Attacchi hacker - Istruzioni per l'uso

[mau_develop]

No, Sudoku, non sono per niente d'accordo con ciò che dici nell'ultimo post, e ci sono ben due motivi.

Uno (che mi sembra abbiano fixato solo ultimamente) di cui avevo già discusso su qs forum ed è un piccolo bug nel recupero della pw.

L'altro più specifico sulla tua considerazione; e forse sopra mi sono spiegato male.

Immagina una sqlinj dove riesco ad esploitare la pw admin, vedrò printato da qualche parte l'md5 della pw.

Lo metto in un cracker e 80/100 nel giro di una giornata ho la pw in chiaro da inserire nel pannello di admin.

Ma se io inserisco invece di pippo il suo md5, quando esploito, ottengo l'md5 di un md5, mettilo dove vuoi ma è infinitamente più difficile.

Non voglio sostenere che l'md5 non è una sicurezza... ma vacilla un po' visto ormai il tempo che è usato, le infinite risorse di vocabolari online e la velocità a scorrere le liste che ormai i pc e le bande di molti servizi consentono.
Inoltre si continuano ad usare password col nome del cane e la squadra del cuore....

M.

[gregorio09]

@gregorio: mai in maiuscolo: testa o meno non sei in casa tua ergo non urlare 

sudoku ciao, ma hai letto i miei post, forse no.... ho chiesto già scusa per questo... ho ridetto che non sapevo questo fatto del maiscuolo...ok ....ed infine non ho urlato nessuno... spero nuovamente di essere stato chiaro....

[gregorio09]

allora ragazzi, sembra che il sito funziona, cmq resto in fase test, adesso che faccio ? faccio upgrade prendo dal vostro download la versione che mi permette di upgradare dalla 1.5.14 alla 1.5.15?

Poi giusto sono delle domande che mi chiedo sempre, visto che l'assistenza del mio provider ha comunicato che l'attacco è partito da 1 sito che aveva joomla un po' vecchiotto, e poi si è propagato a tutto il server e quindi a tutti i siti in quel server. Non mi faccio capace come uno da un  sito può rovinare l'intero server! Allora vi chiedo a questo punto non serve solo avere aggiornato joomla o altro cms, ma basta che uno ha un sito in quel server e se ne ha le capacità può rovinare l'intero server, possibile che la sicurezza di un server può essere in balia di un solo sito! Su Questa cosa dite ciò che volete, ma a livello di sicurezza di server  a questo punto mi viene da dire, che si fa poco, si sottovaluta questo aspetto,  la sicurezza dei server. A mio parere, anche se mi sbaglio, bisognerebbe fare una campagna pro sicurezza dei server, dire a nostri hosting provider, di darci dei server almeno con un minimo di sicurezza. 

[frascan]

in merito all'aggiornamento di versione se ti sembra che tutto vada bene ti rispondo che aggiornare non fa male anzi fa decisamente bene. quindi procedi con l'aggiornamento.

per quanto riguarda invece la sicurezza dei server ti posso rispondere che anche mettendo in atto tutte le misure possibili in termini di sicurezza è sempre possibile che arriva uno che ne sa di più e ti viola un sistema. questo in linea generale.

nel caso specifico andrebbero fatte tutta una serie di verifiche per capire come sia avvenuto l'attacco al server. solo così si possono attribuire le responsabilità il resto è pura discussione accademica.

in genere i fornitori di hosting sono molto reticenti nel fornire questo tipo di informazioni. quello che spero e che mi auguro è che i tecnici abbiano capito cosa e come sia avvenuto ed abbiano preso le dovute contromisure.

[Conanbarbaro]

@Conanbarbaro: no, non credo sia una buona idea poichè rischi solo di creare danni economici.
Anche gli hoster, in fondo, non ne hanno colpa, semmai responsabilità; è uno scherzo che php fa a se stesso
Tutto è pubblico per cui non ci vorrà molto a giungere a soluzione.

M.

