Newsgroup: it.lavoro.professioni.webmaster
Titolo: Hanno defacciato un quintale di siti su joomlaspace...

compresi i nostri.
la causa?
degli idioti che si spacciano per webmaster e nn sanno usare sti cazzo di 
cms.
fanculo!!!!!!!!!!!!!
servirebbe un patentino per far usare i server a chi si spaccia per 
"web-qualcosa"...
dio xxx
-- 
SimBus82.net coming soon - 
http://www.simbus82.net
Blog allenamento - 
http://simbus82-workout.blogspot.com/
 

 "web-qualcosa"...
Vabb�... ma io direi anche a chi amministra il tuo hosting, non � mica 
normale che si possa scorrazzare impunemente
da un account all'altro con cos� tanta facilit�. 

 ha scritto nel messaggio 
news:ha4qsu$764$1...@news.eternal-september.org...

non � vero.
se entri da un sito che ha una falla grossa come na casa... sei praticamente 
dentro il server... io vorrei proprio sapere chi ha provocato sta rogna...
ah l'hacker � il solito r00t.....


 provocato sta rogna...
Ehm... no. :)
Oddio, non so su Windows, ma su Linux, se buchi un sito entri come 
l'utente con cui gira quel sito. Se hai un minimo di protezione (suphp, 
itk, permessi impostati correttamente nel filesystem e nel DB, etc.) il 
cracker (l'hacker non si mette a defacciare siti...) entra solo in quel 
sito, o al massimo nei siti dello stesso utente.
Se poi ci sono dei bug nel webserver o nel kernel, e il cracker fa una 
privilege escalation e diventa root, non dipende dal sito.
In ogni caso la rogna e` del gestore del server, che non ha tenuto 
aggiornato il software, non ha seguito i bollettini di sicurezza e/o non 
ha configurato bene i servizi.
Bye.

 ha scritto nel messaggio 
news:7imav7F...@mid.individual.net...

da quanto ho capito l'hacker ha sostituito praticamente ogni file che 
contenga la parola index (quindi file del tipo index.php, index.html 
indexblabla.html index.htmlabc. ecc)
è entrato da un sito nn protetto e ha messo uno script che ha fatto sto 
lavoretto su tutti i file in questione.
il server è pieno di installazioni joomla, quindi immaginate lo sfracelo... 
per fortuna è tutto backuppato dall'hosting stesso.


 sfracelo... per fortuna è tutto backuppato dall'hosting stesso.
Ma sei parente di Euclide?
Utenti e permessi sono concetti sconosciuti per te, altrimenti capiresti che 
la cazzata più grande è stata
fatta a monte...
Bucando un sito non deve essere assolutamente possibile accedere alle 
directory appartenenti ad altri utenti.
Vai a ripassare gli esami per il patentino...
It.lavoro?professioni?webmaster???? 

 It.lavoro?professioni?webmaster????
ehi mongolino d'oro ho solo scritto quello che mi ha riferito l'hosting. so 
bene come funziona... e appunto chiedevo per capire dove poteva essere il 
problema.
resta il fatto che PRIMA entri da un sito... poi fai il resto.


 fare uno sfacelo di tutti i siti. >
e chi ha detto di no -_- madonnina santa....


 però hai dato degli idioti ai webmaster, non ai sistemisti.
nn credo che un hacker/craker entri dal nulla dentro un server.. una porta 
aperta la deve trovare....
che poi i sistemisti abbiano toppato visto che il tizio ha sostituito sti 
file index su ben 3-4 server li sono daccordo!


 
Ma ci sta che il webmaster niubbo (e non solo) non aggiorni il cms 
oppure lasci la porta aperta per possibili intrusioni, è nell'ordine 
delle cose.
Ma come è già stato detto chi gestisce l'hosting non dovrebbe permettere 
l'intrusione negli altri account, quindi le colpe imho sono tutte di chi 
fornisce il servizio.

 fornisce il servizio.
Che glielo spieghi a fare, sta ancora facendo gli esami del patentino del 
"webmaster dei siti",
non capisce. 

 sfracelo... per fortuna è tutto backuppato dall'hosting stesso.
Si' ma in questo caso e' colpa di chi amministra l'hosting, e basta. I
*vicini* di server su un condiviso, se il server e' amministrato
decentemente, non possono fare cose del genere.
-- 
BArrYZ

