的Joomla！ 2.5.4黑客攻击：诊断有问题

Question

我的Joomla 2.5.4网站昨晚被破解了。此外，Joomla论坛目前正在关闭，我甚至无法运行Joomla的诊断实用程序。 （FPA-en.php）

我遵循Joomla的诊断指示但没有成功。 （见下文）我也通过电子邮件发送了我的虚拟主机（我在共享服务器上，但我使用Joomla推荐的主机，这是Joomla网站的专家）。所以，我的问题是我接下来该做什么？

这是我到目前为止的信息。

使用Joomla 2.54（最新版）。所有扩展都更新到最新版本，并且没有一个在Joomla易受攻击的扩展列表中。

其他管理员的密码已更改，但幸运的是没有。

删除了User_notes表，这使得管理部分中的用户管理器无效。

根据日志，攻击按以下顺序命中以下文件：

1. /administrator/index.php
2. /index.php（Root）
3. /plugins/authentication/joomla/joomla.php
4. /plugins/user/joomla/joomla.php

然后对users和user_notes表进行更改。

index.php

中没有垃圾

攻击ip是199.15.234.216，来自supremetelecom.com的Fort Worth服务器

幸运的是，我有备份并且没有损坏，但是直到我无法让fpa-en.php工作并访问Joomla论坛，我不知道除了更改所有密码和阻止IP

提前感谢您的帮助！

Answer 1

首先，重置所有管理员（包括您的管理员）的密码，然后更改它们并确保它们包含字母和数字。然后使用密码生成器更改主机控制面板的密码（如果提供密码生成器）。如果没有，请在线使用密码生成器。完成此操作后，请更改数据库用户名的密码，不要忘记使用新密码更新configuration.php。

其次，下载并安装Admin Tools，这将为您的网站增加更多安全性。管理工具还附带一个有用的紧急脱机按钮。

然后下载并安装Saxum IP Logger，它将跟踪所有注册用户，为您提供IP地址，国家/地区等，您还可以使用随附的插件阻止IP地址。

接下来，转到主机控制面板并查看日志以查看哪些IP地址已进入您的网站以及他们访问过的文件。与编辑的文件相对应的IP地址，然后您可以使用我之前提到的插件进行阻止。 Joomla 2.5非常难以入侵，所以很可能你有一个开发得很糟糕的扩展并允许SQL注入。因此，当数据库相关时，您应该始终选择要在您的网站上安装的常用扩展程序。

希望这对您将来有所帮助。此致

编辑：您还可以使用密码保护FTP中的文件夹，以提高安全性。

您可能还会发现this extension非常有用

Answer 2

从中恢复之后，请确保使用.htaccess在/ administrator目录中输入密码，假设这是基于Linux的服务器。

Answer 3

可帮助您确定访问点的几个步骤。 还取决于您是否可以访问某些服务器端工具。

1. 联系主机并询问他们是否运行Mod_Sec，如果是，请询问他们该IP的Mod_sec标志。
2. 询问主人是否运行任何类型的maldet工具 - 如果是，请要求扫描您的帐户。
3. 如果你有shell访问权限，请检查最新文件的更改...来自tmp和缓存文件。

修复黑客攻击 1.更改所有密码 - 2. Install project honey pot. 3.管理工具安装很好，但您需要专业版才能真正获得对安全工具的访问权限。 4.迁移到专门从事Joomla平台的主机，在大多数情况下，他们已经为Joomla中的常见安全问题配置了帐户。

被黑客攻击真的很糟糕...祝你好运！

Answer 4

通过编辑config.php文件来重新定位管理员页面..并编辑您的FTP权限设置。如果您的管理登录URL是标准位置。 （www.site.com/administrator）使用您的主机控制面板更改此位置并阻止访问仅限于某些IP地址（甚至可以通过数小时的可用性来限制访问。  您有多少个管理员用户帐户。确实应该只有一个人具有超级用户访问权限。让其他用户使用管理员权限对网站进行少量编辑真的没有效率或安全;他们可能会意外地引起问题。这些是基本步骤，您可以做更多事情。如果您需要帮助/分步说明，请发送电子邮件。希望一切顺利。