Ok Mau, allora provo a riformulare la domanda:

chi ha un sito aziendale, e decide di spostarsi su un Hosting "serio"...fa bene ad affidarsi a xxxxxxxx ad esempio? Qualcuno qui parlava (e non è la prima volta) di basse cifre che si pagano per un servizio hosting e di conseguenza non si puo' pretendere chissà cosa...Joomla offre servizio completo di hosting a 59 euro + iva...contro le 15/20 circa di cui ho sentito parlare anche qui di molti altri providers...quindi? Io che ho bisogno e che sto aspettando il via libera del mio capo per farlo, e dovrebbe accadere a breve, faccio bene ad affidarmi a xxxxxxxxx? So che i giudizi e le risposte alla mia domanda dovrebbero essere imparziali...qualcuno sa consigliarmi quindi in proposito?

Grazie 

[56francesco]

per cortesia nessun riferimento commerciale, puoi eliminarli? grazie..

Ok Mau, allora provo a riformulare la domanda:

chi ha un sito aziendale,

chi ha un sito aziendale .... se legge e rispetta le disposizioni del proprio DPS (magari redatto da un professionista privacy e non dal webmaster impiccione di turno)  sta sempre sicuro al 300%
e non è neanche a rischio sanzioni che vanno da 3mila euro in su....

[mau_develop]

quello che dice Francesco è corretto.

Conanbarbaro, ho iniziato a parlare di questo problema sapendo di infilarmi in un ginepraio, ovvio che sarebbero arrivati paragoni tra server e server, hosting e hosting e anche questo non lo ritengo giusto... fossimo al bar davanti ad una birra ti avrei anche risposto.

poi non è come il prosciutto crudo, 30 euro così così, 40 buono, 50 ottimo.

Cioè se è vero che basso costo difficilmente coincide con alta efficienza (..lo so, lo so Francesco che ci sono le leggi che comunque ti obbligano.. ) non è proprio detto nemmeno il contrario.

Frequento da anni forum di sicurezza e ti assicuro che tutto ha un'errore, basta trovarlo.

Credo che la tua responsabilità di dipendente non sia di assicurare al tuo capo l'inviolabilità dei siti, ma di usare almeno servizi "regolari" che ti offrono un contratto con degli accordi che ti soddisfino; se non ti basta ciò che ti danno chiedi, e loro sono felici: vuoi il backup? Vuoi particolari configurazioni? Vuoi particolari protezioni? Il mio provider è felice quando non mi accontento, ha sempre di meglio da propormi... ovvio poi il conto non è lo stesso. Per me l'importante è che quello che pago me lo garantisca, il resto è mestiere mio.

Poi non farei drammi nemmeno sui siti aziendali, capita. Tieni i backup e ti assicuro che il tuo cliente dopo 5 minuti di panico vede che comunque ha una persona che sa ripristinargli i problemi velocemente.

Clienti con parecchi dati sensibili, transazioni etc. beh i costi cambiano e mi permetto servizi più "dedicati"

M.

[Conanbarbaro]

per cortesia nessun riferimento commerciale, puoi eliminarli? grazie..

Ok Mau, allora provo a riformulare la domanda:

chi ha un sito aziendale,

chi ha un sito aziendale .... se legge e rispetta le disposizioni del proprio DPS (magari redatto da un professionista privacy e non dal webmaster impiccione di turno)  sta sempre sicuro al 300%
e non è neanche a rischio sanzioni che vanno da 3mila euro in su....

Scusa tanto 56francesco ma stavolta faccio proprio fatica a seguirti.
Sono perfettamente a conoscenza del fatto che il regolamento qui vieta espressamente di menzionare riferimenti commerciali, ma credevo che almeno per un servizio "di casa" questa regola fosse bypassata. E' un po' come se Berlusconi vietasse di parlare di qualunque altra tv al'interno dei programmi Mediaset, e poi facesse il cazziatone a chi nomina Mediaset stessa. O sbaglio? Forse questo forum non appartiene al servizio a pagamento da me menzionato?
Detto questo, il tuo intervento,  specie per "mezzi" neofiti come me, è alquanto incomprensibile. Secondo me, senza offesa e soprattutto perdonami, senza polemica, si dovrebbe cercare di capire un po' piu' approfonditamente una cosa: se un utente viene a chiedere aiuto su questo forum, è proprio perchè ne ha bisogno e soprattutto l'impostazione dovrebbe essere proprio quella di dare una mano a chi ha difficoltà.

