Kako dodatno obezbediti Joomlu 1.5.23

Molim Vas predlog kako dodatno da osiguramo instalaciju Joomle.

Koristimo verziju 1.5.23 i za sada nemamo mogucnosti da predjemo na 1.7.
"ALBANIAN HACKERS WEEK ~ 2011" grupa nam je opet promenili jedan clanak
na naslovnoj strani i svim administratorima sajta promenili username na admin
i postavili sifru "AlbaniaN HackerZ ZonE aHz-CreW 4ever".

Vec posle pola sata vratili smo sve iz rezervne kopije, ali moram priznati da su jako dosadni.

Nemamo instalirane neproverene dodatke, postavljena je dodatna sifra na /administrator,
koristili smo GuardXT i jFireWall Lite. Skeniranjem home direktorijuma virus skener ne pronalazi
hakerske skripte...

Sifre nisu najjednostavnije :) niti default....

Uvek naprave stetu samo na Joomli, Coppermine galeriju ne diraju ili im nije interesantna.

A zašto ne postoji opcija prelaska na Joomla 1.7? To je uvek najsigurnije rešenje. Inače što se tiče dodatka vezanih za "povećanje sigurnosti", od toga kao što sam već pisao može biti samo štete. Vrlo je moguće da i neki od tih dodatka imaju neku rupu.

Potpis

DropBox
dodatni prostor

Za sada nije moguce jer sajt odrzava par ljudi volonterski, ne postoji mogucnost
da se nekome nesto plati a ne znamo kako da template prepravimo za joomlu 1.7.

Kada se nova joomla pojavila iskoristio sam alat za prelazak na novu joomlu na rezervnoj
kopiji sajta (na poddomenu) ali je sve bilo izuzetno razdeseno. Posto niko od nas
ne zna da izvede uspesan prelaz za sada cekamo. Mozda se pojavi alatka koja ce znati da
prepravi template za novu verziju ili se pojavi nas template za novu verziju.

Koristimo besplatni template siteground-j15-140 koji postoji u vise raznih verzija i verziju
za 1.7 nismo nasli.

Slazem se da bi bilo najbolje preci na 1.7 ako je to moguce.

Možda zvuči neumesno ali da li si probao da pređeš na Wordpress? Postoje par pluginova za importovanje postova iz Joomle u WP.

U krajnjoj liniji to možeš testirati u lokalu...možda se iznenadiš rezultatima, brzinom i funkcionalnošću u odnosu na Joomlu. :)

Potpis

I hope I didn't brain my damage - Homer
if (wife.position == kitchen) {return sandwich};

@mmns21
Ako je sajt komercijalne prirode ne vidim razloga da nekome ne platiš da ti odradi migraciju i prepravi postojeću ili nađe adekvatnu temu koja je kompatibilna sa 1.7. Inače se slažem sa ivan.a da je WordPress mnogo sigurnije i bolje rešenje.

Potpis

DropBox
dodatni prostor

Sajt nije komercijalne prirode (planinarsko drustvo) i sve se zasniva na entuzijazmu. Joomla se koristi jer je taj CMS
izabran kada se prelazolo sa statickog sajta. Wordpress koriste neka druga drustva i sajtovi izgledaju lepo.

Meni je svejedno ukoliko je moguce da se to izvede (uvoz clanaka, a posebno clanaka sa fotografijama koje su ubacene sa joomla tagovima).

CMS je izabran da ne bi neko stalno morao da prekucava najave i tekstove (ili da ih sredjuje za objavljivanje). Uspeli smo da naucimo par korisnika koji uspesno postavljaju tekstove i slike. Naucili su da koriste joomlu i njima ce biti problem da nauce novi sistem.

Napravio sam poddomen wp. Instalirao wp. Dodao Joomla/Mambo To WordPress Migrator 1.5.4. u wp.

Uradio migraciju i sve je proslo dobro osim jedne greske na kraju oko konverzije statickih stranica
(najverovatnije nije ni bitno). Plugin je prebacio sve tekstove, korisnike...

Medjutim ni jedna slika koja je u okviru clanka ubacena sa {gallery}{/gallery} nije ubacena, nijedan
tekst pisan cirilocom nije dobro prikazan u WP-u i neki clanci pisani latinicom. Na prvi pogled jos losije
stanje u odnosu na migraciju na joomlu 1.7.