 Ma sei parente di Euclide?
Non è mio parente ma a quanto pare la falla è grossa, io ho avuto il 
problema un mese fa e ho solo supposto che fosse colpa di joomla ma ora 
ne ho la certezza.
Il sito era con utente diverso da root od administrator anche se nn 
confinato in un utente di dominio in quanto sotto a un dominio principale.
Stesso problema, tutti i file con *index* soo stati sovrascritti e 
portati  a zero.
Ultimamente non mi sta ricapitando anche se l'utente in questio è 
presente sul server, unica cosa di diverso ho instalalto io e do i 
permessi alle cartelle con il contagoccie.....
Ma fra ieri sera e stamamttina c'è di certo stato un attacco in quanto 
aevo il server rallentato e fatto 2 riavii del server.

 
3/4 server???
Che quidni sono connessi solo via rete fra di loro è ovvio il rootkit

"Euclide" <eucl...@Mlive.invalid> ha scritto nel messaggio 
news:ha5a95$9vb$1...@news.eternal-september.org...

infatti c'è stato un attacco diffuso a molte serverfarm italiane tra le 4 e 
le 6 di stamattina...


 
Saranno mica gli iraniani?

 degli aggiornamenti di sicurezza.
Esistono anche gli exploit zero-day e purtroppo, quando vengono
sfruttati su sistemi del genere, il risultato è quello indicato da
BS82.
Qualche anno fa era accaduto anche su Tophost e di certo i loro
sysadmin non sono sprovveduti ;)
ciao,
Gabriele

MyRemote Video Gallery
Sul forum di joomla ci sono alcuni messaggi con data di ieri e oggi su 
un defacement simile a quello lamentato da BS82.
In un messaggio si fa riferimento a questo plugin, anche su un post su 
secunia.

Scusa, ma in questa discussione vengono dette un mucchio di cavolate.
La prima regola fondamentale da tenere presente � questa:
"La sicurezza � un problema di economia, non un problema tecnico."
In sostanza � colpa di chi vuole pagare poco.
Non � colpa dei webmaster che non sanno configurare Joomla, non � colpa 
dell'Hosting Provider, perch� se volesse rendere i suoi sistemi pi� sicuri, 
dovrebbe spendere pi� soldi per usare dei server pi� potenti, per impostare 
dei sistemi di sicurezza migliori (ma che richiedono ovviamente pi� risorse, 
un esempio � suPhp che richiede come minimo pi� RAM sui server, e processori 
pi� potenti, il che si tradurrebbe in un costo maggiore dei pacchetti, 
ovvero il provider perderebbe la maggior parte dei clienti).
Ovviamente chi da la colpa ai webmaster o all'hosting � superficiale.
Perch� nessun sistema � inpenetrabile. E' solo una questione di impegno di 
tempo per l'hacker che lo vuole penetrare. E siccome il tempo � denare, ecco 
che c'� questa importantissima regola da tenere presente:
"La sicurezza � un problema di economia, non un problema tecnico."
Se l'hacker entrasse nel sito e vedesse che c'� safe mode attivato in php, 
oppure che Apache gira con suPhp o simili, impiegherebbe solo un altro 
"livello" di test penetrativi.
Non posso entrare con Php, e chi se ne frega, lo faccio con Perl, tanto per 
fare un esempio.
E quindi, l'hosting che dovrebbe fare? Disattivare Perl ?
E gli utenti poi che dovrebbero fare, visto che avrebbero a parit� di 
pacchetti, hosting che danno Perl ed un hosting molto pi� costoso per 
esempio che non lo da?
Nozione importante:
"La sicurezza � un problema di economia, non un problema tecnico."

 ha scritto nel messaggio
news:ha5mr1$17lh$1...@newsreader2.mclink.it...

Vi sono nuove versioni con patch di sicurezza?

 fornisce il servizio.
Chi fornisce il servizio, solitamente lo fornisce su richiesta dei clienti, 
i quali scelgono il servizio al 99% in base al prezzo.
L'hosting provider naturalmente potrebbe migliore la sicurezza, naturalmente 
questo costerebbe di pi�, e naturalmente l'hosting provider chiuderebbe, 
perch� la gente non � disposta a pagare quel plus necessario, per rendere il 
servizio "sicuro ad un certo livello".
Comunque, il servizio non diventerebbe mai sicuro al 100%, � un problema 
economico.
Pi� l'hosting provider vuole migliorare la sicurezza, pi� deve spendere, pi� 
il servizio sale in costo, pi� l'hosting provider pu� cominciare a pensare 
di chiudere, con la mentalit� spilorcia che c'� in giro.

 ha scritto nel messaggio 
news:ha5mr1$17lh$1...@newsreader2.mclink.it...

