Monitorowanie i zagrożenia Joomli

[ZOOMxm7]

Witajcie! To mój pierwszy post Niedawno zacząłem kombinować z Joomla! ;) Joomla 1.5.23. Podoba mi się ;) Coś tam wstępnie już mam. Chodzi jednak o to, że na stronę wchodzi często jakiś Rosjanin. A boję się tego troszkę, bo słyszałem wiele, że Rosjanie potrafią znaleźć słabe strony Joomla i wykorzystać to. Nie mówię, że ten akurat jest zły, ale Wchodzi z przeglądarki Opera 10.63, ma Windows 7 i rozdzielczość tylko 800 x 600! Co już jest dla mnie podejrzane. Prawda? A jak szukam w whos ip, to wyskakuje mi: Latitude i Longitude bardzo "równe", powiedzmy 55' 00'' 00'' i 40' 00'' 00'' co też jest dziwne!

Przechodząc do setna. Ściągnąłem i zainstalowałem Loginfailedlog_1.5.3_J15! Uaktywniłem. Ale mam też kSecure i nie wiem czy to zadziała? Chyba nie Jak mogę śledzić wszystkich co próbują coś mi grzebać przy mojej stronie? Mam Piwik, ale on nie łapie jak ktoś wpisze mojastrona.pl/administrator. Chyba, że można to jakoś ustawić? Słyszałem by sprawdzać logi. Jakie logi? w cPanel? Jak to robić? Na co zwracać uwagę?

Mam hosting i tam w cPanel mam możliwość ustawienia Ochrona katalogów. Mogę założyć hasło na katalog administrator? To coś pomoże? Jest też Leech protect. Ktoś wie o co chodzi? Jakie katalogi chronić w ten sposób? Czy to coś daje? W czymś to przeszkadza? Na przykład w tworzeniu backup?

Jakie pliki powinny mieć chmod mniejsze niż 644 czy 755? Czytałem na tym forum kiedyś, że configuration.php można dać Permission 400? Jak się nic nie zmienia w ustawieniach? Czy to prawda? Gdzie jeszcze dać 400? .htaccess? .ftpquota? CHANGELOG.php?

Jeśli jest hacker i chce się włamać, nie ma sensu blokować po IP całą Rosję? Tak? Bo oni i tak wejdą przez proxy? Prawda to? To co zrobić?

A czy da się ręcznie, czy z pomocą PSPad i Renamer zmienić adres panelu administratora w Joomla? Ktoś próbował? Powiedzmy na 20 znakowy, ze znakami specjalnymi. Ktoś próbował? Awykonalne?

Jak sprawdzić czy ktoś nie wcisnął mi złośliwego kodu w któryś plik .php albo w MySQL? Czy są jakieś pluginy czy coś, które to sprawdzą?

I ostatnie... Jak chronić MySQL? Zainstalowałem plg_marcosinterceptor11j15.zip Ale jak jeszcze mogę? Zmieniłem _jos na coś innego. Co jeszcze? Ile znaków mogę te przedrostki? Ktoś wie? _jos = 3, teraz mam 5. Da się więcej? Jakieś problemy jak więcej? Za długo szuka czy coś?



Proszę potraktujcie mój post poważnie, bo zebrałem tu dużo pytań. Myślę, że ważnych. Niech to będzie pomoc dla innych. Pozdrawiam i proszę o POMOC!

[zwiastun]

Odpowiedzi na wszystkie Twoje pytania zajęłyby kilka stron. Czy sądzisz, ze ktoś je napisze?
Na wiele z tych pytań bądź odpowiedzi, bądź wskazówki znajdziesz w dziale Bezpieczeństwo na www.wiki.joomla.pl. Na inne, np. dotyczące dostępnych komponentów chroniących witrynę czy umożliwiających monitoring znajdziesz odpowiedzi, przeglądajac odpowiedni dział katalogu rozszerzeń Joomla! (http://extensions.joomla.org)

[Gall Anonim]

Do chowania zaplecza komponent Jsecure - cena jakieś 8$
Efekt - jak ktoś wpisze www.domena.pl/administrator to wywala do albo na stronę startową albo na zdefiniowany adres - czyli np stronkę z hasłem: nie znaleziono adresu itp.
Faktyczna ścieżka dostępu do zaplecza to www.domena.pl/administrator/index.php?słowoklucz
Ponadto - możesz schować identyfikatory Joomla (usunąć lub wprowadzić dowolną inną nazwę: np. generator: Fbapo)
Co jeszcze - na pewno plugin spadaj autorstwa Joli
No i jakiś przyzwoity Firewall /płatny/
No i automatyczna kopia np.akeeba co powiedzmy trzy, może siedem dni.
Dodatkowo wrzuciłbym jeszcze szyfrowanie wszystkich haseł dodatkowe RSA na powiedzmy poziomie 2048
Na początek powinno wystarczyć.
Pzdr

