SITO BUCATO: Sparito utente administrator

[mattej]

Torno oggi da 3 giorni di vacanza e mi trovo una bella sorpresina..
sulla mail una richiesta di reset password mai chiesta per il mio nome utente (super administrator) del sito.
Il mio portalino non accetta più le mie password.
Se la richiedo dall'apposita voce (hai dimenticato la tua password?) dal modulo "jfusion login" mi dice che alla mail che inserisco non è associato nessun utente..
Entro nel database MYSQL, mostro i campi della taballe jos_user e scopro di avere solo più 17 utenti.. Administrator è sparito!!!

per una maggior comprensione vi spiego com'è strutturata la gestione degli utenti..
forum phpbb (registrazione utenti abilitata)
sito joomla (registrazione utenti disabilitata e sincronizzazione tramite jfusion)

avete qualche idea di come sistemare la cosa?!

è possibile creare un utente super admin dal mysql?

ringrazio

[mattej]

Aggiornamento!!
sono riuscito ad entrare ma è tutto bloccato!
dal phpadmin ho notato un certo utente "vicious" come super administrator, gli ho cambiato la pss e sono entrato nel pannello, però ora qualsiasi funzione è bloccata. mi viene fuori una finestra che mi richiede un autorizzazione per l'accesso:

"Un nome utente e una password sono stati richiesti da http://www.trialmap.it. Il sito riporta: "kullanici adi ve sifreyi girin"

[56francesco]

che versione di joomla avevi installata?

[mattej]

1.5.9
se la aggiorno alla .11 dite che risolvo qualcosa?

[56francesco]

ora non ha senso aggiornare, direi che hai subito una intrusione...

modifica subito le credenziali di accesso, tutte, ftp e dabase comprese perchè ora le conosce anche chi si è introdotto..

se avevi le copie e sono sane prima ripristina quelle  poi aggiorna di corsa
ma se non cambi le credenziali di accesso è lavoro inutile..

anche avvisare l'assistenza hosting sarebbe opportuno..

[mattej]

credenziali modificate!
ma non si riesce proprio a togliere quella finestra di autentificazione senza ripristinare tutto?

[56francesco]

ti riferisci al modulo login? 
non capisco..

[mattej]

no, a quella che salta fuori nel pannello di controllo quando si clicca su qualsiasi voce.

[56francesco]

sarà un effetto dell'intrusione,
non hai una copia sana da ricaricare?
neanche solo del satabase?

[mattej]

si ma risale a fine aprile.
ripristinandola andrebbero perse tutta una serie di modifiche sperimentali che avevo apportato solo sul server e non in remoto.. (sbagliatissimo)

[mattej]

Alla fine ho risolto pubblicando una copia di backup che ho provveduto subito ad aggiornare alla versione 1.5.11.
Tutto bene fino a 10 minuti fà quando mi arrivò una richiesta di reset password sulla mia mail, tempo di collegarsi al sito e.. trak! NUOVAMENTE BUCATO!!! ma com'è possibile!?

[56francesco]

cosa ti è successo di preciso, avevi modificato anche le password ftp e del database?

[mattej]

Del database no perchè non sono riuscito ma le altre tutte.. (FTP e Administrator del sito)
Praticamente mi è arrivata una richiesta di reset password sulla mail e da quel momento mi sono trovato questa pagina al posto del mio sito.. resettando poi la pss admin dal database sono entrato nel pannello di controllo e, dopo aver effettuato il login anzichè la classica schermata compare una roba strana con la possibilità di editare le cartelle del sito..
Dove può essere il problema?
da che parte saranno entrati?
controllando la lista aggiornata dei componenti potenzialmente bucabili ho notato che non ne uso nessuno di quelli.

[56francesco]

Del database no perchè non sono riuscito

Dove può essere il problema?
da che parte saranno entrati?

ti sei risposto da solo....

nella schermata strana forse c'è una opzione per liberare il sito, prova a cercarla  e se puoi prima fai delle stampe delle videate..

