/administrator

18. pro 2012 20:56 - 18. pro 2012 20:57 #101115

Odpověď od Bong

Moderátor

Já nevím jak vám říct, že na názvu administrace nezáleží. To by pak byla drtivá většina webů hacknutá...
Záleží kolik děr máte v systému. Bránu do dvora můžete mít klidně z pancéřované oceli, ale když jsou vrátka na pole shnilá, kozy vám stejně utečou...

Zabýváte se zabezpečováním, tvrdošíjně trváte na podružnostech, ale o to hlavní, KUDY a JAK a KDO ZA TO MŮŽE, že byl váš web napaden se nestaráte. Najděte nejdřív ta shnilá vrátka, jinak vám ani tanková jednotka ty kozy neuhlídá.

I'm sorry, my responses are limited...you must ask the right questions.

18. pro 2012 21:15 #101118

Odpověď od Petr Steel

Pokročilý uživatel

Hlavní díry byla v mém upload systému, který jsem nezabezpečil.

Ostatní SQL a cookie exploity nevím jak nejít jak zabezpečit :X

Hacknul to admin, kterého jsem poslal pryč je to rok zpátky.

Zabezpečí takovédle se mi moc nelíbí, jelikož se tam nemůžu dostat odjinud. Funguje to pouze při jedné IP jinak to háže chybu 500.

Změnou /administrator na /nevimneco mi pomůže k tomu, aby to nebilo do očí hackery. 90% Hackerů tento systém používá, který obsahuje přímo program, který testuje joomlu a přímo cíleně nalézá exploity a díry. Je to jenom takový detail k úplnosti

Beztak nemůžu najít žádnou modifikaci, která to umí možná aministrator changer či jak se jmenuje, ale nemá moc pozitivní hodnocení. No zkusím ji no. Kéž by jenom stačilo na FTp zmenit složku administrator a nemusel sem řešit kompomenty

18. pro 2012 21:22 #101119

Odpověď od Cony

Moderátor

Chybu 500 zřejmě dostáváte díky překlepu (Aloow místo Allow).

Změnu /administrator na něco jiného v Joomla 2.5 provést sice lze, ale je třeba odzkoušet, zda všechny komponenty, které používáte s touto možností počítají. Některé "hůře napsané" komponenty by nemusely fungovat.

Změnu provedete jednoduše tak, že si zkopírujete soubor defines.php z adresáře includes přímo do kořenové složky Joomly a v tomto zkopírovaném souboru přepíšete /administrator na cokoliv si přejete.

18. pro 2012 21:25 #101120

Odpověď od Petr Steel

Pokročilý uživatel

Ano, v tom bude pravděpodobně chyba nepozora jsem to.

Ano zkusil jsem kompomentu a na serveru z důvodu bezpečnosti je vyplý mod_rewrite, takže se mi ta kompomenta šprajcla a ted' se nemůžu dostat do administrace obnova databáze si s tím snad poradí.

Super díku zkusím a nenaruší tato úprava bezpečnost? To přesouvání toho inc atd .. ?

18. pro 2012 21:32 #101121

Odpověď od Cony

Moderátor

Nejedná se o přesun defines.php, nýbrž o naprosto legální tzv. custom defines.php. Když pohledáte po netu určitě o tom něco najdete. S bezpečností tato změna nemá co dělat (tedy v negativním slova smyslu, v pozitivním by to mohlo odradit některé útoky).

Upřímně ještě jsem neslyšel že by mod rewrite byl vyplý z důvodu bezpečnosti...

18. pro 2012 21:41 - 18. pro 2012 21:43 #101123

Odpověď od Petr Steel

Pokročilý uživatel

Tak jsem se pletl, Vaše rady bych rád zkusil, ale ted' jsem si znefunkčnil kompomentou a pluginem zároven' extensions.joomla.org/extensions/access-...gin-protection/14666 .

Nepomohla ani obnova databáze :X No já se zblázním :X

zadal jsem si, aby místo /administrator bylo /steelovina

/administrator = přesmeruje mě to na google.com
/steelovina = error stránka neexistuje

18. pro 2012 22:56 #101127

Odpověď od Cony

Moderátor

Stáhněte si instalaci Joomly a nahraďte soubor index.php ve složce administrator z této čisté instalace. Ta komponenta tento soubor upravuje. (Není to moc dobré řešení, aktualizací by jste o změny stejně přišel).

18. pro 2012 23:21 - 18. pro 2012 23:30 #101128

Odpověď od Petr Steel

Pokročilý uživatel

Pořešil jsem to tak, že jsem přepsal /administrator/index.php zálohou. A /administrator už funguje

Avšak, nemohlo by se mi něco úspěšně povést bez sproblému, tak mi systém musel alespon jeden naschvál udělat

Odinstalace pluginu: Soubor manifest je neplatný nebo nebyl nalezen.

Při odinstalaci pluginu došlo k chybě.

