[PHP] Joomlasysteem tot 4 keer aan toe gehackt

[Josh]

Een topic posten op GoT doe je altijd als laatste uitweg, nadat je alles geprobeerd te zoeken hebt en als je alles zelf al geprobeerd hebt. Hier is dus ook mijn laatste uitweg. Ik ben een beetje ten einde raad.

Mijn website is opgebouwd uit Joomla waarin een SMF forum en een coppermine gallery zijn geintregreerd. Ik heb de nieuws Joomla versie draaien en de website is in twee dagen nu al vier keer gehackt (door hetzelfde team). Ik heb hulp nodig bij het beveiliging of tenminste met het zoeken naar de exploits.

Ik heb serverlogs aangevraagd, meer kan ik niet doen. Heb Joomla geupdate en FTP en SQL passwords veranderd. Ik heb de hacker opgezocht en ik kan met hem praten via msn. Hij zei dat mijn website heel erg onveilig was (veel exploits) en dat hij alle passwords had die er zijn (FTP, SQL, Joomla, alles).

Ik heb de simpelste scripts eraf gegooit (uploadscript en nog een ander simpel script), ik heb zelf geen verstand genoeg van PHP om de exploits te kunnen vinden maar misschien kan iemand me helpen?

Het gaat om www.tgroen.nl

[XWB]

SQL injectie? Overigens, als je met de hacker kan praten waarom vraag je hem niet waar de leaks zitten?

Misschien dat je op het Joomla forum meer antwoorden zal vinden, ik denk niet dat de tweakers hier dat pakket gaan ontleden

[ Voor 39% gewijzigd door XWB op 28-05-2006 14:36 ]

[Josh]

Hacku schreef op zondag 28 mei 2006 @ 14:34:
SQL injectie? Overigens, als je met de hacker kan praten waarom vraag je hem niet waar de leaks zitten?

Misschien dat je op het Joomla forum meer antwoorden zal vinden, ik denk niet dat de tweakers hier dat pakket gaan ontleden

Hij zegt dat het niet perse Joomla is dat onveilig is. Heel de website is onveilig zegt hij. Het forum, joomla, verschillende scripts. Ik weet het echt niet meer.

Hij wil niet vertellen wat er onveilig is en welke exploits er zijn. Hij kan het veilig maken maar dat gaat geld kosten zegt hij.

[Justifier]

Kun je niet zijn ip adres achterhalen en aangifte doen bij de politie ?

@Seven of nine
Waarom moet ik die informatie geven, is misschien beter dat de TS dat doen

[ Voor 42% gewijzigd door Justifier op 28-05-2006 14:43 ]

[gorgi_19]

GsJosh schreef op zondag 28 mei 2006 @ 14:38:
[...]

Hij zegt dat het niet perse Joomla is dat onveilig is. Heel de website is onveilig zegt hij. Het forum, joomla, verschillende scripts. Ik weet het echt niet meer.

Hij wil niet vertellen wat er onveilig is en welke exploits er zijn. Hij kan het veilig maken maar dat gaat geld kosten zegt hij.

Mja, er kunnen vrij veel mogelijkheden zijn om de boel te hacken. SQL Injection is idd een van de meest gebruikte, inclusief het 'verkeerd' gebruiken van includes.

[RSpliet]

Justifier schreef op zondag 28 mei 2006 @ 14:39:
Kun je niet zijn ip adres achterhalen en aangifte doen bij de politie ?

Nog niet nodig toch?

Maar GsJosh O-): waar haal jij jou hosting vandaan? Laat jij dit doen door een hostingbedrijf, of heb je een eigen server (met zelf geinstalleerde software)? Wordt jij gehost op een Windows of een Linux bak? Is Apache/IIS up to date, draai je de laatste versie van PHP? En van MySQL? Meer info graag
Haal sowieso een rootkit checker (*nix) of virusscanner (Windows) over je server heen, grote kans dat de grote vriend hacker voor zichzelf een achterdeurtje heeft getimmert. Liefst nog een reinstall van de server, mocht hij dus van jouzelf zijn.

Heb laatst nog gezien wat 1 openbare 0-day aan een Dell server kan aanrichten, ik kan je vertellen: it aint pretty. De helft van de libraries waren compromised, door een enkele bug in een webmail applicatie. Gevolg: instant root voor iedereen.

[ Voor 36% gewijzigd door RSpliet op 28-05-2006 14:51 ]

[XWB]

GsJosh schreef op zondag 28 mei 2006 @ 14:38:
[...]

