Server gehacked door verouderde Joomla of Wordpress install?

[Smen]

Als hobby heb ik een aantal jaren geleden wat websites gemaakt, deed dit voor vrienden en bekenden, eenieder welbekend. Echter mijn kennis v.w.b. servers is zeer marginaal (alhoewel bovengemiddeld vergeleken met elke niet-tweaker) wat afgelopen week leidde tot een discussie met mijn webhoster. Reden: een gehackte server, waar ik een VPS op heb.

Zijn verhaal:
Hij draait servers waarop hij verschillende vormen van een VPS aanbiedt. Op deze VPS kan een klant verscheidene sites draaien en heeft hij/zij de mogelijkheid deze te administreren via een uitgekleed beheerpanel. Zoals anderen draai ook ik een aantal Joomla & Wordpress sites op mijn VPS, verschillende domeinen, verschillende installaties. Nu beweert hij dat doordat ik enkele niet up-to-date joomla-installaties heb draaien, zijn volledige server gehackt kan worden en verzoekt mij vriendelijk doch dringend de sites te voorzien van de laatste patches.

Mijn verhaal:
Er zijn ooit wat sites gemaakt, low-budget, geen onderhoudscontract of SLA. Mijn huidig beroep is niet dat van website-ontwikkelaar, en het patchen van oude sites levert problemen op met plugins die niet werken in nieuwe versies, waardoor de site niet meer werkt zoals hij ooit gemaakt is. Om dit op te lossen moet ik veel tijd investeren, die gaan mijn 'klanten' niet betalen, aangezien dat in de honderden euro's gaat lopen. Ik ben er bij gebaat om het zo te laten.

Nu is mijn vraag: kan een server volledig worden overgenomen/gehackt doordat er enkele verouderde joomla (en/of wordpress) installaties draaien binnen een VPS?

If so, kan ik iets - behalve upgraden - doen om dit te bemoeilijken/voorkomen?

[iMars]

Ja dat kan! Maar dat komt ook doordat de server beheerder zijn server(s) niet goed beveiligd.
Laat me raden, er draait plesk op?

edit:
Waarschijnlijk staan er mappen op 777 (waardoor apache kan/mag schrijven op de server). Het is dan heel makkelijk om bijvoorbeeld een perl script naar binnen te sluizen en deze te starten (spreek uit ervaring).

Wat je kan doen? Updaten met de meest recente patches. PHP niet onder apache, maar cgi laten draaien (dan heb je een apache die naar je files/folders kan schrijven)

Wat je ook kan doen, is een betere hoster opzoeken. Als iemand al niet een server dicht kan timmeren, kan ook jouw website(s) gehackt worden als andere websites op deze server gehackt word(en)...

[ Voor 67% gewijzigd door iMars op 10-08-2011 09:52 ]

[kKaltUu]

Het kan en gebeurt ook vaak.
Dat het slecht van de beheerder is dat webusers ergens anders kunnen schrijven dan /www/userfolder is een tweede zaak.

Wat vind je zelf: ben jij er verantwoordelijk voor, of niet? Zoja, waar staat dat in het contract (oh, wacht...) en tot hoever gaat dat (best effort?).

En als laaste: wie krijgt de inkomsten van klanten? jij of de hoster?

[Rmg]

Ik begrijp je verhaal, maar het is een echt risico, ook voor jou. want jij loopt ook risico ( en als je vps gehacked wordt en jij bent alles kwijt is dat toch echt jou probleem en niet van de hoster, 9 van de 10 keer is vps eigen beheer dus ook eigen risico )

Ook de hoster loop risico en niet alleen door het hacken ( dat zou niet een heel groot risico moeten zijn eigenlijk ) maar ook door resource misbruik als je vps gehacked wordt of het instabiel worden van jouw vps waardoor klanten van anderen er last van kunnen hebben.

De makkelijkste optie voor je is upgraden, dat jij geen sla hebt met je klanten is grof gezegd niet het probleem van de hoster, die levert een serverice (vps) en zorgt er actief voor dat het allemaal blijft draaien. Ik vind ook nog dat hij erg netjes is. als ik hem was en je update het niet had ik met inname van het opzegtermijn toch echt het hosting contract opgezegd als je niet update

[croontje]

Zoals ik het begrijp heeft hij een virtuele server (VPS) en beweert de host dat de fysieke server gehacked is door een kwetsbaarheid in zijn CMS. Ik dacht dat een VPS een virtuele machine was en bijgevolg vind ik het sterk dat dan de fysieke server gehacked kan worden door een fout in een CMS op een virtuele server...

Waarschijnlijk zit ik verkeerd met mijn veronderstelling VPS == virtuele machine aangezien men hierboven zegt dat het hacken inderdaad mogelijk is. Maar toch even bevestiging vragen

[Rmg]

croontje schreef op woensdag 10 augustus 2011 @ 10:14:
Zoals ik het begrijp heeft hij een virtuele server (VPS) en beweert de host dat de fysieke server gehacked is door een kwetsbaarheid in zijn CMS. Ik dacht dat een VPS een virtuele machine was en bijgevolg vind ik het sterk dat dan de fysieke server gehacked kan worden door een fout in een CMS op een virtuele server...

Waarschijnlijk zit ik verkeerd met mijn veronderstelling VPS == virtuele machine aangezien men hierboven zegt dat het hacken inderdaad mogelijk is. Maar toch even bevestiging vragen

nee de host beweert dat hij gehacked kan worden door onveilige software op de vps.

Nou is er deels een waarheid in: als jij via een cms toegang kan krijgen op een vps, dan is/wordt het makkelijker om de fysieke server te hacken. (risico)

het is ook nog eens zo dat je met een corrupte vps het fysieke serversysteem over de zeik kunt helpen wat ook niet fijn is voor de hoster

[Backspace-NL]

Tenzij er lekken zijn in de virtualisatie software die gebruikt wordt, of deze brak is opgezet, kan ik mij niet voorstellen dat het mogelijk is om de fysieke server te 'hacken'. Maar goed, het is inderdaad altijd een risico natuurlijk om software te draaien die lek is - stel je voor dat ze toegang krijgen en jouw mooie VPS systeem gaan gebruiken voor andere zaken die minder leuk zijn.

[kKaltUu]

Backspace-NL schreef op woensdag 10 augustus 2011 @ 10:25:
Tenzij er lekken zijn in de virtualisatie software die gebruikt wordt, of deze brak is opgezet, kan ik mij niet voorstellen dat het mogelijk is om de fysieke server te 'hacken'. Maar goed, het is inderdaad altijd een risico natuurlijk om software te draaien die lek is - stel je voor dat ze toegang krijgen en jouw mooie VPS systeem gaan gebruiken voor andere zaken die minder leuk zijn.

Er wordt in hostingsland heel snel met de term VPS gegooid, terwijl veel boxen shared hosting zijn.

[NMe]

Je hoster heeft gelijk en afhankelijk van zijn algemene voorwaarden kan hij je server ontoegankelijk maken totdat jij je lekken oplost. Hij kan moeilijk al zijn klanten in gevaar brengen omdat jij te laks bent om wat software te upgraden.

Dit heeft verder niks met programmeren te maken en ik vraag me dan ook af wat je vraag in dit forum doet. Hij zou beter passen in Beveiliging & Virussen of zelfs in Internetproviders en Hosting maar aangezien je vraag al beantwoord is ga ik dit topic niet verplaatsen maar op slot zetten. Als je een vervolgtopic wil openen dan kan dat, maar dan wel graag op de juiste plek.