25 декабря в папке tmp появились файлы j.php и jos_core.php, в каком компоненте уязвимость? - Безопасность сайтов на Joomla

25 декабря в папке tmp появились файлы j.php и jos_core.php, в каком компоненте уязвимость? Joomla 1.5.25, сайт был ранее взломан через JCE, восстановил с бекапа и обновил версию JCE на последнюю.

та же самая проблема. Хостер прислал письмо Malicious Files Detected on your Account со списком где файлы обнаружены. Везде в папке tmp

apelsin, maxpa, обновитесь до 1.5.26. Список установленных компонентов?

Версия Joomla 1.5.26
Установленные компоненты
Advanced Module Manager 2.4.2
Admintools   2.2.4   
Akeeba 3.4.3
JCE 2.3.1
PhocaMaps   1.1.2   
SeoBoss 1.4r3
SEO Boss Installation Bundle 1.4r3   
Xmap 1.2.11

уязвимость в Advanced Module Manager старых версий была

таже самая проблема

установлены

Версия Joomla 1.5.26
Установленные компоненты
Advanced Module Manager 2.4.2    February 2012 (вроде бы не сильно старая)    NoNumber! (Peter van Westen)  

как лечить?

Вообщем что сделал я. Снес Advanced Module Manager и перетряс другие компоненты, модули и плагины на устарелость. Ненужные тоже посносил. Почистил папку tmp. Поставил Admin Tools от Akeeba. С ее помощью запаролил  админ-директорию, изменил префиксы в базах, сменил стандартную учетку админа, проставил разрешения на файлах и папках на хостинге. Естественно везде поменял пароли. Может это параноя, но мне так как то спокойнее)))

Кому интересно продолжение истории - сегодня совершенно случайно на одном из своих сайтов (на нем файлик в папке tmp был удален самым последним) обнаружил код <iframe style="position:fixed;top:0px;left:-550px;" src="http://*********" height="90" width="90"></iframe> в куче .js файлов. Сижу чищу(((

значит не всех выловили

Вычистить не удалось. Строка с кодом появляется снова. Дописывается в конце кода .js файла. Хостер тоже помочь ничем не смог. Хорошо, что был под рукой бэкап. Восстановил сайт из него.

shell ищите, как его удалите появляться перестанут 
сканер в подписи

Спасибо за наводку. Обязательно попробую при случае. Пока необходимость лечения, благодаря бэкапам, отпала.)

maxpa

история один в один. включая js файлы. а какой у вас хостер, если не секрет?

maxpa

история один в один. включая js файлы. а какой у вас хостер, если не секрет?

Хостинг webhostinghub.com, но думаю дело не в нем. Я где то тут уже писал - обнаружил на основном сайте аккаунта старые версии компонентов JCE и Advanced Module Manager, а в JCE как раз уязвимость есть. Видимо из-за них проблема распространилась на все сайты аккаунта. Единственное, в чем минус этого хостера - техподдержка по поводу  фрейма лишь развела руками, тогда как другой хостер (тоже американский) прислал на почту уведомление о подозрительных файлах, и даже сам все пофиксил без моего вмешательства.

Могу огорчить, у меня такого нету. Но совпадает все, вплоть до дат и названий файлов. Среди других компонентов тоже нет совпадений, у меня таких нет. Advanced Module Manager тоже нет. А вот Joomla 1.5

если нет совпадения, то либо всетаки редактор JCE, либо другое расширение, и возможно версия движка ниже актуальной 1.5.26
если она до 1.5.22 это тоже не гуд

человек вон пишет на 1.5.26 тоже самое. JCE редактора у меня вот нету.

как найти shell при повторном заражении:
1. смотрите время изменения вашего JS-файла (вплоть до секунды)
2. смотрите логи доступа апача - какие скрипты вызывались в эту секунду.

всё, то что в этот момент вызывалось - там и есть shell. Не подойдёт только для очень посещаемых ресурсов.

ага, только ничего не помешает в дальнейшем залить шеллы заново, тк уязвимость осталась.