Vidi kakve su dozvole na direktorijumima i datotekama. Za direktorijume je preporuka 755 a za datoteke 644. Fajlu configuration.php postavi samo dozvole za citanje na 444. Radi dodatne sigurnosti mozes i da ga izmestis iz /public_html ili /www direktorijuma. Kreiraj novi dir u / (root) diru, zatim u njemu kreiraj novi fajl npr. privatni.conf i iskopiraj sadrzaj fajla configuration.php, a u configuration.php izbrisi postojeci sadrzaj i unesi sledeci kod:

Takodje, onemoguci podrazumevanog admin korisnika, tj. kreiraj novog korisnika sa super administratorskim privilegijama a postojeceg prebaci u grupu Registered.

Da li ste uopste probali upgrade na 1.7? Uradi backup,pa upgrade na 1.7 ne mora da znaci da tema nece funkcionisati. Imao sam vise slicnih slucajeva sa Joomla,posle ugprade-a teme su radile normalno,a pisalo je da nisu kompatibilne.

@Stefan Jocic
Napisi zasto mislis da je WordPress bezbednije resenje.
Sta to WordPress cini iole bezbednijim?
Ovakve izjave, ukoliko nisu potkrepljene cinjenicama i obrazlozenjima, te cine nestrucnim i osobom cije poruke treba ignorisati.

Potpis

- Kada kažete „niko nije savršen“, Čak Noris to shvata kao uvredu
- Ameri su '45. razmišljali da pošalju Čak Norisa u Japan, ali su se opredelili za humaniju varijantu!
- Bog je hteo da stvori svet za deset dana, Čak Noris mu je dao sedam

Dozvole na direktorijumima su u redu za proveru sam koristio instaliran plugin. Default admin kod nas ne postoji, ali mogu da napravim nekog obicnog usera ciji je username takav. Probacu na rezervnoj kopiji sajta da uradim ovo sa conf fajloma.

Hvala! :)




Proban je upgrade sa 1.5.23 na 1.6 i sa 1.5.23 na 1.7. Prelazak na 1.7. je presao bolje. Svi clanci su tu, neki pluginovi su prikazani kao aktivni ali u stvari ne rade, medjutim kada se opet instaliraju prorade. Stari template na joomli 1.7 samo prikazuje greske. Probao sam sa par templateova za 1.7, ali jedino sto sam postigao je da poredjam menije sa leve strane.
Stari template je imao razne pozicije pa sam u novoj jomli isprobavao gde ce se meniji pojaviti ako poziciju promenim u onu koja postoji u novoj joomli. Nasao sam slican template ali nisam uspeo ni jedan meni da stavim sa desne strane. Moze levo, moze gore ali desno nece.
Najverovatnije je nesto sto sam prevideo u podesavanju ali jos uvek nisam resio.
Ono sto je veci problem je da se neke kategorije nisu prenele (404 - Category not found) kada se klikne na stavku menija.
Koliko sam video u administratorskom delu postoje svi clanci. Neke kategorije koje se ne prikazuju imaju katanac na sebi a neke nemaju, kada ih selektujem i kliknem na check in skine se katanac ali na sajtu se i dalje pojavljuje greska 404.
Uporedjivao sam podesavanja u category managery za one kategorije koje rade i one koje ne radi i za sada nisam pronasao razliku u podesavanju.

Proveri da li si ranjiv na neki od ovih exploita: http://www.exploit-db.com/sear...;filter_osvdb=&filter_cve=

Potpis

“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama
XIV

Default admin ti je onaj ciji je ID broj 62 bez obzira na username. Vidi da li imas takvog korisnika i onemoguci ga.

Nisam mislio da pravis novog korisnika, to je administratorski username nakon instalacije Dzumle. Vidi da li imas korisnika u administratorskoj grupi sa ID-em 62. Ako imas, ukini mu admin privilegije, tj. dodeli mu status registrovanog korisnika. Zatim umesto njega kreiraj novog korisnika sa admin privilegijama koji ce imati novi ID, samo pazi da ne bude bas 63.

Imam tri super administratora, dva administratora i jednog uredjivaca. Jedan od super administratora je 62 i on se pojavljuje kao autor dosta clanaka.

62 vise nije super administrator.

