Новости Joomla

Вышли релизы безопасности Joomla 6.1.3 и Joomla 5.4.8

Релиз безопасности Joomla 6.1.3 и Joomla 5.4.8

Проект Joomla! рад сообщить о выходе Joomla 6.1.3 и Joomla 5.4.8. Это релизы безопасности и исправления ошибок для серий 5.x и 6.x.

👩‍💻 WT Otpravkapochtaru - библиотека сервиса Отправка Почты России для Joomla-разработчиков.

👩‍💻 WT Otpravkapochtaru - библиотека сервиса Отправка Почты России для Joomla-разработчиков.

Joomla 5+ пакет для интеграции с API Почты России: нормализация данных, расчёт доставки, создание отправлений, партии, документы, возвраты, поиск отделений, справочники и SOAP-отслеживание.

v.3.0.0. Что нового?
Это дальнейшее развитие ранее закрытой Joomla-библиотеки для работы с API сервиса Отправка (для бизнеса) Почты России. Поэтому версия не 1.0.0, а 3.0.0.

Сейчас эта библиотека ушла от собственных реализаций и стала Joomla-обёрткой известного PHP SDK от Lapay Group.

Возможности библиотеки.
- получение настроек аккаунта, точек сдачи и текущего остатка запросов к API;
- нормализация адресов, ФИО и телефонов перед созданием отправления;
- расчёт тарифа и срока доставки;
- создание, поиск, изменение, удаление и возврат заказов в состояние «Новые»;
- проверка надёжности получателя;
- создание партий, просмотр партий и заказов внутри партии;
- генерация пакета печатных документов и формы Ф103;
- создание, изменение и удаление возвратных отправлений;
- поиск отделений по индексу, адресу и координатам, получение сервисов отделения;
- локальный список стран;
- SOAP-отслеживание операций по РПО и работа с билетами пакетного трекинга.

👩‍💻 Joomla-возможности.
В пакете библиотеки WT Otpravkapochtaru есть поля Joomla Form для расширений. Они позволяют работать в интерфейсе Joomla с некоторыми типами данных, получаемых по API из вашего личного кабинета в ЛК Почты России для бизнеса.
На данный момент в библиотеке доступны 3 поля списков, которые отображают доступные в аккаунте ОПС, типы и категории отправлений.
Поддерживаются зависимые списки: значение одного поля обновляется при изменении другого.

Системные требования.
Системные требования в основном связаны с системными требованиями апстрима библиотеки - LapayGroup PHP SDK.
- Joomla 5+
- PHP 8.3+
- Расширения PHP:
-- ext-mbstring
-- ext-simplexml
-- ext-soap (опционально, для трекинга)
-- ext-zip

Ссылки:
- Страница расширения
- GitHub библиотеки и документация

@joomlafeed

0 Пользователей и 1 Гость просматривают эту тему.
  • 8 Ответов
  • 2239 Просмотров
*

mister_boy

  • Захожу иногда
  • 179
  • 2 / 0
SQL инъекции нужна помощь
« : 13.09.2016, 01:16:30 »
Доброй ночи всем!

На мой сайт заглянули "Робин гуды" которые искали уязвимости с помощью автоматизированных решение для пентеста (Acunetix, DirBuster). Получили доступ к базе MySQL прислав скрины структуры базы и скрины таблицы users. Кроме этого уважаемые сообщили что "имееться раскрытия путей .../public_html/libraries/" Ясное что "Робин гуды" попросили бабла за раскрытие информации об уязвимости.

Как именно был получен доступ к БД - из запросов не видно (их несколько тысяч, часть  - методом POST), но вероятнее всего через SQL инъекцию, так как в этом случае можно вытащить всю структуру БД.
Изменений в файловой структуре не обнаружено.

А теперь знатоки - вопросы:
1) Так и не выяснилось где дыра и как получают доступ в базу. Есть ли умельцы на форуме которые хорошо знают об SQL инъекциях и слабых местах Joomla и шоппинга?
2) Как защищаются коллеги от таких атак? Просто когда идет поиск с помощью Acunetix, DirBuster то создается нехилая нагрузка на сервак и он начинает загибаться и как следствие уходить в даун.

Сайт на Joomla 3.4.8 + JoomShopping 4.12.0
*

voland

  • Легенда
  • 11026
  • 588 / 112
  • Эта строка съедает место на вашем мониторе
Re: SQL инъекции нужна помощь
« Ответ #1 : 13.09.2016, 01:35:24 »
Скорее всего уязвимость в каком-нить левом модуле, плагине или .. (не варезный шаблон то?)

2) Есть антиддос решения, как отдельные тарифы, так и самостоятельно, если речь о VDS\сервере
*

mister_boy

  • Захожу иногда
  • 179
  • 2 / 0
Re: SQL инъекции нужна помощь
« Ответ #2 : 13.09.2016, 01:43:21 »
шаблонов варезных не используем. плагинов и модулей написано под себя достаточно. но как я писал выше по логам видно что использовали автоматизированный поиск инъекций - навалились за 6 часов сайт подгрузили и нашли дырку. Следовательно (помоему разумению) то что писали сами под себя врят ли дырявое - так как автоматизированные ищут дырки в публикуемых расширениях.

