Newsgroup: it.lavoro.professioni.webmaster
Titolo: Entrati sul sito

Oh.... stamattina qualche simpaticone � andato a spasso per il sito
mettendo del codice js in tutti i file con *index* nel nome. Ora sto
sistemando tutto ma sto cercando anche di capire come sia successo.
Lo spazio � su Aruba e sono stati infettati tutti e 4 i domini relativi
al mio account.
In qualche dominio erano rimaste delle istallazione vecchie e
inutilizzati di joomla e wordpress. Potrebbero essere entrati da l�?
Nel caso... eliminando le cartelle di quei cms vecchi dovrei aver
risolto il problema (per altri eventuali attacchi), giusto?
Ora sto facendo pulizia generale e ripristino di tutti gli index... per�
cheppalle.
Si accettano consigli
-- 
. Guido   _.-----.  \.-./       . .
\`-.._,-' .-. .-.`-' ``-.  _,-'.'`.
  `-.____,-. `:. `.-'-._.O-:_ .:'.,|
            `-" `-"          `-.__.'

 Si accettano consigli
Hanno usato Joomla, vecchie versioni. Toglile o mettile dietro ad una 
richiesta di autenticazione.
Leggi il thread recente su joomlaspace.

 domini relativi al mio account.
come si presenta l'injection ?
come te ne sei accorto ?
S.

 Leggi il thread recente su joomlaspace.
ehhh. dopo vado a guardarmelo
grazie intanto


 wrote:

aprendo il sito l'antivirus scattava.
nei file index c'è un codice che inizia così:
<?php ob_start("security_update"); function
security_update($buffer){return $buffer."<script
language=\"javascript\">$=\"Z63bZ [...]
...e altre tantissime righe.
Unjavascript insomma.
Tutti i file index risultano modificati stamattina tra le 10.18 e le
10.24... il tempo di scorrazzare su tutti e 4 i domini che ho su aruba.
Uno, in particolare lo utilizzavo per fare prove, gli altri erano
costantemente aggiornati.
Ora sto ripulendo quello vecchio.
Su uno ho un joomla 1.0 aggiornato all'ultima release 1.0... ma non
penso siano entrati da lì.
è più probabile che sia colpa di qualche 1.5 non aggiornato e rimasto lì
abbandonato.


 Unjavascript insomma.
Compimenti sei il primo dove sono riusciti a scrivere anche qualcosa 
negli index. :PPPP
Io invece sono il primo che si è baccata la sfiga.
Segnalerei la cosa anche ad aruba, anche perché se a te si è limitato ai 
tuoi domini utente ad altri ha scorrazzato epr 3/4 server, a me ho un 
solo utente in pratica e quindi + o - come a te ma non ha scritto niente.
Spazio linux o windows?

 Spazio linux o windows?
spazio linux.
Ora ho eliminato tutte le vecchie istallazioni abbandonate l� (� stata
l'occasione per un po' di pulizia insomma).
ho segnalto la cosa ad aruba pregandoli di rimettermi su il backup di
ieri ma ancora non hanno risposto. A quesot punto ho proseguito per
conto mio rimettendo su gli index. E spero che non ci siano altri file
corrotti.
Intanto sto scaricando tutto dal backup visto che quello di ieri �
pulito.
Direi che hanno scorrazzato alla grande come se il sistema avesse ceduto
proprio dall'ftp. � il caso di cambiare la password d'accesso?


 proprio dall'ftp. � il caso di cambiare la password d'accesso?
Ci sono varie teorie, nessuna provata fino in fondo. Qualcuno dice 
(solitamente i provider) che gli accessi sono avvenuti via FTP e che 
magari l'utente ha il pc con il quale si connette infetto con un 
password stealer.
Quasi sicuramente sono passati per un qualche Joomla vecchio, ti riporto 
un brano:
"L'attacco si � sviluppato sfruttando le vulnerabilit� di 2 siti, in cui 
erano presenti versioni di Joomla obsolete (1.5.8 e 1.5.9): sfruttando 
tali vulnerabilit�, i defacer sono riusciti ad entrare negli account 
attraverso 2 estensioni. Nello specifico, si tratta di
- modulo ThumbsUp Latest News: 
http://extensions.joomla.org/extensions/news-display/latest-news/6831
-  componente JEvents: 
http://extensions.joomla.org/extensions/95/details
"


