هک شدن سایت های جوملا ایرانی توسط تیم های ترکیه ای

[Pooyan Afzali 41]

درود

از هفته گذشته تیم های ترکیه ای دارن سایت های جوملای ایرانی رو میزنند و متاسفانه سایت ها از کمترین سطح امنیت برخوردار بودند...!!!!

و روی روی همشونم از طریق تزریق شل به مدیریت سایت که یک متدی هست که هکر خودشو جای مدیر سایت جا میزنه استفاده شده

(به دلیل ضعف برنامه نویسی برخی افزونه ها در احراز هویت آپلود کننده فایل ) و از داخل مرورگر اقدام به ارسال شل به داخل افزونه می کنه (البته تا اونجایی که من 4-5 تا رو بررسی کردم) .این متد روی افزونه هایی که داخل مدیریت سایت به کاربر قابلیت آپلود میدند مثل jce ,Ck editor ,phoca gallery و.... اجرا شده

هنوز دقیقا نوع باگ و افزونه خاص مشخص نشده اما بیشتر افزونه های با قابلیت آپلود مورد هدف قرار گرفتند.

لطفا اگه از این جور افزونه ها استفاده میکنید به جدیدترین نسخه ارتقا بدید همچنین امنیت سایتتونو بالاتر ببرید و اینکه با افزونه های بلاک کننده آی پی کشور ها مثل RS Firewall و... تا مدتی آی پی کشور ترکیه رو ببندید اگرم افزونه خاصی در دسترس ندارید براحتی میتونید بصورت دستی این کار رو توسط فایل htaccess. انجام بدید که به صورت زیر هست:

فایل Turkey IP Blockرو دانلود کنید و داخل فایل htaccess. اضافه کنید ،من داخل این فایل کل آی پی های کشور ترکیه رو قرار دادم و با این کار با آی پی این کشور کسی نمیتونه وارد سایت شما بشه

البته هکر براحتی میتونه از وی/پی/ان استفاده کنه و آی پی شو عوض کنه که در این صورت اگه میخواید آی پی کل کشور ها رو بلاک و فقط آی پی های ایران رو به سایت مجاز کنید بجای کد بالا کافیه

فایل Iran IP Allowروداخل htaccess. بزارید (این لیست آی پی مربوط به اخرین تغییرات هست تا جایی که اطلاع دارم حالا اگه با آی پی خاصی از ایران وارد سایت شدید و بلاک شدید کافیه اون آی پی رو مثل بقیه به لیست اضافه کنید

ویرایش شده در آبان 92 توسط Pooyan Afzali

[javad.nagizadeh 10]

با سلام و ممنون از اطلاع رسانیتون

سئوال : اگه سایت من را هک بشه ، با بکاپی که تو سیستم خودم دارم میتونم از طریق هاستم دوباره سایتم را آپلود کنم و سئوال دوم اینکه اگه هاستم هم هک بشه از طریق شرکت فروش هاست میشه هاست را برگردوند ؟

[Pooyan Afzali 41]

با سلام و ممنون از اطلاع رسانیتون

سئوال : اگه سایت من را هک بشه ، با بکاپی که تو سیستم خودم دارم میتونم از طریق هاستم دوباره سایتم را آپلود کنم ؟

بله میتونید..اما فایده نداره که!!! بازم همون آسیب پذیری دوباره ایجاد میشه!! و بازم میتونند از همون روش که هک کردند دوباره هک کنند

سئوال دوم اینکه اگه هاستم هم هک بشه از طریق شرکت فروش هاست میشه هاست را برگردوند ؟

در صورتی که مدیر هاستتون جداگانه از هاست بک اپ گرفته باشه که معمولا بصورت هفتگی انجام میشه،بله میشه برگردوند اما گفتم بازگرداندن بک آپ اصلا مهم نیست بلکه برطرف کردن و جلوگیری از هم شدن

توسط این روش مهمه!

[hosein1367 17]

متاسفانه سایت من در دوهفته اخیر دوبار هک شد

یه بار وارد مدیریت جوملا شده بودن چندتا افزونه ام رو پاک کرده بودن

و دفعه دوم کل هاست رو پاک کرده بودن

الان هر روز دارم بک آپ می گیرم

نمیشه فهمید از کدوم آی پی حمله شده

[Pooyan Afzali 41]

متاسفانه سایت من در دوهفته اخیر دوبار هک شد

یه بار وارد مدیریت جوملا شده بودن چندتا افزونه ام رو پاک کرده بودن

و دفعه دوم کل هاست رو پاک کرده بودن

الان هر روز دارم بک آپ می گیرم

نمیشه فهمید از کدوم آی پی حمله شده

بک آپ فایده نداره بازم میان هک میکنند

از مدیر سرور بخواید لاگ آی پی های مهاجم رو شناسایی کنه

[proma 10]

جوملا آپدیتی برای این نداده؟

[rezabaghaie 17]

من یکی دو ماه پیش هشدار داده بودم در این مورد

هشدار جدی امنیتی!!! پسوردهایتان رو تعویض کنید + این ip را بلاک کنید!!

