Svært usikre moduler og komponenter

[Lifeform]

Hei

Vi hadde nylig et ganske kraftig fishing-attack på en av sidene våre.

Stor portal for lokalmiljøet, og fikk mellom annet telefon fra RSA, http://www.rsa.com/, pga Joomla´en med sine moduler og komponenter stod aktivt å sendte ut fishing greier.

Bank of America tok også kontakt med meg her, PLUSS at hele dedikert webserveren vår gikk i kne.

Etter at jeg klarte å lokalisere (det var flere runder med sletting av diverse modul-filer inne i Joomlaen) og fikk stoppa installasjonen, fikk vi hele 90% mer ledige systemressurser på serveren.

Jeg sitter da her og lurer på hvor SAFE egentlig Joomla er ? Dette var en tidlig versjon av Joomla, Joomla 1.0.15 eller noe sånt.

Hvor sterke grep har de gjort for å sikre alt sammen i siste versjon? Og hvor sikker kan man egentlig være på at alle disse modul og komponent-koderene gjør jobben sin når det er freeware eller open source-programvare?

[rued]

Joomla! i seg selv er veldig sikker, når man sørger for å oppdatere den, det svake ledd er ofte brukerne/administratorene og eventuelle serveradministratorer.

Et annet problem er selvfølgelig utvidelser som folk legger til ukritisk, med fil- og mapperettigheter "all over" på 777 - og helst også i alfa eller betaversjoner for å være helt sikker på å stille installasjonen åpen for enhver hobby hacker.

Noen hackes nærmest hver måned siden de bl.a. bruker mye chmod 777, og burde vel da nesten vurdere å drive med noe annet, andre har aldri opplevd å bli hacket.

[Lifeform]

Ok.

Hvilke rettigheter er det man må passe på å sette på mapper osv når man jobber med dette?

[rued]

Generelt 644 for filer og 755 for mapper, men dette avhenger også av oppsett på server og er ingen fasit. Sjekk gjerne med serveradmin for råd. Strengere rettigheter jo bedre.

Om en side er klar behøver man ikke kunne skrive til mapper (annet enn bilder/media/dokumenter), og man kan skrivebeskytte det meste. Samt flytte configuration.php ut av webrota.

Se mange tips og sjekkliste her http://docs.joomla.org/Administrators#J ... rity_Guide

[Lifeform]

Ref. http://skitch.com/magnar/4hmy/nordhordl ... ion-joomla

Skal jeg sette 777 på alle disse mappene...? Er dette safe, så lenge man ikke setter det "recursive"?

Slik flytter man configuration.php-filen ===> http://forum.joomla.org/index.php/topic ... #msg604266