E' il caso di rifare tutto daccapo oppure almeno aggiornare 
l'aggionabile e per ora eliminare (nel senso di passarli a 755 per le 
cartelle e 644 per i file) qualsiasi cartella o file con permessi 
generici tipo 777 o 666
C'� bufera e speriamo arrivi il bel tempo, almeno per joomla....:)

 mettendo del codice js in tutti i file con *index* nel nome. Ora sto
Gioie e dolori dell'open source.

un brano:
Secondo la mia esperienza di centinaia di siti compromessi esaminati,
ï¿œ molto raro che vulnerabilitï¿œ di joomla siano usate per inserire nelle
pagine javascript/php malevolo: la quasi totalitï¿œ di questi incidenti ï¿œ
il risultato del furto di password direttamente dal computer del
cliente.
A maggior ragione se succede contemporaneamente a 4 diversi siti dello
stesso cliente.
Ma d'altra parte sono un "provider", cosa vuoi che ne sappia...
-- 
ciao,
Marco


A me � successo ad un cliente che si curava il sito da solo ma non aveva 
joomla o altro.. Quindi direi che i provider non hanno sempre torto.
(PS: si, sono un provider anch'io)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 Ma d'altra parte sono un "provider", cosa vuoi che ne sappia...
Da una parte sarebbe meno preoccupante.
E comunque non saprei davvero cme potrebbero aver fatto a rubare le
password.
Non uso neppure windows e, anche su mac, c'� un antivirus che gira.
E qui, fisicamente, non c'� nessuno che possa essersi preso la briga di
entrare a far danni.


 Ma d'altra parte sono un "provider", cosa vuoi che ne sappia...
Ne sai, ne sai sicuramente piï¿œ di me ! E' che mi piacerebbe capire i 
meccanismi di attacco per potermi difendere meglio !
Quindi ti chiedo: quali sono le possibili misure da prendere per 
limitare i danni ?

 
io non escludo a priori niente ma insomma... mi pare davvero difficile
che possano avermele prese da qui.


 che possano avermele prese da qui.
I pacchetti da casa tua al server passano attraverso numerosi router...
Partiamo dal tuo pc. Scaricati il "trinity rescue kit", � un linux 
bootabile da cd che ti permette di fare la scansione del disco con 
diversi antivirus e anti-rootkit. Alcuni sono lenti, tu lasciali 
lavorare tutti...
Poi cerca di ricordare: hai mai usato le password da altri pc ? A casa 
di amici, in altri uffici...

 di amici, in altri uffici...
mmhhh, non potrei giurarci in effetti. Bah.. intanto ora l'ho cambiata.


 quelle "applicative" ?
Nessun furto di PWD in quanto non ho altri problemi e non le ho cambiate.
Inutile dire che le PWD di joomla invece sono un'altra cosa ma il sito 
ra online da solo 1/2 mesi e con pwd abbastanza carina ma non credo 
craccabile e ad ora non ï¿œ cambiata nemmeno quella.
Il problema sono i programmi in joomla, dalla base ai plugins e/o moduli 
o componenti, c'ï¿œ un baco che appena trova una cartella scrivibile ci 
lavora sopra e prende permessi per andare a fare danno!

 difficile che possano avermele prese da qui.
e poi non capisco il senso.
Uno ti ruba le password e le usa per fare un defacement?
Mi sembra assurdo.
Comunque sono per la castrazione elettronica di questi individui :)
S.

 cambiata. 
ecco una buona cosa � cambiare periodicamente le password e usarne di 
molto complesse tipo
KL"J�)D2aNnduS
S.