[mattej]

Mi sembra un pò strano dal database altrimenti avrebbero potuto fare decisamente più danni.. c'è anche un forum in PHPbb sullo stesso DB e quello funziona senza problemi..
Provo a cercare questa funziona per ripristinare il tutto nel frattempo allego la schemata

[allegato eliminato da un amministratore perchè più vecchio di 365 giorni]

[56francesco]

Mi sembra un pò strano dal database altrimenti ..

hanno fatto esattamente quello che volevano e poi se ne sono andati...
non cambiarla se credi, dopotutto sono immagini che aggiornano spesso e anche carine da vedere..
 

[tiè]

ti hanno installato una shell php sul server!
devi cambiare tutte le password ma proprio tutte, se non ti hanno danneggiato di più è perchè a loro basta così per dimostrare di essere bravi.

p.s. naturalmente è sgaragnao!

[mattej]

Ma una volta modificate le PSS c'è un modo per riparare il sito o reinstallo tutto?

[JoomlArt.eu]

con i backup del db e dello spazio web che esegui via ftp.

[mattej]

con i backup del db e dello spazio web che esegui via ftp.

Ovvio.. ma di ripararlo nemmeno pensarlo?

[JoomlArt.eu]

una volta mi hanno bucato ma personalmente preferisco ripristinare i backup piuttosto che riparare il db...
non so bene cosa ti sia successo ma ti consiglio una volta che hai risolto di fare backup almeno almeno settimanali se non hai un servizio di hosting che te li fa giornalmente...e sopratutto di tenere sempre tutto aggiornato.

[tiè]

con i backup del db e dello spazio web che esegui via ftp.

Ovvio.. ma di ripararlo nemmeno pensarlo?

se riesci a ripararlo, fallo; io non ho mai provato.
Probabilmente lo riparerei su una copia testuale di backup, oppure dal phpMyAdmin, magari quello a casa, ma cosa riparare? se sai cosa cambiare e con cosa, diventa facile, altrimenti è difficile!

[angelcs]

1.5.9
se la aggiorno alla .11 dite che risolvo qualcosa?

Ciao stavo leggendo questa brutta notizia,  inoltre il sito ancora non funziona di conseguenza ti do il mio consiglio che credo ti rimette il sito in sesto.

Fai una copia dei file e del database completa e conservalo al sicuro che tra poco ti servira.

- Poi prendi la stessa versione di joomla che usi a estraila sul tuo pc.
- Confrontala con quella sul server.
- Se noti file diversi da quelli di joomla che hai sul server cancellali.
- Sovrascrivi tutti i file e cartelle con quel joomla che avevi scaricato dovrebbe bastare.

Se usi xammp questa prova la puoi fare prima sul tuo pc che sarebbe meglio.
Fammi sapere se risolvi

[tiè]

ecco cosa ho trovato:

"Safe Mode

Safe Mode is the nemisis of PHP Shell. If PHP is running in Safe Mode then PHP Shell will normally not work — sorry. Please read the detailed explaination in the SECURITY file included in the PHP Shell distribution."

questo è il link:
http://phpshell.sourceforge.net/

che significa: se il php gira in safe-mode la shell php non funziona.

[angelcs]

Suppongo che hai rimosso questo script...
Ma poi lo hai sistemato?

[tiè]

il problema è di mattej non mio^^

[angelcs]

giusto, non ci avevo fatto caso, scusami.

Spero per Mattej che ha risolto.
Comunque siamo qui per aiutarci a vicenda, come sono stato aiutato io a suo tempo adesso posso nel mio piccolo dare il mio contributo.

ciao

[mattej]

ho abbandonato la strada del "riparare" il sito.. Con la scusa rifaccio tutto riorganizzando l'intero sito e inserendo tutte le modifiche che mi sono appuntato nel tempo..
Al momento ho provveduto a farmi cambiare le pss del DB, il resto è ancora in cantiere..
grazie comunque ragazzi..