[High Joomla 1.5 Security] Các webmaster cẩn thận.

[tin_truc22]

http://joomlaviet.org/index.php?option=com_content&view=article&id=134:joomla-156-ban-nang-cap-bao-mat&catid=31:tin-joomla&Itemid=30


Hãy nâng cấp tất cả các trang web Joomla 1.5.x của bạn lên Joomla 1.5.6 ngay hôm nay. Một lỗi bảo mật nghiêm trọng đã được phát hiện, lỗi này cho phép 1 người dùng chưa đăng nhập, không có quyền truy nhập vào hệ thống có thể thay đổi mật khẩu của tài khoản được kích hoạt đầu tiên ( tài khoản người dùng có số id bé nhất) và thông thường đây là tài khoản của admin. Trong trường hợp bạn đã thay đổi username mặc định của tài khoản admin ( tên mặc định là admin) thì điều này sẽ gây khó khăn cho kẻ tấn công vì họ không biết được tên đăng nhập nào tương ứng với mật khẩu mới. Dĩ nhiên cách tốt nhất để khắc phục lỗi này là nâng cấp lên phiên bản 1.5.6 ngay hôm nay

Các liên kết hữu ích cho bạn:

* Tải bản Joomla 1.5.6 đầy đủ
* Tải bản cập nhật Joomla 1.5.6

Để có thông tinđầy đủ về lỗi này, vui lòng xem thêm tại Joomla Security Blog

Chỉ cần vài thao tác là có thể lấy được Password Admin của các website sử dụng Joomla 1.5.5 trở xuống. Mới đi về có ông chơi 1 phát website mình rồi.

[thecoruso]

Chào mọi người,

VNCERT xác nhận về mối nguy này. Đề nghị những ai sử dụng Joomla tăng cường theo dõi. VNCERT đang tiến hàng rà soát và cố gắng thông báo cho các website có khả năng bị tấn công sớm nhất có thể.

Thông tin về cách fix thủ công có thể xem tại link http://vncert.gov.vn/canhbao/cbkt/CBKT08-001.htm.

VNCERT nhờ các bạn hỗ trợ thông báo rộng rãi đến những cá nhân, tổ chức đang sử dụng Joomla.

Cám ơn các bạn,

Đỗ Ngọc Duy Trác

[freeman04]

Qua website của BKIS cũng thấy cảnh báo về vụ này rồi: http://www.bkav.com.vn/tinh_hinh_an_ninh_mang/13/08/2008/6/1756/

Xem chừng có vẻ nghiêm trọng. Anh em ơi, cập nhật ngay bản mới thôi

[viethoangcr]

Hix, lỗi này qua nghiêm trọng ấy chứ. Vừa mới phát hiện ra ngày hôm nay, thấy hack thử là dc. liền... Mình disable website ngay lập tức :D.

http://movies.vnwaze.net
http://software.vnwaze.net

[ConOngChua]

Lỗi nguy hiểm, 1 vài đường là get được.

[VNTTN]

Chỉ cần 10 giây là hack được! Mình bị hack từ sáng nay.

Bị lỗi 2 file controller.php và reset.php trong com_user.

File : /components/com_user/models/reset.php

Line: 111-130



function confirmReset($token)
{
global $mainframe;

$db = &JFactory::getDBO();
$db->setQuery('SELECT id FROM #__users WHERE block = 0 AND activation = '.$db->Quote($token)); < ---- {3}

// Verify the token
if (!($id = $db->loadResult()))
{
$this->setError(JText::_('INVALID_TOKEN'));
return false;
}

// Push the token and user id into the session
$mainframe->setUserState($this->_namespace.'token', $token);
$mainframe->setUserState($this->_namespace.'id', $id);

return true;
}

Fix lại đoạn trên.

[manwhofind09]

Trời, mất bò mới lo làm chuồng

[tin_truc22]

Không kịp làm thật. Thường ngày nào cũng vào Joomla và có email để update bug bảo mật hết. Nhưng hôm nay dậy trễ 11 giờ phải đi làm chuyện gấp không kịp online để xem. Chiều về máy chưa kịp khởi động giám đốc đã call nói có email báo website bị hack :-ss

[certlib]

Nghiêm trọng nhỉ, chỉ 1 xíu là được, nhanh như cái HC7 bữa nọ

[vinaora]

Tất cả thao tác để hack chỉ diễn ra trong vòng 5-10s (bằng tay).

Nhưng qua vụ này mới thấy phần lớn những người thừa đục thả câu lại toàn cả người VN mình cả.

Trong số gần 90 cuộc tấn công vào http://vinaora.com đến thời điểm này thì 95% là từ IP Việt Nam.

[Anhmongem]

vì cái hack này đơn giản, không cần nghĩ cũng nhấn vô và đổi pass được nên rất nhiều chú chưa hề biết hack là gì cũng muốn được chiếm quyền vào nhà người khác ra sao. kể mà có bị phạt vài tr hoặc vài chục tr cho sáng mắt thì cũng là hành động nên làm vì một cái nhìn có hiểu biết hơn.
nói vậy không có nghĩa là mình là một hacker, mình cũng chỉ là một người ko biết hack là gì thôi nhé

[fbc_alt_f4_vn]

Có ông nào giỏi chỉ tôi cách update lên 1.5.3 lên .6 đi.

[tin_truc22]

Ông Up hông được thì bỏ web đi là vừa =)).
Joomla làm mất niềm tin quá. Hôm qua hụt hẫng kinh khủng. Chắc phải nghiên cứu cái CMS khác thôi :(.