Se fossimo tutti esperti, non credi che ce la caveremmo da soli? Francamente io farei anche a meno di disturbare, ma se ho bisogno di una mano per fare qualcosa, o la chiedo qui, o cambio programma...di  open source ce ne sono a josa, non credi? E leggendo in giro nelle varie sezioni, non sono il primo che fa notare questo comportamento. Tutti i moderatori (o quasi) qui hanno come firma la dicitura "non si accettano mp privati per questioni tecniche...chiedere nel forum". Bene, allora? Si pone una domanda nel forum, per quanto banale sia (giudicata banale ovviamente dagli esperti e non da noi comuni mortali neofiti incapaci) e si spera in una risposta. Si spera...se poi la risposta non arriva ci si arrangia ugualmente non è questione di vita o di morte.

Ripeto la mia non è polemica, ma non è la prima volta che leggo risposte come la tua a miei interventi (e anche a molti altri scritti da neofiti come me).

Con la definizione "webmaster impiccione di turno" ti riferisci a me forse? E di quali sanzioni parli?

Chiedo ancora scusa a tutti, non volevo fare polemica e nemmeno essere irrispettoso, anzi penso di aver esposto il problema in maniera molto educata.

Grazie mille.

[Conanbarbaro]

Grazie Mau,

questa è una risposta moltopiu' accettabile e comprensibile.

E' comunque ovvio che la regola piu' paghi, piu' ottieni è sempre valida in tutti i settori, anche in quello dove opero io.

Tra l'altro, in un altro 3d ho chiesto cortesemente un accenno sulla procedura di back up da seguire, devo andare a rileggermi le eventuali risposte, anche se mi pare che da ieri pomeriggio non ne siano ancora arrivate.

Grazie ancora.

[56francesco]

Con la definizione "webmaster impiccione di turno" ti riferisci a me forse?

assolutamente no, non faccio mai apprezzamenti personali è una mia regola di vita in rete..

[frascan]

conanilbarbaro visto che hai sollevato delle domande a cui è giusto che ti venga data una risposta mi permetto di darti delle spiegazioni in merito alle linee guida che regolano il forum.

joomlahost non è il servizio hosting di casa joomla.it in merito a questo c'è chi è più qualificato di me nel fornirti delucidazioni però, ecco perchè viene trattato allo stesso modo di tutti gli altri fornitori di hosting a pagamento.

per quanto riguarda il comportamento dei moderatori del forum vorrei dirti che tutti noi svolgiamo la nostra attività in pieno spirito open source e senza retribuzione. ognuno di noi pertanto ha una sua attività da cui proviene la sua soppravivenza quotidiana e dedica, chi più chi meno, parte del proprio tempo libero condividendo sul forum le proprie competenze con gli altri.
da questo si comprende facilmente l'invito ad evitare i messaggi privati per richieste di aiuto: primo perchè attraverso i messaggi privati verrebbe meno la condivisione della risoluzione del problema con gli altri utenti del forum e secondo perchè trattandosi di sostanzialmente di "volontariato" non si possono garantire tempi certi di risposta.

lo stesso discorso è valido per le risposte alle domande poste nel forum. la risposta arriva da chi conosce la soluzione non appena vede il topic di richiesta di supporto. però tieni presente che facendo l'accesso ed andando a vedere i topic non letti dall'ultima visita capita molto spesso di trovarsi con un bel po di pagine di topic da sfogliare e ci vuole un certo tempo per vederli.

tutto ciò detto senza polemica ma per fornire delle giuste risposte ai quesiti che hai posto.