[pyziak]

A czy da się ręcznie, czy z pomocą PSPad i Renamer zmienić adres panelu administratora w Joomla? Ktoś próbował? Powiedzmy na 20 znakowy, ze znakami specjalnymi. Ktoś próbował? Awykonalne?

np: http://extensions.joomla.org/extensi...otection/15711
i poczytaj na wiki jak radzi @Zwiastun

[ZOOMxm7]

Hey Zwiastun! Mam nadzieję, że napiszecie... Każdy coś Raz na rok takie podsumowanie myślę, że się przyda. Przebijałem się przez Wiki. Ale tu masz kawę na ławę

Gall... kSecure to samo, tylko gratis. A plugin Joli gdzie mogę znaleźć? Te identyfikatory da się schować, zamienić w łatwy sposób? Czy PSPad potrzebuję? Szyfrowanie wszystkich haseł i RSA? Masz na myśli hasła userów? RSA?

Pyziak... AdminExile, kSecure, Secure Authentication... Czy ufacie tym dodatkom? Nie da się ich łatwo obejść? Zauważyłem jedną rzecz... Jak loguję się drugi raz z przeglądarki (po wylogowaniu), to wystarczy wpisać mojastrona.pl/adminstrator Dodatkowa ścieżka "znika!"... Haker może więc mieć jakieś zaplecze z Joomla na serwerze i podmienić odpowiednie pliki w tymczasowych - czy jak tam. Mają swoje sposoby. I to chyba można łatwo? Nie znam się, ale tak myślę.

A jak z ochroną katalogów z poziomu cPanel? To ma sens?



P.S. Loginfailedlog_1.5.3_J15 działa z kSecure. Jak ktoś jakimś cudem (niecudem) trafi do panelu admina i źle wpisze hasło/login dostaniecie maila z jego IP i co wpisywał. Tak więc DOBRE to Och by było takie coś na całą niepożądaną aktywność na stronie A ten dodatek znalazłem na blogu Elimu i dzięki mu za to!

Piszcie jeszcze proszę. Dla wszystkich, a nie tylko dla mnie.

[Gall Anonim]

@ZOOMxm7
a. jSecure - bez żartów - szkoda Ci 8 $ na bezpieczeństwo?
b. Plugin Joli - wielokrotnie opisywany i linkowany na forum a jest sobie w plikowni Joomla
c. Zmienić/schować Joomla - wystarczy wrzucić w google hasło i poczytać
d.RSA - Google i j.w - komponent do krypto wszystkich haseł jest na JED
Sorki - nie pracuję jako kelner w restauracji Joomla
Pzdr

[ZOOMxm7]

Gall nie przejmuj sie, naprawdę Nawet nie pomyślałem, że miałbyś być kelnerem. Przecież jestem wdzięczny za Waszą pomoc. A gdyby każdy z Google korzystał to po co to fajne forum? To jSecure jest o tyle lepsze od kSecure, że warto wydać te 8 baksów? Bo ja nie wiem o różnicach i dlatego pytam. DZIĘKI!

[Gall Anonim]

Gall nie przejmuj sie, naprawdę Nawet nie pomyślałem, że miałbyś być kelnerem. Przecież jestem wdzięczny za Waszą pomoc. A gdyby każdy z Google korzystał to po co to fajne forum? To jSecure jest o tyle lepsze od kSecure, że warto wydać te 8 baksów? Bo ja nie wiem o różnicach i dlatego pytam. DZIĘKI!

Po prostu - podstawowa zasada to wskazówki, a nie podawanie wszystkiego na tacy - ponadto przyjęte jest że nie powiela się wątków które już są, a po za tym należałoby przynajmniej na początek przejrzeć dział bezpieczeństwo w plikowni Joomla lub JED.
Co do tego który lepszy komponent - licho wie - jeden lubi blondynki a drugi rude i bądź tu mądry - ja używam jsecure i jestem zadowolony bo miałem raptem jedną wpadkę i to raczej totalny nie fart - w trakcie zmiany konfiguracji wyłączyli mi prąd no i w efekcie zablokowałem sobie dostęp ,
a 8 $ to raptem jedno kino :-)
Pzdr