Меню показать Меню скрыть
Современные
проекты
от ПаЛыЧа
Сайк ПавелСайк Павел
3 г. назад

Брутфорс сайтов на Joomla

В последнее время хакеры активизировались и набросились на множество сайтов на CMS Joomla и WordPress. Сейчас в основном атаки идут на административные панели обоих CMS. Целая ботсеть пытается подобрать логины и пароли к панели управления.

Администраторы многих хостингов просто блокируют доступ к папкам /administrator для Joomla и соответственно /wp-admin к WordPress. Про WordPress ничего писать не буду, решение можно найти на Хабре. Но вот про Joomla пока не слова.

Первое шаг. Получение доступа к административной панели

Вы не можете попасть в админку – вводите http://site.ru/administrator и вы видите «Forbidden access, вот примерно такое окно:

Доступ к административной панели заблокировал хостинг. Что бы получить доступ к панели, вам надо обратиться в техподдержку с просьбой разблокировать доступ, указав IP вашего компьютера. Вы его можете увидить на сайте myip.ru. Пишите письмо в техподдержку вашего хостинга.

Добрый день!
Прошу открыть доступ к панели управления на сайте http://site.ru/administrator. Мой IP 127.0.0.1.
Спасибо за срочный ответ.

После этого вы получите доступ к панели сайта. 

Шаг №2. Меняем логины и пароли к административной панели

Давно пора отвыкать, что многие логины и пароли уже известны хакерам. Например такие как admin, administrator. Остается к ним подобраться пароль, как раз атака на это расчитана. Так как пользователи ленивые и часто используют пароли типа qwerty, 1234, qwezxc и другие очень очетания, то такой сайт просто сломать.

Так что заходим в панель управления, выбираем пользователь суперадмнистраторов и начинаем менять хотя бы пароли. Что бы не ломать голову, то можно использовать сервис по генерации паролей - pasw.ru. Укажите длину паролья минимум 12 символов. Такой пароль уже не сломает не одна боть сеть.

Шаг №3. Ставим защиту от доступа к административной панели Joomla

Теперь надо запретить злоумышленику доступ к административной панели. Пока существует единственное решение, но весьма стойкое – это плагин JSecure Authentication. C помощью него вы смените путь к админке. Присутствуют версии для Joomla J1.5, 1.6, 1.7, 2.5 и J3.0. Решение не бесплатное, 10 долларов вас не разорят, зато сэкономит множество нервных клеток.

Ставите плагин через РасширенияУстановить/Удалить. Потом переходе в КомпонентыjSecure Authentication.Нужно сделать тонкую настройку.

Настройка jSecure Authentication

  • Включить – ДА
  • PassKey – URL
  • Key – тут надо указать ключ, по которому выбудете заходить в админку. Например если укажите TROLOLO, то ваш путь к админке будет http://site.ru/administrator/?TROLOLO.
  • Redirect option – custom path, я поставил на страницу 404, как ее сделать 404 в Joomla 1.5 я уже писал.
  • Custom Path – указываете ссылку на 404 страницу, без первого слеша, например 404.html

После это включаете и забываете еще об одной дырке сайта. Вот таким простым способом можно бороться с брутфорсом Joomla или несанкционированным доступом к административной панели. Не забудь прочитать предыдущую статью про безопаность сайтов на Joomla.

Добавить комментарий

Наверх