[Conanbarbaro]

conanilbarbaro visto che hai sollevato delle domande a cui è giusto che ti venga data una risposta mi permetto di darti delle spiegazioni in merito alle linee guida che regolano il forum.

joomlahost non è il servizio hosting di casa joomla.it in merito a questo c'è chi è più qualificato di me nel fornirti delucidazioni però, ecco perchè viene trattato allo stesso modo di tutti gli altri fornitori di hosting a pagamento.

per quanto riguarda il comportamento dei moderatori del forum vorrei dirti che tutti noi svolgiamo la nostra attività in pieno spirito open source e senza retribuzione. ognuno di noi pertanto ha una sua attività da cui proviene la sua soppravivenza quotidiana e dedica, chi più chi meno, parte del proprio tempo libero condividendo sul forum le proprie competenze con gli altri.
da questo si comprende facilmente l'invito ad evitare i messaggi privati per richieste di aiuto: primo perchè attraverso i messaggi privati verrebbe meno la condivisione della risoluzione del problema con gli altri utenti del forum e secondo perchè trattandosi di sostanzialmente di "volontariato" non si possono garantire tempi certi di risposta.

lo stesso discorso è valido per le risposte alle domande poste nel forum. la risposta arriva da chi conosce la soluzione non appena vede il topic di richiesta di supporto. però tieni presente che facendo l'accesso ed andando a vedere i topic non letti dall'ultima visita capita molto spesso di trovarsi con un bel po di pagine di topic da sfogliare e ci vuole un certo tempo per vederli.

tutto ciò detto senza polemica ma per fornire delle giuste risposte ai quesiti che hai posto.

Ti ringrazio per le preziose precisazioni frascan, ma di tutto quello che hai scritto, solo la parte dedicata al discorso Joomlahost e Joomla Forum non mi era chiara, anzi ne ero completamente all'oscuro, e ora che so come funziona vedrò di regolarmi meglio in seguito.

Per quanto riguarda le spiegazioni nerenti all'operato dei moderatori, o di qualunque altro utente, ero già al corrente delle regole, infatti non mi sono mai permsso (e mai mi permetterò) di scrivere ad esempio in maiuscolo, o peggio ancora di sollecitare risposte a un mio quesito. Proprio perchè so cosa vuol dire essere "moderatori" di un forum, tanto piu' in open source (lo sono stato anch'io in altri settori) e in ugual modo odio gli utenti che si permettono di farlo senza ritegno e senza utilizzare un minimo di educazione.

Detto questo, chiudo la polemica (anche se polemica non è mai stata, almeno da parte mia).

Se posso permettermi, già che ci siamo, e restando in tema senza andare fuori dagli schemi, avrei un dubbio ancora da risolvere: senza nominarlo a questo punto, diciamo che il servizio di hosting a pagamento al quale avrei scelto di affidare il mio sito, sottolinea nella sezione dedicata al back up, un avviso molto importante:

* I backup automatici vengono eseguiti da *********** settimanalmente e non sono a disposizione del cliente

Cioè. aiutami a capire se puoi: loro mi fanno compreso nel prezzo i back up automatici settimanalmente, ma questi non sono a mia disposizione? E se succede qualcosa? Significa che devo chiedere a loro il mio back up per poter ripristinare il sito? 

[frascan]

Si mi pare di capire che hanno delle proprie politiche di sicurezza e backup e che nell'eventualità che il cliente abbia bisogno di un backup lo richiede e gli viene fornito.

Tecnicamente parlando se i backup vengono messi a disposizione del cliente come avviene presso alcuni fornitori di hosting non sono a conoscenza di un sistema diverso da quello di mettere il backup nello stesso spazio web in cui c'è il sito. Da questo punto di vista le soluzioni possono essere diverse ma sempre sullo spazio web del cliente deve stare il backup per essere disponibile senza doverlo richiedere.

