Как выявить вредоностный код на CMS Joomla? - Безопасность сайтов на Joomla

Статья Joomla Community Magazine 2015 года, но тема в ней актуальна была и до и после её публикации. Проблема, которая поднимается в этой статье касается не только Joomla, но и любого программного обеспечения.

Каждый раз, когда выходит новая версия всегда найдутся люди, спрашивающие: "Когда они это починят?". Или вопиющих: "этой проблеме уже много лет!". Но для того, чтобы ошибку исправить нужно чтобы кто-то её обнаружил. И не только обнаружил, но и сообщил об этом. Тогда вероятность того, что ошибку исправят будет гораздо выше.

Давным-давно, когда Joomla ещё была маленькой, в неё внедрили параметр $live_site. В ней хранился домен текущего сайта на случай, если Joomla не могла его определить из-за неверной настройки сервера. Нужно это было для разных SEO-компонентов, для использования редиректов и т.д.

Со временем для работы собственно сайта этот параметр перестал быть нужным. Уже в начале 2010-х стали встречаться рекомендации оставлять этот параметр пустым, дабы оный не привёл к лишним проблемам и путанице. Тем более, в web-админке нет места, где его можно указать или посмотреть его значение. Только в configuration.php, а туда смотрят не часто.

Однако, параметр всё же остался в ядре Joomla. Зачем он нужен? А нужен он в 2-х случаях:

• для работы класса Joomla\CMS\Uri\Uri, который часто используется в коде Joomla для работы методов
  Uri::root() и
  Uri::base(), а значит может влиять и на работу в том числе ajax-скриптов.
• для работы Joomla в CLI - командной строке сервера. В случае если вы используете в вашем CLI-плагине методы опять-таки класса Uri, то CLI ничего не знает о текущем домене, так как запускается вне web-сервера.

Поэтому домен нужно указывать принудительно. Либо с помощью параметра командной строки

⚠️ Иначе в качестве хоста и url класса Uri будет установлено https://joomla.invalid/set/by/console/application. В самом же коде команды получить параметр

<?php
protected function doExecute(InputInterface $input, OutputInterface $output): int
    {
         //...
              $live_site = $this->getApplication()->get('live_site');
         //...
    }

и исходя из этого строить дальнейшую логику.