[Vui365]

http://downloads.joomlacode.org/frsrelease/3/0/0/30034/Joomla_1.5.6-Stable-Full_Package.zip

[fbc_alt_f4_vn]

Ông Up hông được thì bỏ web đi là vừa =)).
Joomla làm mất niềm tin quá. Hôm qua hụt hẫng kinh khủng. Chắc phải nghiên cứu cái CMS khác thôi :(.

Bộ web mới còn đc, web đã seo rôi bỏ đi thì chêt ah ông. Tôi chưa thây cái chỗ nào để update joomla cả. vì mới tìm hiểu mà

[babyinternet]

Giờ chắc mọi người fix hết rồi :D
Cách hack: http://www.n2dgroup.com/community/viewtopic.php?f=23&t=160

Hi vọng anh em chỉ để tham khảo Y_Y

[C.S.G]

Cảm ơn mọi người,

Hôm qua em áp dụng vào Game4v.vn (http://game4v.vn) thấy hết hồn, cũng may là dễ fix.

Ai đang sử dụng Joomla fix sớm nha, lỗi này nguy hiểm lắm!

[VDI]

Có ông nào giỏi chỉ tôi cách update lên 1.5.3 lên .6 đi.

Rất đơn giản bạn à,

Đầu tiên bạn backup web cho chắc.
Sau đó vào đây tải về bản cập nhật cho đúng bản mình đang dùng, của bạn là 1.5.3 sẽ có bản nâng cấp từ 1.5.3 lên 1.5.6
http://joomlacode.org/gf/download/frsrelease/8233/30043/Joomla_1.5.3_to_1.5.6-Stable-Patch_Package.zip

- Cởi nén ra một thư mục
- Tiếp đến là dùng chương trình FTP copy đè hết những tệp và thư mục vừa tải về vào thư mục bạn đã cài joomla.
- Đăng nhập lại bạn sẽ thấy 1.5.6 ngay à.

[VNTTN]

Có ông nào giỏi chỉ tôi cách update lên 1.5.3 lên .6 đi.

Thế này mà công cũng đi quảng cáo làm SEO. Hôm qua tôi đã định cho trang gì quảng cáo làm SEO của ông chết, nhưng nghĩ lại nên thôi. he he

[vinaora]

Các bạn có thể tham khảo kết luận về lỗi này

>>> http://www.joomlaviet.org/forum/viewtopic.php?f=33&t=7601

Nếu còn gì chưa đúng hoặc chưa đủ thì các bạn cứ bổ sung nhé.

[Vui365]

Tôi thấy BKIS hướng dẫn sửa bằng tay như sau
http://www.ictnews.vn/Home/bao-mat/Va-lo-hong-Joomla-bang-cach-thu-cong/2008/08/2MSVC1911630/View.htm

if(strlen($token) != 32) {$this->setError(JText::_('INVALID_TOKEN')); return false; }

Ngẫm ra thì thấy chưa kín, nếu nhập đoạn như đây '-- -- -- -- -- -- -- -- -- ---- thì sao?

[SVPro]

Google inurl:"index.php?option=com_user" còn 1 đống site, có cả edu.vn vẫn chưa fix :w00t:

[vinaora]

Tôi thấy BKIS hướng dẫn sửa bằng tay như sau
http://www.ictnews.vn/Home/bao-mat/Va-lo-hong-Joomla-bang-cach-thu-cong/2008/08/2MSVC1911630/View.htm

if(strlen($token) != 32) {$this->setError(JText::_('INVALID_TOKEN')); return false; }

Ngẫm ra thì thấy chưa kín, nếu nhập đoạn như đây '-- -- -- -- -- -- -- -- -- ---- thì sao?

Bạn thử chưa ?

Phía sau nó còn hàm
$db->Quote($token) nữa.

Mà đó là hướng dẫn của Joomla.org

http://developer.joomla.org/security/news/241-20080801-core-password-remind-functionality.html

Đâu phải của mấy ông bên BKIS

[bkis]

Mình có mấy site Rôm la nhưng chẳng bao rờ bị hack kể cả chẳng cần fix bug nào suốt 3 năm nay, thế mới lạ. các WM tránh bị hack quá dễ, đâu cần phải fix phiếc gì cho mệt, chỉ cần code lại 1 chút khi sài Open thế là hacker bó chiếu. 1 lần mình đọc cả pass root cho 1 hacker, nhưng quên không nói mình đã ... change hết lệnh shell. Change rồi explot bằng cách nào nhỉ ? delete nó lại là copy?

[tin_truc22]

Chán bắt đầu có dấu hiệu Deface đòi tiền rồi. Mà tên WM này nhát quá. Chỉ hắn Fix xong kêu lấy tiền đó thuê hàng xử thằng đòi tiền mà không dám.

[masterdark116]

Cảm ơn bácc tin_truc22 nhé :D
Em tý nữa thành một nạn nhân, điều tra ra được 2 IP
123.19.48.90
117.4.148.118
Chắc có 1 cái là của tin_truc22

[tin_truc22]

Cái Viettel của tui ấy. Cung cấp IP cung cấp thêm ngày giờ Access vào nữa. Có thể bác nào bên VNPT sẽ giúp tìm ra cái thằng đó. Thằng này ở HCM. Tui sẵn sàn đi với ông Dark chơi nó >:) Nếu không bác C15 nào giúp trừng trị theo luật pháp thì mình phải xài luật khác thôi. 200K đó ăn nhậu đã hơn.

[ConOngChua]

Không ít site bị hack vì bug này.

[vinaora]

Không ít site bị hack vì bug này.

Ngay ngày đầu tiên http://vinaora.com đã hứng chịu khoảng 100 cuộc tấn công.

Toàn IP Việt Nam nhà ta cả.