а вот когда зальют заново, то вы сможете узнать этим-же способом через что залили. Только вот так по цепочке....
если у вас конечно логи доступа не хранятся за пол года

человек вон пишет на 1.5.26 тоже самое. JCE редактора у меня вот нету.

может сайт не первый раз ломают
есть ошибка что раньше ни кто не писал про поиск и удаление утилит при подмени индексной страницы, все только её меняли назад и все, а shell остался у многих таких, но есть умельцы которые даже не ломают сайты просто пускают бота и он находит эти не удаленные утилиты (называю просто не дочистили)
не приходит ни кому мысль что shell могли и залить год два три назад, а сейчас бот нашел его и его сменили на другой или успешно старым воспользовались, и до этого не стояла у него версия 1.5.26(а после хоть заобновляйя если он там полеживает как на курорте), или есть соседние сайты через которые ломали, а сломав один сайт зальют во все соседние
про логи совет вам написали, но это как стандарт с чего надо начинать поиск(о нем и ни кто не упоминает потому что уверены что поиск ведется с их анализа), еще многие экономят, а хостеры ограничивают, !важно логи должны вестись максимально годами, минимум 60-90 дней

Мне хостер опять прислал сообщение о подозрительных файлах в папке tmp.

Хостер потер указанные в сообщении файлы в папке tmp. Я там нашел только j.php, который тут же удалил))На этот раз все подозрительные компоненты с сайта были удалены. Правда заметил один интересный момент. В папке plugins/editors лежал файлик JCE.php хотя сам компонент деинсталлирован с неделю назад. Дата создания файла 16.11.2012 в 2-37 в папках 4х разных сайтов. Может в нем причина?

2. смотрите логи доступа апача - какие скрипты вызывались в эту секунду.

до секунды- это лишнее, + не всегда так. Да, очень вероятно, что уязвимость была использована пару сек до создания этого файла или в туже секунду, но не факт, что этот файл залили сразу из дырочки, ведь могли из дырочки залить вэбшел сначала куда-то, а потом уже из него через час, день, неделю ... залить уже этот PHP в папку tmp.

человек вон пишет на 1.5.26 тоже самое. JCE редактора у меня вот нету.

хороший урок переходить с 1.5 на стабильную ветку Joomla + обновлять расширения постоянно!  С версии 2.5. для таких вот пользователй как раз сделали онлайн проверку версий и обновлений.

UPD: Era, надо такие темы в топку кидать, т.к. версия джумлы не поддерживаемая + пользователи в 99% случаев не имеют достаточного уровня для выявления дырки и её залатывания. Как считаешь?

UPD: Era, надо такие темы в топку кидать, т.к. версия Joomla не поддерживаемая + пользователи в 99% случаев не имеют достаточного уровня для выявления дырки и её залатывания. Как считаешь?

Я тоже считаю что надо завести одну тему прикрепить, а остальные вновь созданные темы в топку кидать а в той теме все случаи разбирать.

хороший урок переходить с 1.5 на стабильную ветку Joomla + обновлять расширения постоянно!  С версии 2.5. для таких вот пользователй как раз сделали онлайн проверку версий и обновлений.

извините конечно, но не актуальное заявление, и переход не поможет из опыта ломают и 2.5 еще и больше чем 1.5, а сайты даже на 1.0 если за ними следят и 1.5, есть множество случаев что не ломают

Если многие поддерживают, то раздел почищу и тему создам, прикрепим её и буду всех туда сливать.

Ага, переходите на новые версии и все будет ок - странное заявление. Ладно, если еще один сайт, можно, раз уж это всегда утверждают. А если несколько штук, да еще двузначное число - никто не будет таким заниматься ради мнимой защиты новых версий.

Тоже нашел у себя эти два файлика Сайт на Joomla 1.5.26, стараюсь постоянно обновлять компоненты и модули. Но не это интересно, а следующее.

В папке images/stories лежал файлик add.php с интересным содержанием

Все эти указанные файлы присутвовали в указанных папках. Только некоторые были под другими именами, но также из одной аглийской буквы и все пустые (смотрел через Notepad++). Вот такие вот плюшки

на J 2.5.6. та же байда - от версии не зависит. Причём где получается с помощью удаления JCE и replace.php почистить, а где нет.