По подробнее можно на счет DDOS решений? Это что то типа https://www.cloudflare.com/ ? Если на счет VDS, то нет - мы на обычно хостинге. У нас посещался низкая. Ставить что то дорогое нету смысла. Было бы 5000 уников тогда уж понятно, а у нас и до 800 не дотягивает.

Вообще кому мы нужны со своим мелким сайтом вообще не ясно.
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: SQL инъекции нужна помощь
« Ответ #3 : 13.09.2016, 07:38:31 »
Доброй ночи всем!

На мой сайт заглянули "Робин гуды" которые искали уязвимости с помощью автоматизированных решение для пентеста (Acunetix, DirBuster). Получили доступ к базе MySQL прислав скрины структуры базы и скрины таблицы users. Кроме этого уважаемые сообщили что "имееться раскрытия путей .../public_html/libraries/" Ясное что "Робин гуды" попросили бабла за раскрытие информации об уязвимости.

Как именно был получен доступ к БД - из запросов не видно (их несколько тысяч, часть  - методом POST), но вероятнее всего через SQL инъекцию, так как в этом случае можно вытащить всю структуру БД.
Изменений в файловой структуре не обнаружено.

А теперь знатоки - вопросы:
1) Так и не выяснилось где дыра и как получают доступ в базу. Есть ли умельцы на форуме которые хорошо знают об SQL инъекциях и слабых местах Joomla и шоппинга?
2) Как защищаются коллеги от таких атак? Просто когда идет поиск с помощью Acunetix, DirBuster то создается нехилая нагрузка на сервак и он начинает загибаться и как следствие уходить в даун.

Сайт на Joomla 3.4.8 + JoomShopping 4.12.0

Через SQL иньекции можно достать весь дамп БД, получить логин, пасс от админки и через админку залить шелл, прочитать конфиг БД и в свободном полете зайти уже в пхпмиадмин, где наглядно все видно, само по себе, если нет файловых привелегий, то конфиг нельзя прочитать...

*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
*

mister_boy

  • Захожу иногда
  • 179
  • 2 / 0
Re: SQL инъекции нужна помощь
« Ответ #5 : 13.09.2016, 08:47:29 »
актуальная версия 3.6.2

на счет актуальных версий я вкурсе. не обновлялся, так как на тестовом сайте тестировали не отвалится ли написанные плагины при обновлении + писали новые плагины и хотел разом все сделать. но не успел. Вот как раз думаю есть ли закрытые уязвимости между моей текущей версией и самой новой актуальной. Возможно по этой причине и нашли дыру. Обновляться до актуальных планирую сегодня - но вопрос в другом. Если дыра уже есть, то закроется ли.

Суть вопроса была в том, что может быть есть специалисты тут на форуме которые знакомы с большинством дырок под наш движок - ну и попробовать посмотреть наличие их. За вознаграждение конечно же.
*

mister_boy

  • Захожу иногда
  • 179
  • 2 / 0
Re: SQL инъекции нужна помощь
« Ответ #6 : 13.09.2016, 08:48:23 »
Через SQL иньекции можно достать весь дамп БД, получить логин, пасс от админки и через админку залить шелл, прочитать конфиг БД и в свободном полете зайти уже в пхпмиадмин, где наглядно все видно, само по себе, если нет файловых привелегий, то конфиг нельзя прочитать...

так что посоветуете сделать то?
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: SQL инъекции нужна помощь
« Ответ #7 : 13.09.2016, 08:56:21 »
Суть вопроса была в том, что может быть есть специалисты тут на форуме которые знакомы с большинством дырок под наш движок - ну и попробовать посмотреть наличие их. За вознаграждение конечно же.
Обращайтесь ссылка в подписи.
п.с.
И кто сказал что это SQL инъекция ? Просто получили доступ к файлу конфига Joomla, где указаны данные доступа к БД.
« Последнее редактирование: 13.09.2016, 09:10:07 от draff »
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: SQL инъекции нужна помощь
« Ответ #8 : 13.09.2016, 19:57:38 »
Суть вопроса была в том, что может быть есть специалисты тут на форуме которые знакомы с большинством дырок под наш движок - ну и попробовать посмотреть наличие их. За вознаграждение конечно же.
Вознаграждения может и не хватить  ;) ни кто просто так такие работы не выполняет, по ищите школьников, найдут но конечно не все. Правильно подмечено нужен только конфиг. А SQL если и были то по стандарту бот прошелся и будет приходить, стоит все обновить и не париться. Но сейчас в вашем случае придется проверять на наличие шелов, которые обязательно уже есть.

оно вам надо искать то, после драки кулаки не чешут
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Помощь в настройке Eyesite

Автор Ingener

Ответов: 29
Просмотров: 8899
Последний ответ 07.12.2023, 13:44:45
от master-smeta
Фонтомные страницы ( нужна помощь )

Автор ks8re

Ответов: 14
Просмотров: 1682
Последний ответ 01.04.2017, 10:06:41
от maximm
нужна помощь

Автор bursnab

Ответов: 1
Просмотров: 1379
Последний ответ 12.09.2016, 07:46:02
от Taatshi
Нужна помощь! Вирус на сайте

Автор samarskii

Ответов: 7
Просмотров: 1687
Последний ответ 26.11.2015, 19:24:30
от jlend
Помощь по защите CAPTCHAми

Автор Crazy...

Ответов: 4
Просмотров: 1569
Последний ответ 15.10.2014, 00:25:08
от busik