mod_mainmenu.php Hack Verständnisfrage
Meine Seiten wurden gehackt in beiden Fällen wurde die mod_mainmenu.php verändert.
Details siehe hier
Jetzt meine Frage, ist die dort dargestellte Veränderung - Einfügen von Code zum Nachladen eines Trojaners allein mit einer Sicherheitslücke in Joomla machbar?
Also ohne ftp Zugang?
Wenn ja, wie kann man die Komponenten eingrenzen, die dies theoretisch erlauben und reicht es die Original mod_mainmenu.php mit 444 Rechten hochzuladen um erstemal sicher zu sein?
indem den komponenten die zeile defined( '_VALID_MOS' ) or die( 'Restricted access' ); zugefügt wird, was leider nicht immer der fall von 3pd war.
Dem kann ich jetzt nicht ganz folgen ???
Moin.
Leider ist die Antwort: Ja.Zitat von RasCas
Bedingt durch die bisher schon angesprochene Luecke in einigen Komponentendateien, also das Fehlen der VALID_MOS Ueberpruefung, ist/war es moeglich per URL der mosConfig_... einen anderen Wert zu uebergeben. Da diese Variable meist in includes verwendet wird, wird hier versucht eine externe Datei zur Ausfuehrung unterzuschieben. Sofern dann noch Shellzugriffe fuer PHP bzw. passthrough/fopen und Co moeglich sind, kann man ohne FTP vom angesprochenen Server aus eine Datei "nachladen" und mit den Rechten des Webspace/Servers abspeichern.
Da bei Dir wohl die Schreibrechte auf die Dateien bestanden wurde entweder schlicht die betreffende Datei ausgetauscht od. ueber das nachgeladene Script gepatcht.
Man kann nun hingehen und schauen ob alle Komponentenfiles diese VALID_MOS Abbruchpruefung enthalten, einen entsprechenden mosConfig... in der URL verbietenden htaccess Block bauen, und/oder alle Files des Space im Normalzustand nur zum Lesen freigeben.
Gruss
Phil.
Hi Phil,
Danke für die Antwort. Damit kann ich doch mal was anfangen.
Die Die Anweisung ist aber in allen Komponenten enthalten und ich setze 1.010 ein. Die Serverlogs sind leider bereits gelöscht gewesen, so dass ich nicht nachvollziehen kann, wie der hack abgelaufen ist.
Gibt es noch andere Tipps, wo ich suchen kann?
Berechtigungen
LinkBack URL
About LinkBacks
Zitieren
Lesezeichen