 gira anche su mac?
Non credo, � un linux che monta i filesystem fat32 e ntfs... non credo 
monti quelli del mac. E anche se li montasse, non so se gli antivitus 
hanno le firme

 wrote:

dici che "pippo" � troppo facile? :-)
comunque non credo abbiano avuto accesso via ftp, altrimenti avrebbero
fatto danni anche nelle cartelle protette da .htaccess che, invece, sono
risultate completamente pulite.


 wrote:

bon... comunque qui una passata di controllo la do periodicamente.


 stesso cliente.
Gia'.
Esattamente come accade, piu' in generale, col fenomeno del phishing. E'
l'utente che offre ingenuamente la sua password, e in quel caso non ci
sono falle di sistema, mentre la gente di solito questo non lo capisce.
Infatti se leggi sui media e in giro, visto che questo succede sempre a
tot utenti contemporaneamente, si va a dire in giro che il servizio xyz
e' stato compromesso a livello di sicurezza, quando invece cio' non e'
assolutamente vero.
Joomla! e in generale i CMS piu' diffusi, si sono fatti questa cattiva
fama a livello di sicurezza, soprattutto per questi equivoci.
-- 
BArrYZ

Non uso neppure windows e, anche su mac, c'ï¿œ un antivirus che gira.
Ho letto di malware ruba-password anche per Mac, ma non so quanto siano
diffusi effettivamente.
Non si puï¿œ escludere in linea di principio che le password siano state
rubate direttamente al hoster, ï¿œ giï¿œ successo, perï¿œ ï¿œ raro.
-- 
ciao,
Marco

lavorare tutti...
Raramente questo genere di malware ï¿œ individuato da un antivirus.
-- 
ciao,
Marco

fama a livello di sicurezza, soprattutto per questi equivoci.
Uhm, no. Joomla (e wordpress ï¿œ sulla strada) si ï¿œ fatto una cattiva fama
a livello di sicurezza perchï¿œ ha una lunga storia di problemi di
sicurezza ricorrenti, e i moduli di terzi sono ancora peggio.
La fama ï¿œ tutta meritata, e non aiuta il fatto che la stragrande
maggioranza di quelli che usano Joomla poi si guardano bene dal tenerlo
aggiornato.
-- 
ciao,
Marco

 rubate direttamente al hoster, � gi� successo, per� � raro.
Guarda, io mi sono fatto un'idea (da ignorante, perch� la mia esperienza
� limitata): � stato un problema di versioni vecchie di joomla che avevo
incautamente lasciato abbandonate in un dominio che ho registrato e
attivo ma non sto usando.
Su Aruba se hai pi� domini con uno stesso account li vedi tutti l�
quando accedi via ftp da qualsiasi di essi. In sostanza una volta
entrato su uno, lo script ha avuto accesso anche agli altri (e in ordine
alfabetico li ha violati, come si desume dagli orari di modifica dei
file).
Dico joomla perch� se fosse stato qualcuno con accesso ftp avrebbe avuto
possibilit� di accedere anche alle cartelle protette che invece sono
rimaste pulite.
Tra l'altro le versioni vecchie di joomla erano proprio quelle accusate
nel thread su joomlaspace. Ora ho dato una ripulita di tutte le cose
rimaste abbandonate sul server. E sto incrociando le dita.


 aggiornato.
In questo e' vero, ma io non volevo confutare cio', forse mi sono
spiegato male.
Il problema di fondo di Joomla! in tal senso, IMHO, e' soprattutto il
sistema degli aggiornamenti che era ed e' tutt'ora a dir poco
farraginoso, e che soprattutto per l'untenza verso cui era diretto, non
ha aiutato a mantenere aggiornato l'installato che c'era in giro. Come
sui sistemi desktop Linux hanno creato un "gestore degli aggiornamenti"
grafico, cosi', IMHO, avrebbero dovuto fare da un pezzo su un software
come Joomla!, ma che ancora non fanno.
Detto questo, pero', io mi riferivo al fatto che molta di questa
"cattiva fama", spesso, deriva piu' da incuranza di chi li usa e/o da
phishing vero e proprio, piuttosto che da problemi di natura proprio
tecnica. E chiramente questo fenomeno e' amplificato enormemente dalla
diffusione gigantesca che ha avuto questo CMS sul Web.
-- 
BArrYZ