Credo sia colpa di chi scarica i "componenti warez" invece che comprarli.
credo siano infarciti di backdoor et simili....



ma infatti noi "investiamo" molto in sicurezza e nei siti effettuiamo 
procedure (quando richiesto e "pagato") che danno quel tot di sicurezza in 
pi�.
con joomla soprattutto visto che ci sono ottimi componenti A PAGAMENTO che 
danno quel plus che evita molti danni...
ma qua cazzo sono entrati come un coltello nel burro sciolto per dio!!
tutti gli index.html han cambiato... e tutti alla stessa identica ora 
05.07am... MAH!!!!!!!!!!


 05.07am... MAH!!!!!!!!!!
Sono entrati, e una volta entrati con i giusti privilegi, fai tutto 
quello che vuoi con un semplice script...

 
Credo che sia errata la cosa.
E' questione di buuona volonta non solo di economia che potrebbe essere 
anche il giusto.
Non tutte le squadre che investono tanti soldi poi vicono il campionato!
Puoi anche pagare uno ma poi ci sono di mezzo tanti fattori.

 che vuoi con un semplice script...
eh.....



ecco da dove sono entrati, le parole dell'hosting:
"L'attacco si � sviluppato sfruttando le vulnerabilit� di 2 siti, in cui 
erano presenti versioni di Joomla obsolete (1.5.8 e 1.5.9): sfruttando tali 
vulnerabilit�, i defacer sono riusciti ad entrare negli account attraverso 2 
estensioni. Nello specifico, si tratta di
- modulo ThumbsUp Latest News: 
http://extensions.joomla.org/extensions/news-display/latest-news/6831
-  componente JEvents: 
http://extensions.joomla.org/extensions/95/details
"


 eh.....
che intendi ? te lo scrivo in 10 minuti uno script che fa queste cose...

 
Non avendo seguito l'instalalzione di tutti i componenti direi che solo 
il secondo potrebbe essere stato installato.
E comunque joomla mi pare fosse aggiornato.

 -  componente JEvents
Quindi � un attacco che pu� funzionare solo in questa combinazione 
(joomla vecchio e quelle estensioni) o in realt� � indipendente ?
E non � che sono due attacchi differenti ?
Grazie delle informazioni.

 che intendi ? te lo scrivo in 10 minuti uno script che fa queste cose...
no scusa il mio era un "eh" di conferma :D deformazione dialettale sorry!


"Euclide" <eucl...@Mlive.invalid> ha scritto nel messaggio 
news:ha7kpo$as9$1...@news.eternal-september.org...


non capisco di che parli........ hai qualcosa da joomlaspace?


