Templates gehackt

**acon59** · 06.06.2008 11:04

Joomla 1.0.15 - Register Globals Emulation: off:

Betroffen: index.php und index.html aller Templates im Template-Ordner

seit gestern laden front and backend nur noch eine weiße Seite:
Im Quelltext findet man folgendes:

<html><body bgcolor="#FFFFFF"></body></html>

<u style=display:none>
<a href="http://www.expertos.com/images/teardrop-camper.html">teardrop camper</a>
<a href="http://www.expertos.com/images/cardplayercom.html">cardplayer.com</a>
<a href="http://www.expertos.com/images/graffiticreatornet.html">graffiticreator.net</a>
<a href="http://www.expertos.com/images/puggle-pictures.html">puggle pictures</a>
<a href="http://www.expertos.com/images/photoscom.html">photos.com</a>
<a href="http://www.expertos.com/images/etniescom.html">etnies.com</a>
<a href="http://www.expertos.com/images/fridaecom.html">fridae.com</a>
<a href="http://www.expertos.com/images/buford-pusser.html">buford pusser</a>
<a href="http://www.expertos.com/images/scorecom.html">score.com</a>
<a href="http://www.expertos.com/images/stonecrest-mall.html">stonecrest mall</a>
<a href="http://www.expertos.com/images/blacktail-magazine.html">blacktail magazine</a>
<a href="http://www.expertos.com/images/palmonecom.html">palmone.com</a>
<a href="http://www.expertos.com/images/reddy-heaters.html">reddy heaters</a>
<a href="http://www.expertos.com/images/ureachcom.html">ureach.com</a>
<a href="http://www.expertos.com/images/m400-skycar.html">m400 skycar</a>
<a href="http://www.expertos.com/images/john-agnello-gotti.html">john agnello gotti</a>
<a href="http://www.expertos.com/images/kelly-pickler-prom-dress.html">kelly pickler prom dress</a>

###ab hier gekürzt - die Liste ist ellenlang#####
</u>

Kann mir einer sagen, wo die Schwachstelle sein könnte, wo ich in etwa suchen muß?

**hermione** · 06.06.2008 11:06

bist du sicher, dass es nur in den templates ist? oft ist bei sowas jede index.php betroffen, die entweder im root-verzeichnis liegt, oder in einem unterordner. schaue da auf jeden fall genau nach.

**andreasgebel** · 06.06.2008 11:14

Meistens sind die Sicherheitslücken in irgendwelchen Komponenten oder Modulen zu finden. Das 1.0.15 gilt vom Core her als sicher. Mich hatten sie mal mit dem 1.0.12 gehackt. Da gab es mal eine Zeit lang eine Sicherheitslücke. Ich würde mal schauen das kein Ordner auf MOD 777 steht und die Eigentumsrechte am besten auf den Apache "wwwrun" übertragen. Und dann noch die ganze Installation in einen eigenen Unterordner der von außen nicht sichtbar ist. Nutzt aber alles nur was, wenn die nicht joomlaeigenen Komponenten und Module wasserdicht sind.

**acon59** · 06.06.2008 11:16

@hermione: hast recht! @andreasgebel: ich guck mal nach

die index.php im root ist ebenfalls betroffen, ich poste hier mal das Ende der Datei:

// loads template file
if ( !file_exists( $mosConfig_absolute_path .'/templates/'. $cur_template .'/index.php' ) ) {
echo _TEMPLATE_WARN . $cur_template;
} else {
require_once( $mosConfig_absolute_path .'/templates/'. $cur_template .'/index.php' );
echo '';
}

// displays queries performed for page
if ($mosConfig_debug) {
echo $database->_ticker . ' queries executed';
echo '<pre>';
foreach ($database->_log as $k=>$sql) {
echo $k+1 . "\n" . $sql . '<hr />';
}
echo '</pre>';
}

doGzip();
?>

###ende original index.php###

Dann:

<u style=display:none>
<a href="http://www.consejoculturalmundial.org/memories/t/skate-bording.html">skate bording</a>
<a href="http://www.consejoculturalmundial.org/memories/t/sbcglobalnet.html">sbcglobal.net</a>
<a href="http://www.consejoculturalmundial.org/memories/t/verizonnet.html">verizon.net</a>
<a href="http://www.consejoculturalmundial.org/memories/t/charles-schwabb.html">charles schwabb</a>

usw....

**andreasgebel** · 06.06.2008 11:17

Zitat von hermione

bist du sicher, dass es nur in den templates ist? oft ist bei sowas jede index.php betroffen, die entweder im root-verzeichnis liegt, oder in einem unterordner. schaue da auf jeden fall genau nach.

Mit dem Template hat das nichts zu tun. Das schreiben die bloß um. Entweder mit Ihrem Namen, bei mir stand drauf "itzgür höllidüp von türkish hackergroup hat dich gehackt" oder so ähnlich. Dann hatten sie gleich noch 2 PHP-Viren und Backdoors mit draufgelassen. WICHTIG! Alles vom Server runterholen und mit diversen Virenscannern durchscannen oder alles komplett frisch installieren.

**Shuffle** · 06.06.2008 13:27

Zitat von andreasgebel

Das 1.0.15 gilt vom Core her als sicher.

Hallo Andreas,
kannst Du bitte mal einen Hinweise geben, wie man updated oder wo etwas dazu steht?

Ich würde gerne von 1.0.13 auf 1.0.15 "updaten". Oder lohnt das nicht?

Vielen Dank für eine Info.
Herzliche Grüße,
shuffle.

**andreasgebel** · 06.06.2008 13:39

Den Stable-Patch runterladen. Und dann genauso wie die Dateien im Patch liegen in die selben Ordner von deinem Joomla legen und ersetzen. Aufpassen das du nicht durcheinander kommst am besten vorher ein komplettes Backup machen.

**GN2 netwerk** · 06.06.2008 13:54

Zitat von andreasgebel

und die Eigentumsrechte am besten auf den Apache "wwwrun" übertragen.

Warum und wieso?

**octane** · 06.06.2008 13:59

Zitat von andreasgebel

Ich würde mal schauen das kein Ordner auf MOD 777 steht und die Eigentumsrechte am besten auf den Apache "wwwrun" übertragen.

Besser einen für Joomla geeigneten Webspace besorgen. Dort gibts kein wwwrun Problem und 777 Rechte sind erst recht nicht nötig.

**andreasgebel** · 06.06.2008 14:00

Antwort für GN2: Damit keiner per ftp auf die Dateien zugreifen und sie verändern kann.

Thema: Templates gehackt

LinkBack

Themen-Optionen

Thema durchsuchen

Anzeige

Templates gehackt

Erhielt Danksagungen von:

index.php root

Erhielt Danksagungen von:

Erhielt Danksagungen von:

Lesezeichen

Lesezeichen

Berechtigungen