 come Joomla!, ma che ancora non fanno.
in realt� vedo che anche il gestore degli aggiornamenti che c'� su
wordpress non � poi cos� usato. Almeno a vedere siti anche importanti
che restano con le vecchie versioni.
L'aggiornamento � sempre un momento delicato e lasciare all'utente
finale (che magari non sa nulla di cms, ma inserisce solo i contenuti)
pu� essere un rischio se non ha alle spalle qualcuno pi� competente. 
E spesso i siti fatti con joomla sono di chi vuole spendere molto poco e
una volta fattosi mettere su il sito non si preoccupa pi� di cercare chi
glielo mantenga.


 glielo mantenga.
Costoso o meno, non penso dipenda da quello. Se uno spende tanto, non e'
che poi sia piu' propenso ad aggiornare, se poi farlo e' oggettivamente
una rottura di coglioni.
-- 
BArrYZ

 
cerca in tutti i file "include" generalmente le backdoor si basano su un 
semplice include di una variabile passata attraverso $_GET[''].
qualcosa tipo
include ($_GET['page']);
Ciao

 tenerlo aggiornato.
anche perch� aggiornare Joomla � sempre un patema, non sai mai se dopo 
dovrai spendere ore a sistemare casini e incompatibilit�.
Wordpress da questo punto di vista � di gran lunga pi� semplice da 
gestire, e anche se ci sono problemi poi li si possono sistemare in 
poco tempo... con Joomla ci perdi le notti e ti rodi il fegato, per 
questo io cerco di usarlo il meno possibile.
S.

 aggiornamenti.
Il problema di entrambi (e di Drupal, PHPBB, ecc. ecc.) e` che se aggiorni 
il core e l'utente ha dei plugin non compatibili con la nuova versione, 
gli blocchi il sito e ti rompe pure le balle.
Quindi dovresti unificare anche la lista dei plugin disponibili agli 
utenti, come fa 
wordpress.com
 (mi pare), e non permettere agli utenti di 
gestirseli da soli.
Bye.

 gli blocchi il sito e ti rompe pure le balle.
Meglio quello, pero', IMHO. La sicurezza dovrebbe venire prima di tutto.
I componenti che diventano incompatibili, diventano, a quel punto,
problemi di chi sviluppa i componenti stessi, che dovrebbero a loro
volta aggiornare tutto se necessario, con una procedura semi-automatizzata.
E poi basta fare i componenti seguendo le direttive e non a cazzo di
cane. Se venissero segati con gli aggiornamenti i componenti fatti di
merda, si farebbe selezione naturale tra componenti validi e non, e chi
li sviluppa avrebbe interesse a farli bene e/o a tenere aggiornati anche
quelli. Insomma avrebbe delle ripercussioni positive su tutto, IMHO.
Ma in merito appunto leggevo che nelle prossime release, insieme
all'idea di inserire un versioning nel core (finalmente), stanno appunto
pensando ad una rivoluzione nell'ambito degli aggiornamenti del core,
insomma il problema e' molto sentito in seno alla community che gravita
intorno a Joomla!.
-- 
BArrYZ

 password.
Guarda, mi � successo con un cliente che appena metteva a posto i siti
se li trovava nuovamente 'sporchi'.
Io insistevo che il problema era lato suo, e lui insisteva che invece il
buco era il nostro.
Gli ho cambiato la password senza dirgliela e... magia! siti puliti per 
almeno
una settimana. Ovvero finch� non gliel'ho data di nuovo :-(
Alla fine non so come abbia risolto, credo abbia piallato il pc.
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
CBR600F "Cerbero" - In vendita - 
http://www.slimmit.com/go.asp?7X0
GamerTag: 
http://card.mygamercard.net/IT/nxe/ValeRyo76.png
 