1. /.../web/include/defines.php jsem přesunul do /.../web/defines.php
2. Otevřel /..../web/defines.php editoval řádek místo /administrator jsem napsal /neco
3. Přejmenoval /.../web/administrator na /..../web/neco
4. Přešel na x.eu/neco
5 Napsalo mi to :

Code:

 jos-Error: Application Instantiation Error

JFactory :: getApplication() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/steelovina/index.php:29
JApplication :: getInstance() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/factory.php:102
JError :: raiseError() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/application/application.php:184
JError :: raise() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/error/error.php:251
JError :: throwError() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/error/error.php:176
call_user_func_array() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/error/error.php:214
JError :: handleMessage()
JFactory :: getApplication() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/error/error.php:705
JError :: raiseError() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/factory.php:99
JError :: raise() @ /data/web/virtuals/28605/virtual/www/domains/x.eu/libraries/joomla/error/error.php:251

19. pro 2012 00:41 #101130

Odpověď od Petr Steel

Pokročilý uživatel

A index webu píše zas nejen index :

Code:

No configuration file found and no installation code available. Exiting...

19. pro 2012 23:24 #101157

Odpověď od Cony

Moderátor

Omlouvám se nejspíš jsem Vás mystifikoval, teď jsem chvíli zkoušel si s tím hrát a nepodařilo se mi jiný adresář rozběhat (na mých stránkách je ale třeba VM 2, který má /administratot napsané v kódu natvrdo).

Pokud budete chtít více zkoumat upozornil bych
- soubor defines.php je také v /administrator/includes, ten je třeba odkopírovat do /administrator
- v souboru je třeba dodefinovat JPATH_BASE např. takto

Code:

define('JPATH_BASE', dirname(__FILE__));

a také _JDEFINES např. takto

Code:

defined('_JDEFINES','1');

oboje nejlépe na začátku souboru.

Pokud se Vám podaří nalézt funkční řešení, dejte vědět.

20. pro 2012 20:02 #101177

Odpověď od Petr Steel

Pokročilý uživatel

Code:

<?php
/**
 * @package		Joomla.Administrator
 * @subpackage	Application
 * @copyright	Copyright (C) 2005 - 2012 Open Source Matters, Inc. All rights reserved.
 * @license		GNU General Public License version 2 or later; see LICENSE.txt
 */

// No direct access.
defined('_JEXEC') or die;

//Global definitions.
//Joomla framework path definitions.
$parts = explode(DIRECTORY_SEPARATOR, JPATH_BASE);
array_pop($parts);

//Defines.
define('JPATH_BASE', dirname(__FILE__));  
defined('_JDEFINES','1');					
define('JPATH_ROOT',			implode(DIRECTORY_SEPARATOR, $parts));
define('JPATH_SITE',			JPATH_ROOT);
define('JPATH_CONFIGURATION',	JPATH_ROOT);
define('JPATH_ADMINISTRATOR',	JPATH_ROOT . '/neco');
define('JPATH_LIBRARIES',		JPATH_ROOT . '/libraries');
define('JPATH_PLUGINS',			JPATH_ROOT . '/plugins');
define('JPATH_INSTALLATION',	JPATH_ROOT . '/installation');
define('JPATH_THEMES',			JPATH_BASE . '/templates');
define('JPATH_CACHE',			JPATH_ROOT . '/cache');
define('JPATH_MANIFESTS',		JPATH_ADMINISTRATOR . '/manifests');

1. Jak je možné, že kód nekončí "?>" ?

/index.php

Code:

No input file specified.

/neco/index.php

Code:

Warning: defined() expects exactly 1 parameter, 2 given in /data/web/virtuals/28605/virtual/www/domains/xxx.eu/neco/defines.php on line 19

Warning: Cannot modify header information - headers already sent by (output started at /data/web/virtuals/28605/virtual/www/domains/xxx.eu/neco/defines.php:19) in /data/web/virtuals/28605/virtual/www/domains/xxx.eu/neco/includes/framework.php on line 23

Ty definice tam je třeba nějak nadefinovat, aby seděla cesta k adresářům, jestli dobře chápu. Jak ale vůbec netuším.

20. pro 2012 20:17 #101179

Odpověď od Karri

Uživatel

Mě fascinuje, kolik času dokážete touhle kravinou strávit a to nemluvím o čase, který vás to bude stát při každé aktualizaci Joomla! :cheer:

Proč proboha pro ochranu webu nepoužijete nějaké k tomu určené rozšíření? Pro skrytí přihlašovací stránky administrace stačí JSecure, pokud chcete ochranu, která bude chránit web komplexně, použijte třeba placenou verzi AdminTools nebo zmiňovaný RSFirewall!

Osobně používám pár let právě RSFirewall! a nikdy se mi nestalo, že by se mi někdo někam naboural - ty filuty, co to nějakým způsobem zkouší, to automaticky háže (jejich IP) na černou listinu...

20. pro 2012 22:51 #101181

Odpověď od Petr Steel

Pokročilý uživatel

Super, moc užitečné rady děkuju. Jsecure jsem ještě nezkusil a zkusím

Admin Tools od Akeeba mám nainstalovaný, ale free verzi, ani nevím o placené.

RSFirewall je placený to vím, no popřemíšlím o něm

21. pro 2012 07:16 #101185

Odpověď od Karri

Uživatel

Admin Tools ve free verzi je slabota, když už, tak to chce Pro verzi, která s ohledem na cenu rozhodně není špatná. Stejně tak RSFirewall! - k poměru cena/výkon se jedná o dobrou koupi.

21. pro 2012 09:24 #101191

Odpověď od Petr Steel

Pokročilý uživatel

I Jsecure je placená. Všechno je placené xD

No váhám, jestli napsat statickej index.html jako webovou prezentaci, nebo investovat do kompoment

No co se dá dělat, to už si musím rozhodnout sám.
Všem mockrát děkuju za pomoc

Přihlásit se

/administrator

Nejnovější příspěvky