Danas sam cuo da hakeri nisu upali preko sajta. Vec su imali pristup serveru i na njemu pokretali skriptu
koja je menjala prezentacije. Nadam se da ce administrator servera probati da zatvori rupice...
Ponudjeno nam je da ako hocemo da nas prebace na drugi server, ali mozda je bolje da ostanemo na ovom
mozda ga zakrpe :).

Resen problem sa kategorijama, u menijima stavke menija su nisu dobro automatski prenete u novu verziju, posle rucnog podesavanja odgovarajuce kategorije sve je u redu. Samo jos da pronadjemo primenjim template.

Mislim da su godine iskustva u pitanju...ne verujem da bi neko tako nešto napisao bezveze...uostalom i ja se slažem sa Stefanom.
"Default" joomla jeste prilično sigurna, mada setimo se one 1.0x verzije (ne znam tačno, bilo je davno) kada su mnogi korisnici "hakovani" zbog jednostavnog propusta gde je gotovo svako mogao da pristupi admin panelu jednostavnim zaobilaženjem login forme. Instalacija svake komponente, plugina, modula za joomlu te izlaže riziku od hakera ili "hakera"...Kod WP je daleko bolja situacija.

Potpis

I hope I didn't brain my damage - Homer
if (wife.position == kitchen) {return sandwich};

Nažalost to tako ne funkcioniše. Lako se mogu obrazložiti "vizuelne" stvari, ali sveukupan kod ne baš. A da ne pričamo o tome da niko ne koristi "goli" CMS, ljudi ubacuju i dodatke, različite teme i svuda se krije neka rupa. Već pune tri godine radim sa WordPress-om i veruj pratim sve izmene koda i znam šta se nalazi ispod haube. Plus održavam nekoliko servera na kojima se vrte pretežno WP blogovi i sajtovi i nikada nije bilo sigurnosnih problema. Barem ne u core instalaciji. Ako pogledamo dostupne, besplatne CMS sisteme, najlogičniji i najbezbedniji izbor su jedino WP i Drupal. Ono što mi se takođe sviđa kod WordPress-a, a što ga naravno čini sigurnijim, jeste vrlo detaljan pregled svih 3rd party dodataka.

Potpis

DropBox
dodatni prostor

@Stefan Jocic
Kako te to sto poznajes WP cini relevantnim da kazes da je Joomla daleko nebezbednija?
Kao sto si video u ovoj temi, problem je nastao zbog konfiguracije servera, a ne zbog Joomla-e.

Joomla nije nezasluzeno najkoriscenije Web CMS resenje.
I isticanje da su WP i Drupal najbezbeniji ti nije dobro sroceno, iako se slazem da je Drupal odlicno resenje.
Jel' si probao npr. Typo3, Alfresco, PHPNuke, DotNetNuke...? Probaj i njih pa onda reci da je WP najbezbeniji.

U suprotnom zadrzi te komentare tipa najovo, najono za sebe.
Korisnije je da kazes sta si koristio i koji su tvoji utisci.

Potpis

Ko reskira profitira.
http://www.vojkan.net/

Na osnovu čega si to zaključio (možda iz analitike 2009 god?). Wordpress je danas daleko korišćenije CMS rešenje od Joomle (realno i objektivno).
Ne radi se samo o poznavanju CMS-a (rad u admin panelu), već i o logici programiranja, strukturi baze podataka, optimizaciji...Ako pogledaš "ispod haube" Wordpress je neuporedivo bolje zamišljen nego joomla. Ako gledaš admin panel i tu je WP daleko ispred po funkcionalnosti i jednostavnosti. Ono što u joomli radiš kliktanjem kroz razne menije kako bi podesio neke osnovne opcije pola sata, u WP to bukvalno uradiš sa 2-3 klika.
Takođe, ako poznaješ web programiranje i WP Codex možeš uraditi bukvalno šta god zaželiš sa sajtom jer je logika programiranja dosta fleksibilna i jasna, bez gomile nepotrebnih funkcija i operacija (kao kod Joomle).
Nije nepoznato da je Joomla imala dosta sigurnosnih propusta, dok se WP već godinama "drži" veoma stabilno...
Da ne ispadne da sam fan nekog CMS (pošto uglavnom radim custom CMS-ove), ovo govorim iz višegodišnjeg iskustva sa svim pomenutim CMS (WP i joomlu koristim još od prvih verzija i pratim njihov razvoj)...

Potpis

I hope I didn't brain my damage - Homer
if (wife.position == kitchen) {return sandwich};