שלום לכולם,
דבר ראשון, לא להכנס לפאניקה!
הדיון הזה מטרתו למנוע בעיות בעתיד ולאו דווקא לדווח על בעיות קיימות.

לאחרונה הותקפו אתרים רבים בארץ המבוססים על מערכת ג'ומלה בידי האקרים.
אותם האקרים עוקבים אחרי פרצות אבטחה אלו בפורומים השונים, ופשוט מריצים סקריט מוכן לפגיעה בחור האבטחה.
חשבו לציין כי חורי האבטחה אינם תמיד במערכת ג'ומלה עצמה, אלא דווקא ברכיבים המתווספים לה.

העניין טרם נבדק לעומק, אך אחת הבעיות המרכזיות שמאפשר את הפגיעה בחורים האלו הוא פרמטר ה-PHP בשםregister_globals כאשר ערכו on.
בזמן ההתקנה המערכת בודקת את הפרמטר הזה, ומודיע על שגיאה כשערכו לאoff.
מצב זה אינו מפריע להמשך התקנה תקין ולא כולם מצליחים בניסיון הראשון לפתור את הבעיה.
אך, המלצה שלי, עכשיו, אחרי שהאתר פועל, טפלו בזה! זה גם עלול לגרום לבעיות אחרות, ולא רצויות.

ערכו חיפוש קל בפורום כיצד לטפל בנושא זה.

בנוסף, כמובן שיש לדאוג להשתמש תמיד בגרסה האחרונה של המערכת (זמן כתיבת שורות אלו, 1.0.10 היא האחרונה)
כל זה מהצד של המערכת, אבל תכף גם לרכיבים המתווספים לה. דאגו לעדכן אותם לגרסאות האחרונות שלהם, שכן גם הם דואגים לסגור חורים איפה שמתגלים...

אני מבקש את שיתוף הפעולה מכולם ע"מ לעזור לאלו שמתקשים ביישום התיקונים.
ומצד שני מאלו המבקשים עזרה, להיות סבלניים עם העוזרים.

שוב, אין מה להלחץ, זוהי רק הודעה למען המודעות הכללית.

אה, ועוד משהו, השתדלו לא להפוך את הדיון הזה לצרור תלונות - זו לא המטרה שלו. בשביל זה אתם יכולים לפתוח דיונים חדשים עם פירוט הבעיה שלכם.
מה שאתם כן יכולים לפרסם פה, זה בעיות פופולריות והפתרון שלהן (בעיקר לאלו שלצערינו כבר חוו פריצה).

תודה, ובהצלחה לכולם!!!

לאחר יומיים ושני לילות שביליתי כמעט עד הבוקר בטיפול באתרים שנפגעו, אני רוצה קצת להסתייג מאוירת ההרגעה.
אתאר תרחיש בו נפרצו בימים האחרונים למעלה מ1000 אתרים ! בידי קבוצת האקרים מטורקיה (מצאתי את הרשימה בשרת שלהם, מסיבות שיובנו בהמשך אני לא מפרסם אותה כאן)

כיצד הם עשו זאת
בגירסה הקודמת של רכיב הפורום לג'ומלה וממבו Simple Board 1.1
היתה פרצה שאפשרה התקפה  מסוג remote inclusion .

אני לא מפרט, אבל דבר הפרצה התפרסם ,  וכל מי שיסתכל בקוד שם ויחפש את זה יוכל להבין.

וכך פעלו ההאקרים:
1. חיפשו בגוגל את המילים המתאימות לרכיב בגירסה זו.
2. על כל האתרים שמצאו הפעילו סקריפט שגרם להכללת קובץ מהשרת שלהם והעלאתו לשרת המותקף
3. בעזרתו העלו לשרת את הסוס הטרויני ? דלת אחורית c99shell. זוהי חתיכת קוד זדונית ומנוולת ביותר.
4. לאחר שהעלו קובץ זה, קיבלו גישה מלאה לכל קובץ בשרת
5. בקובץ הקונפיגורציה של ג'ומלה מצאו את סיסמאות בסיס הנתונים
6. בשלב זה יש להם גישה חופשית לכל בסיס הנתונים.
7. הלקוח לא יודע מכל הסיפור. רק אם החליטו להשחית אז הוא מגלה שיש בעיה, לעיתים פשוט מעלה שחזור ולא מתאר לעצמו שיש לו שם סוס טרויני המאפשר מעקב ושליטה בהסתר על כל השרת.

לפי הלוגים, הזמן שלקח לפרוץ אתר כזה היה בממוצע 92 שניות.
עכשין אתם מבינים איך בעזרת גוגל אפשר ביומיים לפרוץ יותר מאלף אתרים.

קשה להפריז בחשיבות ההמלצה - **** תעדכנו **** ****תעדכנו ******.

ברגע  שמתפרסם תיקון אבטחה, מייד הרעים מבררים למה היה צריך אותו, ובעת מלחמה או סתם אם קמו על רגל שמאל, הולכים ופוגעים בכל מי שמצליחים.

דרור.

איך מתקנים?

יצא עדכון לבונה הקהילות בגלל אותן נושאים.

לפריטים, באתר JOOMLAPILIS

באתר העולמי (joomla.org ) מתפרסמת רשימה שמתעדכנת כל -הזמן (ע"י בוני רכיבי צד שלישי וע"י חברי הקהילה בכלל)
מומלץ להיכנס להתעדכן (ולעדכן!).

כדי להגיע לרשימה לחץ כאן.

את רוב הפרצות מוצא האתר: Secunia...
(כבר מסונן לפרצות שנוגעות לג'ומלה)

אני מאוד מוטרדת.
באתר שלי היה מותקן רכיב שנקרא LinkDirectory. לפני כמה ימים ראיתי שבכניסה לרכיב דרך האדמינסטרציה יש כמה שורות של הודעות שגיאה ואי אפשר היה להשתמש ברכיב כדי להוסיף קישורים לאינדקס. לאחר מכן במונה המבקרים ראיתי שמבקרים מגיעים לאתר דרך החיפוש: Google: inurl:\"com_linkdirectory\"
מכל העולם, וגם מישראל. מיד הסרתי את הרכיב מהמערכת אבל עדיין מגיעים לאתר דרך החיפוש: 
Google: inurl:\"com_linkdirectory\". מה המשמעות של הדבר הזה... האם עלי לחשוש ממשהו?! הצילו!!