Thema: Joomla Angriff über /administrator/index.php

Hallo,

ich habe heute einen Nachricht von meinem Webspace-Provider bekommen, dass meine Joomla-Seite von außen angegriffen wurde.

Folgende Datei wurde als Einfallstor benutzt: ./administrator/index.php

Folgende Dateien wurde hinzugefügt oder verändert:
./templates/Blau6/index.php
./templates/beez/index.php
./bra4.php
./mailer.php
./lisence.php
./5885d80a13c0db1f998ca054efbdf2c29878a4...<gekürzt> ....zip
./5885d80a13c0db1f998ca054efbdf2c29878a4...<gekürzt> .../*

Laut den Angaben des Providers handelte es sich um einen "Remote File Inclusion" Angriff.

Die Beschreibung zu dieser Sicherheitslücke bezieht sich aber auf Joomla 1.5.5.

Ich benutze aber die Version 1.5.20. Diese ist zwar auch nicht mehr aktuell. Laut changelog wurden aber keine Sicherheitslöcher gestopft.

Die Analyse der Log-Files zeigt, dass über mehrere Tage immer wieder per GET und POST auf die Seite /administrator/index.php zugegriffen wurde. Scheinbar wurden so die benötigten Dateien hochgeladen. In den letzten beiden Tagen wurden dann reichlich E-Mails verschickt.
Ein Vergleich zwischen einem sauberen Backup und dem aktuellen Stand zeigte keine weiteren Auffälligkeiten außer den oben genannten Dateien. Auch der Vergleich der Datenbank-Dumps zeigt keine Manipulationen.

Die Seite ist relativ einfach aufgebaut und besteht nur aus den folgenden Komponenten:
- Joomla 1.5.20 deutsch + ReadMore-Link
- selbsterstelltes Template mit Artisteer 2.5 (Template-Generator)

Was kann da passiert sein?
Gibt es eine unbekannte Sicherheitslücke?
Kann das Problem durch das Template entstanden sein?

Viele Grüße
Steffen

Zitat von keraM

Von .20 bis .23 sind 3 Versionsupdates vergangen. Sicherheitslücken wurden in allen 3 Updates gefixt.

Danke für den Hinweis. Ich hatte mich auf die CHANGELOG.PHP verlassen. Dort konnte ich keine Einträge zu Sicherheitslücken finden.

Zitat von progandy

Hmm, da habe ich gleich eine Frage. Heißt dein Admin-Account immer noch admin und/oder hast du ein einfaches Passwort gewählt? Dann könnte es auch sein, dass einfach dein Adminpasswort gefunden wurde.

Volltreffer! Es gab noch einen "admin" Account, der eigentlich gar nicht benutzt wird. Das Passwort war auch nicht wirklich schwierig. Das Datum des letzten Logins passt zu den Angriffen. Sehr fahrlässig von mir... Danke für den Hinweis.