Опасное расширения для Joomla - AdsManager все версии, разработчик не добросовестный!

  • 31 Ответов
  • 1382 Просмотров

0 Пользователей и 1 Гость просматривают эту тему.

*

1-F7

  • Давно я тут
  • ****
  • 209
  • 0
В компоненте Joomla AdsManager обнаружена критическая уязвимость, позволяющая хакеру загрузить на сайт веб-шеллы (бэкдоры или другие произвольные php скрипты).

Файлы загружаются в каталог /tmp/plupload.

Достаточно выполнить один POST запрос, чтобы взломать сайт и получить над ним полный контроль, а на большинстве виртуальных хостингов и над всеми сайтами аккаунта.

В логах веб-сервера атаку можно найти по запросу
Код
index.php?option=com_adsmanager&task=upload&tmpl=component

Данная уязвимость присутствует как минимум в версии AdsManager 2.9.9 (возможно и в более поздних версиях).

Для проверки уязвимости на вашем сайте, достаточно в браузере открыть адрес

Код
http://вашсайт/index.php?option=com_adsmanager&task=upload&tmpl=component


Если результат выглядит так, как на скриншоте ниже, то ждите "гостей" (если, конечно, "гости" уже не пришли).

Настоятельно рекомендуем запретить исполнение скриптов в каталоге tmp, разместив в нем файл .htaccess следующего содержимого
Код
Order Deny,Allow
Deny from All

Это не позволит получить доступ к загруженным файлам. Для сайтов, работающих под nginx необходимо прописать аналогичное правило, запрещающее доступ в /tmp в файле nginx.conf.

Поскольку теоретически в каталог загрузить могут файл .htaccess с разрешающим Allow from All, то более надежно заблокировать доступ к каталогу через ModRewrite в корневом .htaccess, добавив строки
Код
RewriteEngine On
RewriteRule ^tmp/ - [F]
Также рекомендуем обновить компонент AdsManager до самой последней версии.

Если есть подозрения на взлом - проверьте свой сайт сканером AI-BOLIT.

Для интересующихся: видео с процессом взлома.

*

draff

  • Практически профи
  • *******
  • 2739
  • 169
  • step by step


*

1-F7

  • Давно я тут
  • ****
  • 209
  • 0
Многие об этой новости не знают, а устанавливают компонент, через которого потом ломают сайт.


*

dmitry_stas

  • Профи
  • ********
  • 9666
  • 930
так заливают же вроде через фронт?
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

vipiusss

  • Профи
  • ********
  • 5521
  • 318
  • JoomlaNet
закройте папку админки http авторизацией и спите спокойно  ;D
+1!
Что за паника? ...Полез папку закрывать )))
Миграция, установка, обновление версий Joomla  |  Создание сайтов "под ключ"  |  Эксклюзивные заглушки "offline"  |  Работа с "напильником" над шаблонами и расширениями


*

dmitry_stas

  • Профи
  • ********
  • 9666
  • 930
Ниработает )
:) ну значит в актуальной версии уже залатали видимо. судя по тому, что
Новость от 21/07/2015
вероятно разработчики тоже прочли все таки эту новость :)
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

voland

  • Профи
  • ********
  • 9378
  • 421
  • СКАЙП утерян! Пишите в телеграм @volandku
Человек открыл для себя что обновление - это не просто так.
Через пару месяцев может поймет еще важность качать с оффсайтов ))

*

Septdir

  • Практически профи
  • *******
  • 2156
  • 108
  • JoomlaZen
Человек открыл для себя что обновление - это не просто так.
Через пару месяцев может поймет еще важность качать с оффсайтов ))
Ну просвещение не сразу приходит.  Сначала идут злобные хаскеры, потом приходит боль и разочерование и только потом просвещение.
Не можете справиться с задачей сами пишите, решу ее за вас, не бесплатно*.
*Интересная задача, Деньги или Бартер. Натурой не беру!
________
Мои Контакты | JoomlaZen

*

dmitry_stas

  • Профи
  • ********
  • 9666
  • 930
ну наверное все через это в какой то мере прошли :)
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

1-F7

  • Давно я тут
  • ****
  • 209
  • 0
Это разработчики эту уязвимость и создали, чтоб ломать сайты, через папку /tmp/plupload. Вы код с помощью поиска поищите например plupload и убедитесь, что это вина разработчиков.

У меня на Joomla 1.5 стоял этот компонент, заливали файлы и шеллы каждую неделю, не успевал удалять. После удалиось закрыть дыру с помощью удаления одного кода в двух файлах и атаки перестали.

Но я снес полностью сайт на Joomla 1.5 и создал новый на 3.5.