ممنون بابت IP ها

[مسعود 11]

حالا اگر هک بشم می دونم از ایران هک شدم. سارق ، خودیه [shamshir]

[Pooyan Afzali 41]

جوملا آپدیتی برای این نداده؟

ارتباطی به هسته جوملا نداره

باگ priv8 از افزونه ها دارن

[Pooyan Afzali 41]

جوملا آپدیتی برای این نداده؟

ارتباطی به هسته جوملا نداره

باگ priv8 از افزونه ها دارن

[Pooyan Afzali 41]

من یکی دو ماه پیش هشدار داده بودم در این مورد

هشدار جدی امنیتی!!! پسوردهایتان رو تعویض کنید + این ip را بلاک کنید!!

ممنون بابت IP ها

اون حملات قضیش فرق داشت یه کل کل افتاده بود بین اونا با ما و به هر روش ممکن هر طوری بود داشتن سایت ها رو میزدن حتی سرورم میزدن و فقط بحثشون جوملا نبود

ولی این تیم زوم کرده روی باگ های خاصی فقط از جوملا و فقط از اون متد میزنه سایت ها رو .....داشتن تلافی میکردن و تیم هکر اونا با این تیم فرق داره

[rezabaghaie 17]

Remote file inclusion attempted.

این یعنی چی؟

گزارش rsfirewall اینو میگه همش!

[Pooyan Afzali 41]

Remote file inclusion attempted.

این یعنی چی؟

گزارش rsfirewall اینو میگه همش!

یعنی از راه دور و از طریق کد های مرورگر قصد داشته فایل آپلود کنه داخل مدیریت سایتتون

یکی از متد های خیلی خطرناک هک سایت هست که بعضیاشو فایروال چلوگیری میکنه و خیلی دیگه رو نمیتونه و سایت بای پس میشه

[rezabaghaie 17]

یعنی از راه دور و از طریق کد های مرورگر قصد داشته فایل آپلود کنه داخل مدیریت سایتتون

یکی از متد های خیلی خطرناک هک سایت هست که بعضیاشو فایروال چلوگیری میکنه و خیلی دیگه رو نمیتونه و سایت بای پس میشه

تقریبا نصف حمله ها به سایت من از طرف همین ترک ها از این طریقه! بقیش با یوزر و پس

چجوری جلوش رو بگیریم؟

[Pooyan Afzali 41]

تقریبا نصف حمله ها به سایت من از طرف همین ترک ها از این طریقه! بقیش با یوزر و پس

چجوری جلوش رو بگیریم؟

باید سایت و هاست رو ایمن سازی کنی

و اینکه ببینی حملات از کدوم قسمت هست جلوشو بگیری

[rezabaghaie 17]

سایت رو اسکن کردم و نوشت دوتا malware داره که مربوط میشه به phocamail که توی همین انجمن گذاشتن بچه ها!

یه بررسی بکن ببین اگه مشکل داره هشدار بده! بعد از نصبش از طرف چند گروه هکر از همین طریق بهم حمله میشه که بلاک شده همش توس فایروال

** از طریق مدیریت remove کردم و دوباره اسکن کردم . دیگه پیغام مmalware نداد

ویرایش شده در آبان 92 توسط rezabaghaie

[Pooyan Afzali 41]

این افزونه ها با base 64 کد شدن

باید دیکد بشن تا سورس مشخص بشه

[rezabaghaie 17]

هیچ راهی نداره متوجه بشی واقعا مشکل داره یا نه؟

چون فک کنم خیلی ها از این کامپوننت استفاده کردن!

هدیه فوکا ایمیل :: ساده ولی کاربردی _ کامپوننت ارسال ایمیل گروهی phoca email فارسی!!

[Pooyan Afzali 41]

هیچ راهی نداره متوجه بشی واقعا مشکل داره یا نه؟

چون فک کنم خیلی ها از این کامپوننت استفاده کردن!

هدیه فوکا ایمیل :: ساده ولی کاربردی _ کامپوننت ارسال ایمیل گروهی phoca email فارسی!!

تا سورس دیکد نشه نه

البته میشه سورس رو تست نفوذ زد با امتحان کردن اکسپلویت روی افزونه که باگ مشخص بشه

[rezabaghaie 17]

اگه برسی کنی که یه ملت رو از مشکل نجات میدی

[yaghoubiy.m 10]

ظاهرا سایت من هک شده حالا توسط این تیم یا غیره نمیدونم!

سرور سایت ها رو مسدود کرده بدلیل استفاده بیش از حد از منابع

فک می کنم فایل آپلود کرده بودن، حالا من چطور می تونم فایل مخرب رو پیدا کنم و این مشکل رو حل کنم؟

[smlmoghaddam 10]

سایت اگر هک شده باشه میشه البته اگه اطلاعاتتون رو پاک نکرده باشن!(بک آپ سایت رو برگردونین بهترین راهه)

اگر سرور هک شده باشه که هیچ یه صلوات واسه تمامی سایت های میزبانی شده بفرستین!

اگر سرور نباشه به مدیر سرور درخواست اسکن شل بدین تا برطرف کنن

[Pooyan Afzali 41]

درود

بايد هاست توسط سرور بررسي و اسكن بشه

چون به طرخ متعددي ميشه فايل هاي مخرب رو مخفي كرد

[poonoodi 12]

اگر از س پنل استفاده می کنید از اسکن خودش استفاده کنید

به نظرم کارش بد نیست و خوب جواب میده و میتونه فایل های شل را پیدا و معرفی و بر حسب نظر شما حذف کنه

[blazhel 16]

مراقب حملات هکر های اوکراین هم باشین زیاد دارن جنب و جوش می کنن