Sicurezza Joomla

[Fabrizio4All]

 

So che può sembrare strano, cmq...

Ho finito 3 siti fatti in joomla e li ho già pubblicati, ma ora ho paura che i siti mi vengano hackerati o buttato giù da qualche demente.

Sono già aggiornati alla versione 1.5.7, ma cos'altro devo fare?

Ho cercato, ma non ho trovato una guida tipo "come mettere il tuo sito pubblicato in sicurezza" e non do neanche cosa guardare.
Ho visto su alcune guide di settare dei paraemtri di sicurezza sulle caretelle e file ma erano tutte guide per joomla 1.0.x quindi no so neanche se siano ancora valide..

Non possiamo creare un piccolo post in evidenza per risaltare tutte quelle piccole cose da fare per rendere il tuo sito sicuro una volta pubblicato??

Grazie per l'attenzione...

[Locu]

Ciao, leggi questo post:

http://forum.joomla.it/index.php/topic,50464.0.html

[Fabrizio4All]

beh ma non è proprio quello che ho chiesto... cmq grazie...

quello è un metodo per mettere in sicurezza dietro un doppio login la parte di amministrazione, io avrei bisgno di sapere quali sono quelle piccole regolazioni su permessi di cartelle e server che è meglio fare una volta pubblicato il sito... 

[Fabrizio4All]

ma a questo punto faccio un'altra domanda...

ne esistono???

[Fabrizio4All]

ho capito che nessuno e voglia e tempo di fare un piccolo manuale... ma almeno dire se esistono e meno con un SI o un NO si potrebbe...

che ne dite??

[bugSearch.Net]

non credo che esista un insieme di impostazioni che possono assicurare il 100% di sicurezza. solitamente ci sono degli accorgimenti tipo quelli suggeriti dall'installazione di joomla (vedi register_globals Off, safe_mode On ecc ecc) poi potresti impostare dei permessi restrittivi su files e directory (ovviamente se sei su un hosting linux) e via dicendo ma, la sicurezza non viene solo da questo ad esempio se usi moduli buggati tutto ciò è praticamente inutile.

oltre a questi accorgimenti è sempre bene avere dei backup da ripristinare, tenere sempre aggiornato joomla e moduli cambiare spesso le password di admin (e magari cambiare pure il login di admin) e incrociare le dita.

[Locu]

Concordo con bugsearch.
Inoltre ti suggerirei che puoi trovare tutto quello che ti occorre per settare i permessi delle cartelle in qualsiasi guida dei comandi unix.

http://www.zzee.com/solutions/unix-permissions.shtml

Per tornare a quello che ti avevo scritto qualche post sopra, usa un doppio login, così il massimo che un attaccante può fare è cambiarti dei dati sul database ma non avrà la possibilità di accedere all'administrator del joomla.

[bugSearch.Net]

Per tornare a quello che ti avevo scritto qualche post sopra, usa un doppio login, così il massimo che un attaccante può fare è cambiarti dei dati sul database ma non avrà la possibilità di accedere all'administrator del joomla.

secondo me se ti bucano da qualche altra parte anche se hai doppia pass in admin non risolvi niente inquanto se ti possono modificare le pagine in front end possono fare tutto quello che vogliono, anche cancellare il database e tutti gli altri files.

[Locu]

mmm... non credo sia un'ipotesi plausibile, il defacer o chicchessia, può solo andare a modificare i valori nel db, senza a vere accesso alla root del server. Correggimi se sbaglio.

[bugSearch.Net]

dipende mi pare che spesso dopo un deface si consigli agli utenti di ricaricare il file index.php di joomla e quello del template ... ciò significa che questi sono stati modificati (ad esempio ci inseriscono un iframe) ... allo stesso modo potrebbero poter accedere ad altri files non credi?

[Locu]

non penso, per editare un file nella root del server devi accedere fisicamente al file,mediante un editor o avere la possibilità di caricare/scaricare direttamente i file (RFI)... tramite una sql injection al massimo puoi modificare e/o vedere i valori/stringhe nei database.

dipende mi pare che spesso dopo un deface si consigli agli utenti di ricaricare il file index.php

Perchè i defacers hanno ottenuto la psw di admin quindi hanno accesso al manager e, di conseguenza, all'editor dei file e alla gestione dei moduli. Quindi come già ho affermato, nel caso di joomla, se un defacer ottiene la psw dell'admin ma il sito è protetto con doppio login il risultato è che il defacer non può far molto. Soprattutto perchè la maggiorparte dei defacer sono dei bambini cretini che non sanno nulla di php e databases. (script kiddies)

[marco_g]

Leggi questo articolo

[sudoku]

leggere data del post please 

[marco_g]

Fa nulla se è vecchio, visto che non ha risolto, comunque la notifica gli dovrebbe arrivare.

Se ho sbagliato chiedo ammenda