Joomla, en magnet för hackers

Joomla är ett populärt CMS skript som används en hel del av framförallt webdesign firmor, därav många svenska firmor, för att skapa hemsidor som är enkla att hantera för kunderna. Tyvärr är Joomla även en magnet för hackers...

Dom senaste 3 veckorna har jag roat mig med att notera olika försök till att göra bus på webbservern och förvånande många sådana besök riktar sig mot min tidigare bloggpost om just Joomla där jag listade ett par då kända säkerhetsbrister i Joomlas tredjeparts skript och till dags datum har jag haft inte mindre än 24 besök riktade just mot den posten.

Det är intressant att se mot vilka olika skript och adresser som dessa attacker äger rum och det hjälper mig i mitt arbete att hitta problematiska skript som kanske bör uppgraderas eller på annat sätt bytas ut för att göra servern säkrare. Nu fastnar dom här attackerna ganska lätt, men är servern inte ordentligt säkrad kan även dessa attacker innebära problem för en webbhost.

Lite intressant är det även att se vilka webbservrar som blivit hackade och sedan blir värdar för attacker mot andra webbservrar och vilken typ av server det är frågan om. Det är ett ganska brett spektrum med både lågpris hosts och större datacenter med rykte om sig att ha god säkerhet. Se själva den här listan med dom 24 attacker som har stångat sig blodiga dom senaste 3 veckorna.

1. 83.243.58.157 (Unknown) - http://www.urjb.com/photos/albums/userpics/10001/thumb_blank.gif
   
2. 213.232.92.35 (p4-9032.uk2net.com) - http://www.smartlabphd.com/book/list/skin/zero_vote/images/setup_pages2.gif
   
3. 205.234.131.87 (unknown.ord.scnet.net) - http://www.consultantnet.co.uk/readme.txt
   
4. 83.103.43.56 (83-103-43-56.ip.fastwebnet.it) - http://www.consultantnet.co.uk/readme.txt
   
5. 66.178.213.194 (tgi.pioneertechnology.com) - http://www.consultantnet.co.uk/readme.txt
   
6. 209.40.206.222 (Unknown) - http://www.smartlabphd.com/book/list/skin/zero_vote/images/setup_pages2.gif
   
7. 200.26.129.52 (Unknown) - http://richbox1.net/cmd.txt
   
8. 200.75.94.7 (correo.comodisimos.com.co) - http://baraozinhu.sitebr.net/safe.txt
   
9. 203.72.181.15 (p-stop.clhs.tyc.edu.tw) - http://richbox1.net/cmd.txt
   
10. 200.234.201.101 (digerati2-dedicado.locaweb.com.br) - http://baraozinhu.sitebr.net/safe.txt
    
11. 74.53.36.242 (host1.sn8k.com) - http://k1ll3r.sphosting.net/1/ID.txt
    
12. 207.44.248.39 (ns1.sitehq4.com) - http://k1ll3r.sphosting.net/1/ID.txt
    
13. 207.58.177.50 (vps.quijoteland.info) - http://www.smartlabphd.com/book/list/skin/zero_vote/images/setup_pages.txt
    
14. 207.150.188.70 (207-150-188-70.static.sagonet.net) - http://www.santacruzlive.com/ui/administrator/components/sys.txt
    
15. 81.169.154.27 (h1612.serverkompetenz.net) - http://luca854.interfree.it/test/phpmic_txt.txt
    
16. 72.44.69.194 (mail.7hq.net) - http://www.colorsplashpaintball.com/enhanced/components/com_extcalendar/safe.gif
    
17. 200.211.115.134 (mail.wisecom.com.br) - http://www.colorsplashpaintball.com/enhanced/components/com_extcalendar/safe.gif
    
18. 74.52.9.218 (da.9.344a.static.theplanet.com) - http://www.dip-kostroma.ru/bak_skompa/themes/runcms/menu/images/.asc/www
    
19. 64.118.85.115 (server20026.dnslive.net) - http://scan.biz.ly/id.txt
    
20. 203.204.135.74 (www.teastart.idv.tw) - http://cotine.net/id.txt
    
21. 87.233.130.30 (watsnel017.netnation.nl) - http://www.vincent-prado.com/blog/wp.rss.txt
    
22. 70.84.212.90 (5a.d4.5446.static.theplanet.com) - http://www.vincent-prado.com/blog/wp.rss.txt
    
23. 85.17.168.133 (cpanel1.gregal.net) - http://azspromservice.ru/usr/extensions/sys.txt
    
24. 81.177.9.28 (rashida.cit-network.net) - http://www.euricolopes.net/portal/includes/sys.txt
    

Detta är bara ett litet axplock av dom attacker och okynnes försök som en webbserver råkar ut för och så gott som varje dag så dyker det upp en ny webbserver som figurerar i ett par attacker innan man ger upp och går vidare till nästa server som kanske inte är riktigt lika välskyddad.

Det som är lite intressant är att jag på servern har ett par skript som figurerar ganska ofta med flera attacker i månaden och så har vi min post om Joomla här på bloggen som får mellan 20 och 50+ attacker varje månad. Det som är lite intressant är att det är den enda posten på hela bloggen som blir attackerad. Jag har även ett par Joomla skript hos olika kunder som dock inte används längre, men ligger kvar och skräpar och trots detta så sniffas dom upp och attackeras med samma frenesi som min blogg. Även en del forumposer om Joomla ser ett par besök här och där utan någon vettig anledning egentligen.

Andra skript som ofta får påhälsning är osTicket, ModernBill, Kayako, Wordpress, PHPBB och ett och annat besök hos WHMCS.