La mia modesta opinione in tema di backup è la seguente: al di là di quello che il fornitore di hosting fa io ogni volta che faccio una modifica al sito mi faccio il mio bel backup e me lo piazzo su un hard disk esterno e su un cd o dvd a seconda delle dimensioni ed è li pronto per qualsiasi evenienza. E' una fatica in più lo so ma almeno dormo sonni tranquilli. Anche perchè per quanto riguarda la maggior parte di noi mi pare che non gestiamo i siti dell'ansa e dell'adn kronos con modifiche ed aggiornamenti ogni minuto.

[Conanbarbaro]

La mia modesta opinione in tema di backup è la seguente: al di là di quello che il fornitore di hosting fa io ogni volta che faccio una modifica al sito mi faccio il mio bel backup e me lo piazzo su un hard disk esterno e su un cd o dvd a seconda delle dimensioni ed è li pronto per qualsiasi evenienza. E' una fatica in più lo so ma almeno dormo sonni tranquilli. Anche perchè per quanto riguarda la maggior parte di noi mi pare che non gestiamo i siti dell'ansa e dell'adn kronos con modifiche ed aggiornamenti ogni minuto.

In effetti è proprio così. Il mio sito è ancora in pieno sviluppo quindi verrà modificato ancora parecchio nei prossimi giorni forse settimane.
Quello che modifico di solito si trova già da un'altra parte (chiavetta usb o HD esterno) solo che (non ci crederai) mi manca il passaggio "lavoro locale-messa online". io di solito apro il pannello di amministrazione e tutto quello che modifico lo faccio direttamente da lì. Dovrei probabilmente via FTP passare quello modificato sul mio disco? Oppure è il contrario?

[frascan]

Rispetto al titolo di questo topic stiamo andando un po off direi. Non per cattiveria o altro ma per tenere ordinato il forum ti dico questo.

Comunque rispondo brevemente. Se le modifiche le fai attraverso il pannello di amministrazione del tuo spazio web (molti pannelli hanno un editor che ti permette di modificare il codice) allora si una volta fatte le modifiche via ftp o anche via pannello di amministrazione ne fai il download sul tuo pc e poi metti in sicurezza i file modificati.

Se invece ti riferisci al pannello di amministrazione di joomla allora da lì a livello di modifiche al codice puoi modificare soltanto il codice dei template. Gli altri tipi di modifiche (menu, articoli inseriti, etc) vengono salvati nel database quindi è necessario fare il backup del database. Nel wiki di joomla.it trovi delle buone guide sulle procedure da seguire.

[gregorio09]

sono convinto + che mai da tutto quello che leggo nel forum, una cosa si trascura, il fatto che se qualcuno commetta qualcosa,  quindi è sempre un reato, lo si lascia nel dimenticatoio, cioè mi spiego, parlate tanto di sicurezza,che bisogna provenire gli attacchi perchè non c'è un sito sicuro ( parentesi francescoo ha aperto un post per consolarci, avete visto il sito di zapatero per intenderci), ma il punto è che non si parla mai di denuncia, è troppo bello dire ci facciamo la copia di backup, così se ci attaccano stiamo sicuri, ma queste persone devo circolare liberamente a fare queste cose? Perchè gli hosting provider non denunciano l'accaduto alla polizia postale, forse hanno paura di rivelare le loro falle? allora perchè non le facciamo noi le denunce, io sono solo perchè non si fa avanti qualcuno così facciamo una bella denuncia ( ad ignoti) , e poi si che l'hosting provider deve dire cosa è accaduto realmente ed indicare alle autorità competenti le tracce che ha lasciato l'hacker, secondo me  bisogna andare alla fonte, poi questi diventanto sempre + bravi e poi bucano siti + grandi.... bisogna partire dai piccoli,per arrivare ai grandi : scovarli, punirli  ed educarli.... solo così secondo me si può realmente parlare di sicurezza....   

[Conanbarbaro]

Se invece ti riferisci al pannello di amministrazione di joomla allora da lì a livello di modifiche al codice puoi modificare soltanto il codice dei template. Gli altri tipi di modifiche (menu, articoli inseriti, etc) vengono salvati nel database quindi è necessario fare il backup del database. Nel wiki di joomla.it trovi delle buone guide sulle procedure da seguire.