 
No, ma ho avuto lo stesso problema su una VPS a inizio settembre.
Ci sono anche i post sul gruppo.
Diedi uno spazio in un dominio di terzo livello con ftp a parte (quindi 
a mio avviso anche utente parte) e mi sono stati sovrascritti a = tutti 
gli *index* dalle cartella alle immagini tutto contenten la parola indez.
Anche allora, e come sempre fanno in questo gruppo, hanno dato la colpa 
alla mia incapacit�.
Hanno anche difeso gli smanettoni ricercatori universitari che, arrivati 
a questo punto, mi hanno creato il problema.
Dopo varie vicissitudini ho dato la colpa a joomla ma non ne avevo la 
certezza.
Per togliere ogni dubbio ho una sola installazione di joommla presente 
sulla VPS ed � la loro.
Ho perso 4 giorni comprsa una notte fino alle 5 di mattina per stare 
tranquillo, in quanto ho anche fatto un primo ripristino che il giorno 
dopo � risaltato e diedi la colpa al programma di backup.
Ho ripristinato a momenti precedenti ed alla fine omettendo (senza 
nemmeno averci pensato tanto) il sito con joomla e dopo 3 giorni di 
tutto tranquillo ho deciso (cosa che mi � costata la lite con diverse 
persone e sistemisti in giro come anche da me previsto in quanto non � 
mai stata indolore) di ripristinare totalmente il sistema operativo e 
rifare ancora per la 4a volta il riprisitno di tutto.
Non potevo partire da una immagine del sistema che poteva essere 
compromessa dal rootkit.
Quindi ho rifatto immagine nuova e ripristino del backup ultimo fatto 
degli utenti.
Poi un po' di lavorio e il tutto � andato a posto.
Senza sapere n� leggere e n� scrivere il sito con joomla (anche se non 
incolpato e senza averne certezze) � andato su un pezzo per volta e non 
ho ridato l'account ftp eseguendo quindi io (a gratis ovviamente e con 
un responsabile di quel sito che mi urlava dietro) tutti i ripristini.
Oggi penso di poter dire che sia stata proprio colpa di quel sito, non 
mi � risuccesso durante questo attacco ed effettivamente ricontrollando 
ho dato permessi 777 alle cartelle strettamente necessarie sotto 
virtuemart e tutto il resto � con i permessi normali.
Ho abilitato il safe mode on ma ora ho probelmi sui forum con wp in 
quanot non mi caricano le immagini e quidni casomai devo ritoglierli.
Il tutto ed alla fine "UN GRAN CASOTTO"
Ho abnche litigato/sfanculizzato ocon un iraniano che ho trovato girare 
sul serverino.... :P
Mo se mi fanno girare prendo gli IP dal ripe dell'Iran e faccio dei 
servizietti niente male.... ma io borbando direttamente!! :D

 servizietti niente male.... ma io borbando direttamente!! :D
ahhahahahhahahhahahahha


 
Bhe si sono finiti i tempi in cui si tiravano gi� i "server" con un 
eccesso di richieste da un solo PC ora servono le botnet... :D
Poi tutto il resto � tojanizzato. :\

 vanno i 644 per i file e i 755 per le cartelle :-S
e l'owner:group ?
riesci a vedere con che owner:group gira apache e quali sono invece gli 
owner:group dei files ?

 servizietti niente male.... ma io borbando direttamente!! :D
Euclide, ancora non hai capito che il tizio iraniano NON TI GIRAVA PER 
IL SERVER !!!!
L'iraniano � quello che ha scritto il programma ! Quelli che giravano 
per il tuo server erano altri !
Del sito joomla bucato, sai dire che versione era ? e che 
plugin/template/moduli/etc aveva installati ?

