THEMA:

Salut miteinander

Letzte Woche habe ich zwei Anfragen wegen gehackten Seiten bekommen. Bei beiden wurden zwar fleissig die neusten Joomla- Updates gemacht, aber leider wurden die Komponenten links liegen gelassen. Bei beiden Seiten wurde über einen alten JCE GIFs mit PHP- Code eingeschleust, womit das Script- Kiddie eine Backdoor hatte. Dies wurde automatisiert gemacht und erst Wochen später wurden die Seite verschandelt.
Ich würde mal behaupten, dass dieses Vorgehen ziemlich normal ist.
Deshalb kam mir die Idee, dass es wohl ziemlich sinnvoll wäre, wenn man alle Files einer Joomla- Installation überwachen würde und bei Änderungen eine E-Mail an den Webmaster generieren würde.

Dazu wäre wohl ein Script, welches einen Hash von allen Directories (rekursiv) macht, diesen mit dem Hash der letzten Durchführung vergleicht und per Cronjob alle paar Stunden angesprochen wird, das sinnvollste. Leider ist mir momentan noch keine gute Umsetzung in den Sinn gekommen, welche bei der Ausführung kein Time-Out nach sich zieht. Das Problem ist halt schon, dass die ganze Joomla- Installation doch einige Files beinhaltet...

Ist da jemand schon weiter und hat so ein File Monitoring System bei Joomla im Einsatz?

Ich mach mal Schleichwerbung: www.akeebabackup.com/products/46-softwar...vs-professional.html

Aber Setzt doch die Dateirechte auf 444 dann kannste auch viel bewirken.

Hoi Farrell

Vielen Dank für deinen Tipp mit Akeeba!
Ich verstehe leider deren Lizenz- System noch nicht ganz. Soweit ich das verstanden habe, bekomme ich für 20 Euro ein Jahr Zugriff auf deren Download- Portal plus in dieser Zeit auch Support. Kann ich die Komponente auch danach noch einsetzen und auf wie vielen Seiten darf die Komponente verwendet werden?

Zu deinem Tipp mit den Dateirechten. Ja, du hast recht, damit kann man schon einiges bewirken. Allerdings schützt es einem nicht davor, dass der eigenen Webspace als Speicher für fremde Inhalte benutzt wird. Dies wurde bei einer dieser gehackten Seiten gemacht. Es wurden keine Joomla- Dateien verändert, allerdings wurde im Ordner language eine Art Repository eingerichtet, auf dem der Quellcode einer relativ grossen Software hinterlegt war...

Ach ja: Ich habe mich selbst ebenfalls ein wenig erkundigt und bin bei Eyesite hängen geblieben. Das System macht so ziemlich genau das, was ich haben möchte: Alle Dateien innerhalb des Joomla Verzeichnis werden beim aufrufen eines in der Komponente befindlichen PHP- Scirpts via Hash überprüft. Sobald eine Datei hinzugefügt, gelöscht oder bearbeitet wurde, schlägt das System durch eine E-Mail an mich alarm. Ich sehe dann, um welche Datei es sich handelt und kann im BackEnd die Änderung als unschädlich/absichtlich identifieren oder ansonsten die notwendigen Schritte einleiten.
Das Script rufe ich nun durch einen Cronjob alle zwei Stunden auf. Was auch toll ist: Die Komponente läuft sowohl auf J1.5 wie auch auf J2.5

Du kannst die Software solange und auf sovielen Seiten benützen, wie du Lust hast, nach einem Jahr hast du einfach keinen Zugriff mehr auf Updates.

Im Übrigen, hast du dich hier schon umgesehen? Ich denke, es lohnt vielleicht, wenn du auch Security Check anschaust.

Hoi Chris

Danke für dein Post. Ich habe mich tatsächlich schon auf der offziellen Joomla Extension Seite umgesehen. Was mir dabei aufgefallen ist, ist dass bei den meisten Site Monitoring Systemen nur einzelne (zwar wichtige) Dateien auf Beeinträchtigungen gecheckt werden. Das macht den Check zwar wesentlich schneller und weniger ressourcenfressend, allerdings scheint mir das schlussendlich nicht die optimale Lösung.
Ich sehe es mal wie folgt: Wenn ein talentierter Hacker unbedingt eine (Joomla-) Seite von mir hacken möchte, dann schafft er das auch. Da mache ich mir eigentlich gar keine Illusionen.
Was ich umgehen möchte: Ich möchte von keinen Massen Hacks betroffen sein. Wenn immer alles schön aktuell gehalten wird, sollte das auch nicht passieren. Trotzdem kann es ja mal sein, dass einzelne Komponenten nicht aktuell gehalten werden oder dass zu einer Sicherheitslücke schon ein Fertig- Hack- Script besteht, aber das Loch noch nicht gestopft wurde.
Wenn dann so ein Fall eintritt, so ist es sehr wahrscheinlich, dass das Loch in einem ersten Schritt ausgenutzt, eine Backdoor auf dem Server hinterlegt und dem Script- Kiddie Meldung darüber erstattet wird.
Bis das Script Kiddie kommt und tatsächlich Probleme macht, vergeht nochmals einige Zeit (evtl. ein paar Tage). In dieser Zeit möchte ich schlimmeres verhindern.

Wenn ich nun aber ein System habe, welches mir nur Meldung erstattet, nachdem systemrelevante Dateien verändert wurden, ist es schon zuspät...