Io accedo al mio indirizzo www.ilmiosito.altervista.org/administrator e mi compare ovviamente il pannello di Joomla. Da lì mi muovo e modifico tutto quello che devo modificare (upload di fotografie, inserimento e/o modifiche di testi, publicazione o modifiche dei moduli, ecc). E' questo che intendi? Vuoi dire che una volta eseguito queste operazioni, salvo, chiudo e poi con Filezilla porto sul mio hard disk tutti i files che sono appena stati toccati, database compreso?

(Scusa, so che è ormai piu' che OT, ma visto che siamo in ballo...o se preferisci apro un altro 3d apposito, ma non so in quale sezione...) 

[frascan]

OT per OT siamo in dirittura di arrivo quindi direi di concludere il discorso qui.

Con Filezilla via FTP salvi i files e le cartelle di joomla.
Se scrivi articoli o inserisci nuove voci di menu o modifichi una voce di menu o attivi dei moduli allora non è necessario in questi casi salvare files e cartelle di joomla via ftp perchè queste modifiche vengono salvate nel database.

Se installi estensioni, carichi immagini invece devi salvare sia il database che i files e le cartelle perchè le immagini per esempio vengono salvate in apposite cartelle tra i files e le cartelle di joomla. Quindi in questi casi devi fare il backup di tutto files e cartelle di joomla e database.

Per quanto riguarda il backup del database non si fa via ftp con filezilla ma generalmente si utilizza phpmyadmin presente sul server ed altervista è tra i server che utilizzano phpmyadmin.
Su come si fa un backup del database è spiegato bene in questa guida:

http://wiki.joomla.it/index.php?title=Backup_del_proprio_sito

[Conanbarbaro]

OT per OT siamo in dirittura di arrivo quindi direi di concludere il discorso qui.

Con Filezilla via FTP salvi i files e le cartelle di joomla.
Se scrivi articoli o inserisci nuove voci di menu o modifichi una voce di menu o attivi dei moduli allora non è necessario in questi casi salvare files e cartelle di joomla via ftp perchè queste modifiche vengono salvate nel database.

Se installi estensioni, carichi immagini invece devi salvare sia il database che i files e le cartelle perchè le immagini per esempio vengono salvate in apposite cartelle tra i files e le cartelle di joomla. Quindi in questi casi devi fare il backup di tutto files e cartelle di joomla e database.

Per quanto riguarda il backup del database non si fa via ftp con filezilla ma generalmente si utilizza phpmyadmin presente sul server ed altervista è tra i server che utilizzano phpmyadmin.
Su come si fa un backup del database è spiegato bene in questa guida:

http://wiki.joomla.it/index.php?title=Backup_del_proprio_sito

ok frascan ti ringrazio..

La guida che segnali qui, l'ho già visitata ieri sempre su tuo prezioso suggerimento, ed è la guida wiki dove si parlava anche dell'opportunità in alternativa di installare e utilizzare quel famoso plugin di cui si parlava prima ma che, a quanto pare, è meglio non scomodare.

Farò allora il back up del database da php con altervista, mente per i files e le cartelle agirò via FTP con Filezilla...spero solo di prendere i files e le cartelle corrette...mi pare di capire che dovrebbe essere sufficiente salvare la cartella Templates, quella con il nome del template che utilizzo, che contiene images e tutto il resto giusto? (Poi chiudiamo l'OT, giuro) 

[frascan]

No per sicurezza visto che sei all'inizio tu fai il backup di tutto via ftp.
Quando prenderai più dimestichezza con la struttura di files e cartelle di joomla allora potrai fare un backup selettivo perchè saprai esattamente cosa è stato modificato e cosa no.

Ti faccio un esempio concreto: se carichi nuove immagini attraverso Gestione Media per poterle inserire in degli articoli allora quelle immagini vengono salvate nella cartella images/stories per dirne una a caso e non nella cartella images del template che stai usando.