 plugin/template/moduli/etc aveva installati ?
E' credo ultima versione la 1.5 e ha installato
di template oltre a 3 sue personali fatte con artisteer:
1		 beez	  	  	 1.0.0	 19 February 2007	 Angie Radtke/Robert Deutz
2		 JA_Purity	  	  	 1.2.0	 12/26/07	 JoomlArt.com
3		 rhuk_milkyway
Di plugin:
1		 Authentication - Joomla	 	  	 Public	 authentication	 joomla	 1
2		 Authentication - LDAP	 	  	 Public	 authentication	 ldap	 2
3		 Authentication - OpenID	 	  	 Public	 authentication	 openid	 4
4		 Authentication - GMail	 	  	 Public	 authentication	 gmail	 3
5		 Contenuti - Jfalternative	 	  	 Public	 content	 jfalternative	 37
6		 AllVideos (by JoomlaWorks)	 	  	 Public	 content	 jw_allvideos	 49
7		 Content - Page Navigation	 	  	 Public	 content	 pagenavigation	 17
8		 Content - Rating	 	  	 Public	 content	 vote	 13
9		 Content - Email Cloaking	 	  	 Public	 content	 emailcloak	 14
10		 Content - Code Hightlighter (GeSHi)	 	  	 Public	 content	 geshi	 15
11		 Content - Load Module	 	  	 Public	 content	 loadmodule	 16
12		 Content - Pagebreak	 	  	 Public	 content	 pagebreak	 12
13		 Editor - No Editor	 	  	 Public	 editors	 none	 18
14		 Editor - TinyMCE	 	  	 Public	 editors	 tinymce	 19
15		 Editor - XStandard Lite 2.0	 	  	 Public	 editors	 xstandard	 20
16		 Editor Button - Image	 	  	 Public	 editors-xtd	 image	 21
17		 Editor Button - Pagebreak	 	  	 Public	 editors-xtd	 pagebreak	 22
18		 Editor Button - Readmore	 	  	 Public	 editors-xtd	 readmore	 23
19		 Joomfish - Missing_translation	 	  	 Public	 joomfish	 
missing_translation	 44
20		 Cerca - Jfcategories
21		 Cerca - Jfcontacts	 	  	 Public	 search	 jfcontacts	 39
22		 Cerca - Jfcontent	 	  	 Public	 search	 jfcontent	 40
23		 Cerca - Jfnewsfeeds	 	  	 Public	 search	 jfnewsfeeds	 41
24		 Cerca - Jfsections	 	  	 Public	 search	 jfsections	 42
25		 Cerca - Jfweblinks	 	  	 Public	 search	 jfweblinks	 43
26		 Search - K2	 	  	 Public	 search	 k2	 46
27		 Search - Content	 	  	 Public	 search	 content	 6
28		 Search - Weblinks	 	  	 Public	 search	 weblinks	 11
29		 Search - Contacts	 	  	 Public	 search	 contacts	 7
30		 Search - Categories	 	  	 Public	 search	 categories	 8
31		 Search - Sections	 	  	 Public	 search	 sections	 9
32		 Search - Newsfeeds	 	  	 Public	 search	 newsfeeds	 10
33		 System - Jfrouter	 	  	 Public	 system	 jfrouter	 36
34		 System - Jfdatabase	 	  	 Public	 system	 jfdatabase	 35
35		 System - ReReplacer	 	  	 Public	 system	 rereplacer	 34
36		 System - K2	 	  	 Public	 system	 k2	 47
37		 System - SEF	 	  	 Public	 system	 sef	 27
38		 System - Debug	 	  	 Public	 system	 debug	 28
39		 System - Legacy	 	  	 Public	 system	 legacy	 29
40		 System - Cache
41		 System - Log	 	  	 Public	 system	 log	 31
42		 System - Remember Me	 	  	 Public	 system	 remember	 32
43		 System - Backlink	 	  	 Public	 system	 backlink	 33
44		 User - Joomla!	 	  	 Public	 user	 joomla	 5
45		 User - K2	 	  	 Public	 user	 k2	 48
46		 XML-RPC - Joomla	 	  	 Public	 xmlrpc	 joomla	 24
47		 XML-RPC - Blogger API
Di moduli:
#		Nome modulo	Attivato	Ordinamento		Livello di accesso	Posizione 
Pagine	Tipo	ID
Mostra #
1		 Cerca	 	  	 Public	 left	 Tutte	 mod_mainmenu	 20
2		 Menu Principale	 	  	 Public	 left	 Tutte	 mod_mainmenu	 1
3		 Login	 	  	 Public	 left	 Tutte	 mod_mainmenu	 19
4		 Chi Siamo	 	  	 Public	 left	 Tutte	 mod_mainmenu	 28
5		 logo	 	  	 Public	 left	 Tutte	 mod_banners	 42
6		 Seleziona una valuta	 	  	 Public	 left	 Tutte	 
mod_virtuemart_currencies	 56
7		 Seleziona una lingua	 	  	 Public	 right	 Tutte	 
mod_jflanguageselection	 29
8		 Ordinazioni	 	  	 Public	 right	 Tutte	 mod_mainmenu	 16
9		 Carrello	 	  	 Public	 right	 Tutte	 mod_virtuemart_cart	 21
10		 Prodotti	 	  	 Public	 right	 Tutte	 mod_productscroller	 24
11		 spinner	 	  	 Public	 right	 Tutte	 mod_banners	 41
12		 eu	 	  	 Public	 right	 Tutte	 mod_banners	 43
13		 regione	 	  	 Public	 right	 Tutte	 mod_banners	 44
14		 Mod Scribus

 per il tuo server erano altri !
A propostio a qualcuno interessano una decina di programmi in PHP + o - 
offuscato per guirare sui serverini? :P
Li metto in condivisione su emulez??

Li metto in condivisione su emulez??
Abbiamo trasmesso: "il bimbo violentato diventa adulto violentatore".
Leonardo
-- 
The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.

 Leonardo
Ma d�i, si capisce che era ironico, su!
ciao
Filippo B.
--
http://www.danzainsieme.it
http://www.boschetti.info

 
Si certo, per� se qualcuno li vuole per studio di certo li posso dare.
Non era certo per usarli, anche perch� non li saprei usare e nello 
stesso tempo non ne vedo il motivo, di solito mi faccio i cavoli miei 
sono gli altri che rompono.