Hij zegt dat het niet perse Joomla is dat onveilig is. Heel de website is onveilig zegt hij. Het forum, joomla, verschillende scripts. Ik weet het echt niet meer.

Hij wil niet vertellen wat er onveilig is en welke exploits er zijn. Hij kan het veilig maken maar dat gaat geld kosten zegt hij.

En heb je zelf geen idee waar die exploits zich mogelijk kunnen bevinden? Desnoods probeer je je site maar zelf eens te hacken / slopen. Misschien ook handig om de server zelf eens na te checken

[ Voor 7% gewijzigd door XWB op 28-05-2006 14:43 ]

[FragileM64]

Op de joomla forums staat dat het echt wel een vereiste is dat je mod security hebt draaien op de server.

[dawuss]

Je site is nu offline, dus ik kan er niet naar kijken, maar ik moet wel zeggen dat ik het op z'n minst erg onbeschoft vind van die "hacker" van je. Niet alleen beschadigt hij je website, hij chanteert je ook nog eens met de kennis om het probleem op te lossen. Niet erg ethisch verantwoord als je het mij vraagt

Hij/zij is gewoon hartstikke strafbaar, dus je kunt het spelletje heel eenvoudig omkeren door aangifte te doen bij de politie.

Anyway, wat het belangrijkste is om eerst uit te vinden is waar het lek zit. Dat kan joomla of één van de andere PHP scripts zijn die jij draait, maar het kan ook zijn dat de hosting provider (PC Extreme?) zijn zaakjes niet op orde heeft, zodat zelfs via de defecte website van een andere klant jouw passwords te achterhalen zijn.

[Josh]

Hacku schreef op zondag 28 mei 2006 @ 14:43:
[...]


En heb je zelf geen idee waar die exploits zich mogelijk kunnen bevinden? Desnoods probeer je je site maar zelf eens te hacken / slopen. Misschien ook handig om de server zelf eens na te checken

Ik heb niet genoeg kennis daarvoor

Ik heb wel in de logs gevonden dat hij mijn uploadscript gewoon brute force heeft gehackt. Een bestand genaamd the-casper.php.rar geupload meerdere keren per seconde.

Daarna heeft dit gedaan:

code:

196.217.46.93 - - [26/May/2006:13:02:48 +0200] "GET /Nouveau dossier/Mission.mid HTTP/1.1" 404 233 "http://www.tgroen.nl/index.html" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"

Ik heb in ieder geval zijn IPadres maar als hij met een vast adres werkt dan is het wel een heel erge stomme hacker. Ik ga even kijken hoe ik dat IP blok .

Maar de hacker zegt dat er nog veel meer insecure is: poll, forum, noem maar op.

[ Voor 26% gewijzigd door Josh op 28-05-2006 14:51 ]

[XWB]

Kan je eens wat relevante code van dat upload script posten?

[dawuss]

GsJosh schreef op zondag 28 mei 2006 @ 14:49:
Ik heb wel in de logs gevonden dat hij mijn uploadscript gewoon brute force heeft gehackt. Een bestand genaamd the-casper.php.rar geupload meerdere keren per seconde. Ik heb in ieder geval zijn IPadres maar als hij met een vast adres werkt dan is het wel een heel erge stomme hacker. Ik ga even kijken hoe ik dat IP blok

En stuur dan ook meteen een mail met het stuk logfiles en het IP-adres naar [e-mail]

[Creepy]

GsJosh schreef op zondag 28 mei 2006 @ 14:49:
[...]

Ik heb niet genoeg kennis daarvoor

En dus moeten wij het voor je checken? Maar zo werkt het hier niet he, en dat weet je ook wel

Ga eerst eens overleggen met je hoster en je server beheerder. Zij kunnen je vast wel helpen. Zorg ook dat je van alle zelf geinstalleerde stukken software je de laatste updates hebt geinstalleerd.

Daarnaast zijn er verschillende topics over hoe je bepaalde zaken kunt beveiligen van zowel je zelf geschreven software (o.a. in PRG) en het beveiligen van servers (o.a. in WSS en NOS). Ga ook hier eerst eens rustig lezen. Met de informatie die je ons nu geeft kunnen we niet zo heel veel en kunnen we je dus ook niet goed helpen.

[ Voor 9% gewijzigd door Creepy op 28-05-2006 14:55 ]