Unberechtigter Zugriff auf "Passwort vergessen"

**olifant** · 27.01.2010 10:59

Hallo,

trotz intensiver Recherche konnte ich keinen ähnlichen Fall finden, weshalb ich hier in den Wald rufen möchte.

Bereits zum dritten Mal wurde bei meiner Installation (derzeit: Joomla 1.5.15 DE) die Funktion "Passwort vergessen" missbraucht um das Admin-Passwort zu verändern. Allerdings kann ich mir nicht genau erklären, was genau passiert:

Ich bekomme eine Mail, dass ich mein Passwort zurücksetzen möchte (was ich nicht angestoßen habe). Zu diesem Zeitpunkt ist es schon zu spät und das Passwort wurde bereits geändert.

Die letzten Male habe ich es auf die älteren Joomla-Versionen geschoben. Dieses Mal ist jedoch alles neu installiert und aktuell. Um erst einmal Ruhe reinzubringen habe ich in der Datenbank das Passwort wieder geändert sowie die Funktionen zur Wiederherstellung im Quelltext von mod_login und com_user "hart" deaktiviert.

Ist in eine Sicherheitslücke bei diesen Funktionen bekannt? Hat jemand schon ähnliches beobachtet? Das ganze geht mir langsam auf den Zeiger und ich würde es gerne abstellen...

Gruß

Oliver

**timkeller** · 27.01.2010 11:08

Wie sieht es mit der Sicherheit deines Rechners aus und vorallem hast du alle Zugangsdaten zu deiner Datenbank geändert! Wie sieht es mit der Sicherheit deiner configurations.php aus und hast du auch deine FTP-Zugangsdaten geändert! Komm ich in die Config komm ich auch in die Datenbank. Komme ich in die Datenbank kann ich auch ins Backend. Lies bitte die Sicherheits-FAQ und das hier und wenn du das Alles auschließen kannst bzw. behoben hast dann können wir weiterreden.

Aber erst nachdem du da und den Links weitergemacht hast http://www.joomlaportal.de/erste-sch...tml#post998589

**olifant** · 27.01.2010 11:45

Ja, ich habe alle Zugangsdaten geändert. Inzwischen ist der Benutzer "admin" auch ein rechteloser Geselle. Mit Deinen Hinweisen habe ich meine Installation geprüft. Bis auf zwei css-Dateien, die auf 644 statt 444 standen. Diese habe ich korrigiert.

Ach ja, der zweite Link hat mich sehr amüsiert

Die Sprüche kenne ich alle von meinen Benutzern...

EDIT: Hatte ich vergessen zu erwähnen. Ich habe nach dem letzten Hack das System neu installiert um sicher zu gehen, dass keine unberechtigten Reste rumliegen.

Thema: Unberechtigter Zugriff auf "Passwort vergessen"

LinkBack

Themen-Optionen

Thema durchsuchen

Anzeige