 aggiornato.
Marco, a proposito di aggiornamenti, la piattaforma su Topblog com'è
messa? a parte il CMS, i vari plug-in che si possono utilizzare son
tutti aggiornati in automatico?
Chiedo perché quello SEO mi pare una versione vecchia...
grazie,
Gabriele

 dovrai spendere ore a sistemare casini e incompatibilitï¿œ.
Uso joomla dalla versione della notte dei tempi, eppure tutto questo 
gran casino per scaricare il pacchetto aggiornamento e sovrascrivere 
file via ftp, non ce lo vedo.
E l'installazione del mio primo sito ï¿œ rimasta quella, aggiornando di 
versione in versione, senza mai avere un solo problema.

 file via ftp, non ce lo vedo.
Non e' un gran casino, solo e' una cosa pallosa da fare, soprattutto
perche' potrebbe essere automatizzabile e/o quantomeno semplificabile
con un bottone e, soprattutto, aumenterebbe la probabilita' di avere
installazioni maggiormente up2date, quindi utile anche per la sicurezza
in senso lato.
-- 
BArrYZ

BArrYZ ha scritto:

Ho dei dubbi. Per fare un aggiornamento con "il bottone" dovresti avere 
i files di joomla scrivibili dall'utente del webserver.... cosa secondo 
me inutilmente pericolosa.
Alcune cose si potrebbero perï¿œ fare:
- al login nel backend, verificare in automatico la disponibilitï¿œ di una 
nuova versione e nel caso mostrare una scritta ENORME che invita 
all'aggiornamento
- inserire un metodo di controllo delle versioni nei plugin. Il plugin, 
al momento della installazione deve controllare la versione del "core" e 
non installarsi se non ï¿œ adeguata.

 all'aggiornamento
come wordpress... e infatti � piuttosto fastidioso finch� non si
aggiorna


 wordpress fa cos�. Dici che � pericoloso?
Per me lo �... meno possibilit� dai, meglio �.
Io sto ancora cercando info su come mettere in sicurezza al meglio Joomla...
ad esempio la directory dove fai gli upload delle immagini deve essere 
scrivibile dall'utente del server web. Stavo pensando, tramite un 
.htaccess, di impedire l'esecuzione di codice da quel sottoalbero... 
cio�, riesci a forzare l'upload di un file ma non puoi eseguirlo...
La directory dei plugin � "posseduta" da un utente diverso. Ora, se 
voglio aggiornare, devo entrare in ssh, cambiare i diritti, aggiornare e 
ricambiare i diritti... e non tutti hanno accesso ssh. Che poi la fase 
di aggiornamento la puoi fare via web o via command line PER ME cambia 
poco, ma se stai su un server di terzi la via web � l'unica...

 
i casini si presentano se ci sono incompatibilit�, cosa tutt'altro che 
rara con plugins installati o autoprodotti.
S.

 Io sto ancora cercando info su come mettere in sicurezza al meglio Joomla...
Guarda, io ce l'ho in produzione sui miei server da svariati anni e gli 
unici problemi sono derivati dai mancati aggiornamenti di core o 
componenti di terze parti, pertanto ho scriptato la procedura di 
aggiornamento del core che mi scandaglia tutte le directory ed esegue 
in automatico l'aggiornamento, al rilascio di una nuova release.
Certo ï¿œ che se gli utenti mettono mano al core con personalizzazioni 
sul codice se le ritrovano brasate, idem per moduli/componenti, ma la 
bellezza di joomla sta nel fatto di poter effettuare le 
personalizzazioni anche in altra maniera, solo che nessuno si prende la 
briga di analizzare bene il come fare....
Dal canto mio, ho limato di molto il problema con un accurato uso di 
mod_security su apache, che sega buona parte della rumenta di bot 
automatizzati.