Гонял вирусы на сайте (вернее, PHP-Shell) - краткий отчет - Безопасность сайтов на Joomla

Ну а что толку то почистели?, нужно еще и профилактику по предотвращению сделать! по обнаруженному файлу td.php смело могу заявить что залились к вам через JCE, на днях видел эксплоит который работает с этим названием, следовательно вам надо ставить патчь под него, ну и кучу всего, инфы на форуме для этого достаточно!

О, спасибо, там кажется как раз JCE и стоит (был по крайней мере), завтра посмотрю. Кажется, через JCE где-то у меня уже было что-то

Залез, заменил JCE на старенький редактор JoomlaFCK ... слышал что он тоже дырявый, но модет быть получше все таки

Достаточно было поставить патчь на JCE, если капнуть и на JoomlaFCK что нить найдется, даже вроде что то было!

Я упоминал, там стоит еще Joomla 1.0.15, и JCE соответствующий (версия 1.ХХ.ХХ какая-то). так что патчей никаких нет. Знать бы что руками поправить, я бы сделал. Плохо, что, видимо, придется отказаться от JCE  - там у них несколько сайтов, все старые, на всех одинаковый JCE, а сотрудница, которая при них сидит, обучена как раз пользоваться JCE (а переучиваться ей уже поздно - возраст не тот

  defined( '_JEXEC' ) or die( 'Restricted access' );

   $user = &JFactory::getUser();
   if ((@$_GET['option'] == 'com_jce') || (@$_POST['option'] == 'com_jce')) 
   {
	if (($user->usertype != "Super Administrator") &&
   	    ($user->usertype != "Administrator")) {
            die('<h1>Access Denied</h1>');
        } 
   }

$mainframe->initialise();

Вот так выглядит патчь от автора ai-bolit'a:

Код

  defined( '_JEXEC' ) or die( 'Restricted access' );

   $user = &JFactory::getUser();
   if ((@$_GET['option'] == 'com_jce') || (@$_POST['option'] == 'com_jce')) 
   {
	if (($user->usertype != "Super Administrator") &&
   	    ($user->usertype != "Administrator")) {
            die('<h1>Access Denied</h1>');
        } 
   }

вам остается посмотреть соответствуют ли классы вашей версии с классами патча, если нет, то просто переправить и отдельным файлом про инклудить в индекс после строчки

Код

$mainframe->initialise();

согласно описанию патча, он тестировался на версиях 1.5.х и 2.5.х

Вот так выглядит патчь от автора ai-bolit'a:

Код

  defined( '_JEXEC' ) or die( 'Restricted access' );

   $user = &JFactory::getUser();
   if ((@$_GET['option'] == 'com_jce') || (@$_POST['option'] == 'com_jce')) 
   {
	if (($user->usertype != "Super Administrator") &&
   	    ($user->usertype != "Administrator")) {
            die('<h1>Access Denied</h1>');
        } 
   }

вам остается посмотреть соответствуют ли классы вашей версии с классами патча, если нет, то просто переправить и отдельным файлом про инклудить в индекс после строчки

Код

$mainframe->initialise();

согласно описанию патча, он тестировался на версиях 1.5.х и 2.5.х

Токо что админ отписался - переделал в apache все так, что статика отдается через одного владельца, php работает как другой, а apache чисто как номинальный владелец, до процесса apache дело вообще не доходит. Надеемся, хоть временно поможет

Если я правильно понял, суть сделанных вами действий, то тут вообще помойму реверсом попахивает, чревато когда несколько сайтов на одном сервере...

Я на время поиска шелла, включил бы PHP как модуль, чтобы PHP не имел права писать в файлы .
Или просто запрет на запись в каталог/файлы.А в нужные папки, для записи кеш, картинок, положить файл с запретом на исполнение скриптов

включил бы PHP как модуль

файл с запретом на исполнение скриптов

draff, не могли бы разъяснить подробнее? Вот это  и вот это .

RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml

файл .htaccess пжлста

Код

RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml

Куда можно положить этот файл для постоянного нахождения там. кроме папки /images? Можно ли так защитить папку с шаблоном? Повлияет ли это на запись файлов по ftp?

Куда можно положить этот файл для постоянного нахождения там. кроме папки /images? Можно ли так защитить папку с шаблоном? Повлияет ли это на запись файлов по ftp?

Order Allow,Deny
Deny from all
<Files ~ "\.(bmp|css|csv|doc|gif|html|jpg|jpeg|js|pdf|png|ppt|psd|swf|tiff|txt|xls|BMP|CSS|CSV|DOC|GIF|HTML|JPG|JPEG|JS|PDF|PNG|PPT|PSD|SWF|TIFF|TXT|XLS)$">
Allow from all
</Files>

В папку с шаблонами я ложу вот такой htaccess работает все на ура, ложу его во все папки кроме administrator

В папку с шаблонами я ложу вот такой htaccess работает все на ура, ложу его во все папки кроме administrator

Это работает также и на подпапки? а что для админки посоветуете?

upd
Проверил, работает и на подпапки. Только мне пришлось для шаблона также добавит ico и woff.

Бейсик-авторизация - слышал. но не знаю. что это.

AuthName "Access Denied"
AuthType Basic
AuthUserFile /[ПОЛНЫЙ ПУТЬ ДО АДМИНКИ]/administrator/.htpasswd
require valid-user