Reinstalar Joomla por ataque hack

victorflauta · #1 (**permalink**) 04/05/2010, 01:48

Hola a todos, primero presentarme ya que soy nuevo por aquí y mandar un saludo a todos.

Tengo una web que fue atacada por un hacker, modificó el index.php para que apareciera otra página y modificó el password de administrador para impedir que accediera al panel de control.

He conseguido recuperarla y actualizar el password, pero debe haber algún otro asunto hackeado porque ahora entro en el panel de control y se bloquea (no aparece).

Creo que lo mejor es reinstalar joomla (1.5.4), pero sin perder nada (ni bd, ni componentes, plug-ins, etc) ¿cómo lo hago?. Ya tengo respaldada la BD y todos los archivos de la web, pero al instalar de nuevo perdería los cambios que realizé en la plantilla, los componentes etc ¿no?.

Muchas gracias.
Ah, por si puede interesar, os paso el código archivo que sustituyó a mi index.php:

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html><head>

<title>HACKED by speedCr4Ck'.</title>
<meta http-equiv="content-type" content="text/html; charset=ISO-8859-1">
<meta name="generator" content="kdgkns">
<style type="text/css">
/*----------Text Styles----------*/
.ws6 {font-size: 8px;}
.ws7 {font-size: 9.3px;}
.ws8 {font-size: 11px;}
.ws9 {font-size: 12px;}
.ws10 {font-size: 13px;}
.ws11 {font-size: 15px;}
.ws12 {font-size: 16px;}
.ws14 {font-size: 19px;}
.ws16 {font-size: 21px;}
.ws18 {font-size: 24px;}
.ws20 {font-size: 27px;}
.ws22 {font-size: 29px;}
.ws24 {font-size: 32px;}
.ws26 {font-size: 35px;}
.ws28 {font-size: 37px;}
.ws36 {font-size: 48px;}
.ws48 {font-size: 64px;}
.ws72 {font-size: 96px;}
.wpmd {font-size: 13px;font-family:

Arial,Helvetica,Sans-Serif;font-style: normal;font-weight: normal;}
/*----------Para Styles----------*/
DIV,UL,OL /* Left */
{
margin-top: 0px;
margin-bottom: 0px;
}
</style>

<style type="text/css">
div#container
{
position:relative;
width: 724px;
margin-top: 0px;
margin-left: auto;
margin-right: auto;
text-align:left;
}
body {text-align:center;margin:0}
</style>

</head><body bgcolor="#000000">
<div id="container">
<div id="image1" style="position: absolute; overflow: hidden; left:
39px; top: 4px; width: 644px; height: 463px; z-index: 0;"><img
src="http://i43.tinypic.com/29ylesp.png" alt="" title="" border="0" height="463"
width="644"></div>

<div id="text1" style="position: absolute; overflow: hidden; left: 0px;
top: 444px; width: 724px; height: 282px; z-index: 1;">
<div class="wpmd">
<div align="center"><font class="ws18" color="#ffffff" face="Segoe UI">SpeedCr4Ck'. was here</font></div>
<div align="center"><font class="ws13" color="#ffffff" face="Segoe UI">Fuck you ADMIN</font><br>
<font class="ws12" color="#ffffff" face="Segoe UI"><br></font><br>
<font class="ws14" color="#ffffff" face="Segoe UI">Respect just for KosovaHackersGroup</font><br>
<font class="ws11" color="#ffffff" face="Segoe UI">AlbanianHackers was
here !!</font><br>
<font class="ws11" color="#ffffff" face="Segoe UI"><br></font><br>
<font class="ws14" color="#ffffff" face="Segoe UI">Fuck Russia \ Serbia \ Macedonia </font><br>
<font class="ws11" color="#ffffff" face="Segoe UI">security =0 !

