Thema: Request to reset password

Komisch war auch, dass das Adminpasswort geändert war.

Das von Joomla oder Deiner Website

Danke für den Denkanstoß, habe nochmal genauer geschaut.
Gestern abend hat ein Indonesischer Service Provider (nehme an das wurde umgeleitet) einen GET gesendet für die Seite "Passwort vergessen?" für den Admin.
Wie verhindere ich, dass das Adminpasswort zurückgesetzt werden kann, d.h wo muss ich im php code eingreifen?

denke an etwas wie if(! 'admin')...

jemand eine idee ?

Benutze momentan noch Joomla Version 1.5.22

Version 1.5.22 < Version 1.5.6 ?

EDIT: jetzt is auch klar, dass das Backendpasswort nach dem GET geändert war ...
EDIT: gleiche IP hat daraufhin auch ne SQL injection probiert. man findet raus wer admin ist und noch ein paar kundendaten werden auch preisgegeben...

need HELP!

Zitat von Skodi

Joomla 1.5.22 ist die aktuellste Joomla 1.5 Version. Und da ist eigentlich kene Schwachstelle in diesem Bereich bekannt!

Aber bis 1.5.6 hat genau dieses GET funktioniert. Das war irgendwann vor rund 2 Jahren. Ein Wunder, daß es erst jetzt einer versucht hat.

Also die Injection sah so aus, dass im Endeffekt "nur" Benutzername, Zugriffsrecht und E-Mail augegeben werden.
Wie kann ich mich davor schützen?
Passiert ist nichts sichtbares.

Das Adminpasswort wurde nur zurückgesetzt, weil jmd die mail des admins wusste (nicht schwer rauszufinden) und dann die "Passwort vergessen?" seite von joomla angegefordert hat (daraufhin wird ja das passwort auf ein kryptisches zurückgesetzt, was in diesem falle auch kein problem war, da ich mehrere super admin zugänge besitze).

homepage einfach stillegen is nich so einfach...


sorry nochmal fürs verständnis: 1.5.22 < 1.5.6 oder nicht???


EIDT: das beschrieben Workaround auf der Seite http://cyberinsecure.com/critical-pa...ity-in-joomla/ war bereits vorhanden in meiner /components/com_user/models/reset.php

Kannst du mal die genaue URL posten, die aufgerufen wurde?

Das Adminpasswort wurde nur zurückgesetzt, weil jmd die mail des admins wusste (nicht schwer rauszufinden) und dann die "Passwort vergessen?" seite von joomla angegefordert hat (daraufhin wird ja das passwort auf ein kryptisches zurückgesetzt, was in diesem falle auch kein problem war, da ich mehrere super admin zugänge besitze).

Das Passwort wird soweit ich weiß, nicht auf ein "kryptisches" zurückgesetzt.
Unter Angabe des Tokens kannst du dein Passwort ändern.
Wenn du das nicht gemacht hast, hat es jemand anders gemacht.

Passiert ist nichts sichtbares.

Für dich nicht sichtbar.... Passiert kann da ne ganze Mege sein.
Wenn jemand aufs Backend als Superadmin Zugriff hat - stehen ihm viele Türen offen.

Wie kann ich mich davor schützen?

Da hätte es mehrere Möglichkeiten gegeben, sowas zu verhindern.

Neben vielen weiteren Tipps kannst du das hier nachlesen:
http://www.joomlaportal.de/sicherhei...leitfaden.html

Also, zunächst einmal wurde ein GET gesendet:

index.php?option=com_user&view=reset

=> Passwort zurücksetzen

Daraufhin ein POST:

/en/component/user/?task=requestreset

=> beim Post stehen die Daten ja nicht in der URL, deshalb weiß ich auch nicht was gesendet wurde...

Ist es möglich, dass das Passwort hier schon zurückgesetzt wurde? Falls ja, hatte der Angreifer das Passwort dann und damit Zugriff aufs Backend? Sofern im Post das richtige Token steht funktioniert das doch oder?
Bzw. hat das was mit "Session-Riding" zu tun?

Die eigenltiche Injection kam dann über die Komponente CK_Forms.

/?option=com_ckforms&controller=ckdata&view=ckforms data&layout=detail&task=detail&fid=-1+union+select+0,1,2,group_concat(username,0x3a,em ail,0x3a,activation,0x3a,usertype),4,5,6,7,8,9,10, 11,12,13,14,15,16,17,18+from+jos_users--

Wie gesagt dabei wurde nach Benutzername:E-MAIL:Zugriffsrechten gefragt.