*

dmitry_stas

  • Профи
  • ********
  • 9666
  • 930
вина разработчиков безусловно есть. но не думаю, что это было сделано специально.
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

Septdir

  • Практически профи
  • *******
  • 2156
  • 108
  • JoomlaZen
Но я снес полностью сайт на Joomla 1.5 и создал новый на 3.5.
А вы знали что разработчики Joomla тоже очень недобросовестные, они специально сделали уязвимость 0 дня и залатали только в 3.x и все это ради того чтобы ломать лично ваш сайт. (просто первая которая вспомнилась)

Мне кажется или ТС давно пора снять розовые, без обид.
Во первых у вас был древний один из самых популярных бесплатных движоков с бесплатным компонентом. Чего вы ожидали.
Во вторых вы вините разработчиков которые дали вам на халяву компонент с широким функционалом вы даже морально обвинить их не можете потому что компонент и движок бесплатный.
В третьих как вы не старайтесь не латайте ды они все равно будут. Качнем с главной дыры php один из самых простых языков.
В четвертых даже если вы команду из супер спецов они создадут вам уникальную систему, вы запрете сервер в бункер, отрубите все системы связи, поставите вооруженную охрану. все равно не бывает не уязвимых систем, поэтому и существуют премии за нахождение уязвимостей
В пятых Безопасность - это каждодневный, даже ежечасный труд. Все на что способны меры которые вы делаете пост фактум защитят разве что от ботов, и то на время.
Не можете справиться с задачей сами пишите, решу ее за вас, не бесплатно*.
*Интересная задача, Деньги или Бартер. Натурой не беру!
________
Мои Контакты | JoomlaZen

*

max_1985

  • Завсегдатай
  • *****
  • 598
  • 55
Это разработчики эту уязвимость и создали, чтоб ломать сайты, через папку /tmp/plupload.
Эту тему уже поднимали здесь, более года назад. Разработчики давным давно выпустили версию с исправлением. И эта уязвимость была не только в бесплатной версии, но и в платной, которую я покупал за 100 евро. Так что думаю они не специально это сделали, просто на тот момент не было достаточно опыта чтоб предвидеть такое.
Обновляйте вовремя движек и компонент и будет Вам счастье!


*

Septdir

  • Практически профи
  • *******
  • 2156
  • 108
  • JoomlaZen
Интересно посмотреть на код уязвимости. У кого-то осталась эта старая версия?
Думаю через Google реально найти, нужно только знать какая именно.
Не можете справиться с задачей сами пишите, решу ее за вас, не бесплатно*.
*Интересная задача, Деньги или Бартер. Натурой не беру!
________
Мои Контакты | JoomlaZen

*

b2z

  • Support Team
  • *****
  • 7452
  • 741
  • Разраблю понемногу

*

dmitry_stas

  • Профи
  • ********
  • 9666
  • 930
да не проверяли небось какой файл заливают, и php можно было залить. вот и вся уязвимость

Ну 2.2.9 и ниже. В Гугле 100% будет какой нибудь варез, а нужна просто Free версия.
так устанавливать же не надо, качнуть первое попавшееся и посмотреть что в task=upload происходит. наверняка просто не было проверки.
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций

*

b2z

  • Support Team
  • *****
  • 7452
  • 741
  • Разраблю понемногу

*

1-F7

  • Давно я тут
  • ****
  • 209
  • 0
Заливали кучу файлов зашифрованных.


*

1-F7

  • Давно я тут
  • ****
  • 209
  • 0
Так это разработчик и создал, чтоб чужие сайты ломать.

*

Septdir

  • Практически профи
  • *******
  • 2156
  • 108
  • JoomlaZen
Так это разработчик и создал, чтоб чужие сайты ломать.
Так создайте свое чтоб не ломали. да и вообще об этом известно уже более года и давно залотали. Более того скажу когда обычные люди читают об уязвимости, то об этом уже очень давно знают те кому это нужно, а у разработчиков готовиться апдейт.
Да и мы все делаем расширения чтобы специально ломать ваш сайт.
Не можете справиться с задачей сами пишите, решу ее за вас, не бесплатно*.
*Интересная задача, Деньги или Бартер. Натурой не беру!
________
Мои Контакты | JoomlaZen

*

Septdir

  • Практически профи
  • *******
  • 2156
  • 108
  • JoomlaZen
Эти разработчики специально для взлома сделали компонент, притом кальный.
Да специально для вас, они сделали один самых мощных cck для досок объявлений и на протяжении нескольких лет поддерживали его дожидаясь именно вас. Чтобы через год после устранения одной из 1 000 000 уязвимостьей, взломать ваш сайт на котором они предварительно оставили старую версию.

P.S Очередной топик для свалки.
Не можете справиться с задачей сами пишите, решу ее за вас, не бесплатно*.
*Интересная задача, Деньги или Бартер. Натурой не беру!
________
Мои Контакты | JoomlaZen

*

1-F7

  • Давно я тут
  • ****
  • 209
  • 0
Они это делали на протяжении года. Заливали файлы. Как вы не можете понять разработчик не добросовестный.

*

Septdir

  • Практически профи
  • *******
  • 2156
  • 108
  • JoomlaZen
Они это делали на протяжении года. Заливали файлы. Как вы не можете понять разработчик не добросовестный.
Как бы вам сказать разработчку чтобы вломать ваш сайт юязвимость не нужна =) после установки комопнент уже у вас на сайте, можно творить что хочешь.
Не можете справиться с задачей сами пишите, решу ее за вас, не бесплатно*.
*Интересная задача, Деньги или Бартер. Натурой не беру!
________
Мои Контакты | JoomlaZen

*

b2z

  • Support Team
  • *****
  • 7452
  • 741
  • Разраблю понемногу
Мда, посмотрел я код - красавцы конечно. Единственная проверка:
Код: php-brief
// Clean the fileName for security reasons
$fileName = preg_replace('/[^\w\._]+/', '', $fileName);

*

Ishti39

  • Осваиваюсь на форуме
  • ***
  • 143
  • 8
http://вашсайт/index.php?option=com_adsmanager&task=upload&tmpl=component
у меня белый экран, версия 2.9.13
Учиться учиться и ещё раз учиться