!</font><br>
<font class="ws11" color="#ffffff" face="Segoe UI"><br></font><br>
</div></div>

</div>
<center><embed type="application/x-mplayer2" name="MediaPlayer1"
src="HACKED_files/Tornados%2520ft%2520TBA%2520-%2520Njo%2520per%2520kejt.mp3"
autostart="1" showcontrols="1" showstatusbar="1" showaudiocontrols="1"
showpositioncontrols="0" style="border: 1px solid rgb(0, 0, 0); padding:
1px 4px;" height="53" width="177"></center> 
</div>

victorflauta · #2 (**permalink**) 04/05/2010, 05:14

Ah, se me olvidaba. La web en cuestion:

www.colegiovalverde.com

y lo que aparece cuando meto el usuario y el password para administrar la aplicación:

ï»¿

Larenz · #3 (**permalink**) 04/05/2010, 17:40

"El que por su gusto muere, que lo entierren parado"

¿Te das cuenta que dices usar la versión de Joomla 1.5.4? Y para colmo quieres reinstalar la misma versión. Pues sigue así y volverá a pasar nuevamente el hackeo.

NINGUN sitio es 100% seguro ni lo será NUNCA. Es por eso que uno debe de tomar las medidas correctas de seguridad para mantener nuestro sitio lo más seguro posible.

Se empieza adquiriendo un servidor o espacio web de pago y no gratis. Luego se instalan las mejoras y correciones de seguridad de Joomla (core, componentes, módulos y plugins). Incluso hasta las plantillas pueden servir de elemento inseguro para ataques XSS (No soy un experto en seguridad Joomla pero conozco cómo asegurar mis sitios).

Primero que todo te recomiendo instalar la última versión segura y estable de Joomla, la cual es la 1.5.17 (tú aún estás en la 1.5.4 uffff - Pégate un tiro

[sentido figurado, no me hagas caso])

Lo bueno que aún tienes la BD. Lo que más o menos vas a hacer será lo siguiente:

-> Instalas la nueva versión de Joomla. No uses el parche de actualización de Joomla, no te va a servir debido a tu caso de ataque recibido.

-> Instala manualmente las extensiones previas que tenías en el sitio.

-> Crea otra BD que será la que contenga los nuevos archivos Joomla.

-> Ve exportando tablas de la vieja BD y las importas a la nueva BD. Como por ejemplo seleccionas la tabla jos_content y la reemplazas en la nueva BD para evitar escribir todos los datos nuevamente. Así sucesivamente con las demás tablas importantes como los son jos_categories, jos_sections, jos_menu, etc. (solo importantes)

-> Los módulos y componentes deberías de configurarlos nuevamente a mano. Es más seguro y más aún si el componente, módulo o plugin en cuestión ha sufrido una nueva actualización.

CONSEJOS:

-> Cambia las contraseñas en tu hospedaje web.

-> Si tu hosting es muy barato (U$ 3 a 5 mensual) mejor cámbiate a uno más seguro y confiable. Goddady por ejemplo es una cochinada de hosting, te ofrecen precios bajos y mala calidad, cuentas ftp con tráfico sobrecargado, demasiadas peticiones al server que te ralentiza tus archivos.

-> Instala módulos o plugins que limiten las visitas a tu sitio web por rango IP. Tengo un amigo que es de Uruguay y trabaja en el área forestal. Tiene su sitio web y casi a cada instante está recibiendo visitas y registros desde Rusia. Le dije que bloqueara el acceso a su sitio desde ese país. Luego me dijo: "Rusia es un país forestal y me interesa ya que de vez en cuando publico noticias en inglés. Mejor bloqueo la IP de él (registrante)." Lo que le dije que era totalmente inseguro hacer eso, ya que el registrante bien podía registrarse desde otra IP. Lo mejor es bloquear rangos de IP para evitar el acceso de países que obviamente representan amenazas a nuestro sitio web (Rusia, Albania, etc).

Existen módulos y plugins que te permiten bloquear el registro en tu sitio a ciertas IP. Haz eso. Es una medida de seguridad más.

-> Crea un nuevo usuario (lo cual generará un nuevo ID) y le estableces una contraseña alfanumérica y de ser posible un nombre de usuario alfanumérico también. Luego le estableces permisos de Super-Administrador y tu antiguo Super-Administrador (admin con id 62) le das permisos de Registrado.

-> Mmm.... no sé que más ideas darte... acaban de llegar a la oficina hablando en voz alta que se me fueron las ideas... ya me desconcentraron.

Bueno... de todas formas estos datos te servirán mucho y lo agradecerás.

Saludos