusciti a capire in che modo hanno forzato joomla ma abbiamo capito che sono entrati semplicemente con admin / pass precedentemente cambiata in qualche modo.
Abbiamo visto che prima di entrare sono stati lanciati comandi come "reset" al modulo com_user, però riprovandoci non siamo riusciti a ricreare l'intrusione.
Altro problema l'utente (o bot) ha cambiato più volte ip, con traceroute abbiamo visto che la provenienza era sempre la turchia ma è difficile ricostrure tutti i passaggi del lamer.
Detto questo vorrei capire se è stato un problema della 1.5.3 o di un modulo, e quindi se installando la 1.5.7 il cliente è più al "sicuro" oppure reinstallando gli altri moduli rimane vulnerabile.
Il fatto che siano riusciti a cambiare la password di admin mi fa pensare che sia stato un problema di sicurezza del modulo com_user... sapete niente al riguardo?
