Bekijk Volledige Versie : Oude onveilige Joomla en Wordpress installaties
Het fijne van shared hosting zijn natuurlijk de populaire pakketten zoals Joomla en Wordpress. Het is vooral fijn (NOT!) als je gebruikers te lui zijn of gewoon niet weten deze scripts te updaten wanneer het nodig is met als gevolg oude bekenden zoals dit:
#!/usr/bin/perl
use Socket;
print "Data Cha0s Connect Back Backdoor\n\n";
if (!$ARGV[0]) {
printf "Usage: $0 [Host] \n";
exit(1);
}
print " Dumping Arguments\n";
$host = $ARGV[0];
En zo gaat het maar door...
CENSORED!
Mijn vraag is wat jullie eigenlijk doen om dit te voorkomen? Is het uberhaupt wel te voorkomen zolang klanten zelf kunnen bepalen wat zij installeren?
marsipulami
05/11/09, 22:06
Of je moet al al je klanten willen controleren, maar ik denk dat er geen oplossing voor is.
Dat automatiseren lijkt me problematisch
Er zijn wel scanners die je directories scannen naar de versies van deze pakketten maar het is ook vooral zorg dat de rest van je server dicht zit. In dit geval konden ze niet verder komen dan het account van de klant zelf maar dat kan op zich al genoeg zijn natuurlijk.
Je kan klanten dwingen om Installatron (of een vergelijkbare oplossing) te gebruiken. Je kan dan in ieder geval altijd inzien welke versie ze gebruiken en eventueel upgraden.
Ik doe het niet zo en zou het niet snel zo doen omdat het niet klantvriendelijk is, maar het is een mogelijke oplossing.
Wordpress vanaf 2.7 heeft een auto-updater en geeft een alert. Een erg goede zet denk ik.
Joomla - en met name de ranzige modulen - heeft dit niet. Daar zijn ook vaak problemen mee.
Zelf gebruik ik inderdaad een stapel bash-scripts op servers die in beheer staan om zo nu en dan de boosdoeners op te zoeken. Gelukkig draait Apache onder mod_ruid op bijna alles wat ik beheer, dus zodra er ranzigheid in de /tmp staat, is het meteen te herleiden naar de user(name).
Ja, met shared hosting blijft het toch helaas moeilijk. Wij leveren bijvoorbeeld wordpresspaketten die we ook zelf up to date houden, dan hou je de controle. Maar de klanten die een shared hostingaccountje installeren en daar brakke software op knallen...
Je hebt ook genoeg klanten die lekke mailforms of andere velden op hun site plaatsen..
Als wij het constaateren melden we het, maar je kunt niet altijd alles zien helaas.
cyberbootje
06/11/09, 00:44
Hier promote ik installatron flink, uiteraard dwing ik niet...
Er draait veel middels installatron ook omdat klanten het fijn vinden denk ik, makkelijk te overzien. Het blijft helaas vervelend maargoed hoort erbij zeg ik maar...;)
Yourwebhoster
06/11/09, 01:18
Ookal heb je installatron, dit wilt nog niet zeggen dat elke klant dmv dit systeem zijn website installeerd, dus zekerheid heb je met installatron ook niet. Moet wel toe geven dat dit een fijne tool is.
Dat is inderdaad een drama. Hier hetzelfde. Zojuist nog een site suspend.
Maar ook met installatron ben je dit niet voor, dan nog zijn er mensen die niet snappen / weten dat je moet upgraden. Of die het gewoon niet doen doordat het teveel moeite is.
En er is natuurlijk veel last van Gumblar.
cyberbootje
06/11/09, 08:39
Maar ook met installatron ben je dit niet voor, dan nog zijn er mensen die niet snappen / weten dat je moet upgraden. Of die het gewoon niet doen doordat het teveel moeite is.
Klopt, maar je kan dan als admin wel zien wie het niet doet, hooguit mail sturen of een mailing eruit gooien dat iedereen moet updaten voor x datum anders doe je het forced.
Niet zo heel fijn voor je klanten maar als het script echt brak is...
Wat je dan wel hebt is dat je het overgrote deel wel overziet, das tenminste iets.
Maar zoals eerder gezegd, het blijft k*t.
Wordpress vanaf 2.7 heeft een auto-updater en geeft een alert. Een erg goede zet denk ik.
en dan heb je nog mensen die te lui zijn om te upgraden
en wel aankloppen bij je als ze gehackt zijn
De update functie in Wordpress is handig maar in veel gevallen niet te doen als je verder weinig verstand van zaken hebt natuurlijk. Als je een flinke template (custom?) gebruikt met verschillende plugins is het niet altijd zomaar even op de update knop klikken en klaar.
De update functie in Wordpress is handig maar in veel gevallen niet te doen als je verder weinig verstand van zaken hebt natuurlijk. Als je een flinke template (custom?) gebruikt met verschillende plugins is het niet altijd zomaar even op de update knop klikken en klaar.
ik dacht juist van wel ...
ik dacht juist van wel ...
Nope!
Nope!
niet waar
als je wordpress draait kan je gewoon op updaten klikken
de plugins en thema`s blijven behouden
muv de standaard meegeleverde 2 thema`s en plugin
Triloxigen
06/11/09, 14:33
Ik denk dat D bedoeld dat niet alle plugins zomaar op nieuwe versies werken
de meeste plugins werken wel onder dezelfde 2.x branch
updaten van plugins gaat ook met 1 druk op de knop
thema`s idem
Nou het hangt toch echt af wat voor soort custom dingen je gebruikt kwa plugins als grafisch. Hetzelfde eigenlijk als vBulletin werkt. Kan wel zomaar gaan updaten maar dan werkt de helft niet meer.
Een goede oplossing is er ook niet echt.
Je /dev/shm en /tmp op noexec, nosuid mounten, je /var/tmp aan je /tmp symlinken, enkele php-functies uitzetten en vooral Apache onder de user draaien, zodat wanner je toch gekke bestanden aantreft, deze meteen naar de user te weerleiden zijn en niet van apache:apache zijn.http://www.webhostingtalk.nl/editpost.php?do=editpost&p=1099199
Een goede oplossing is er ook niet echt.
Je /dev/shm en /tmp op noexec, nosuid mounten, je /var/tmp aan je /tmp symlinken, enkele php-functies uitzetten en vooral Apache onder de user draaien, zodat wanner je toch gekke bestanden aantreft, deze meteen naar de user te weerleiden zijn en niet van apache:apache zijn.http://www.webhostingtalk.nl/editpost.php?do=editpost&p=1099199
Ofcourse, SuPHP bijvoorbeeld maar wat dacht je van de kernel uptodate houden en hardenen? ;)
Ofcourse, SuPHP bijvoorbeeld maar wat dacht je van de kernel uptodate houden en hardenen? ;)
No offence, maar ik denk dat 85% van de bezoekers hier nog nooit een eigen kernel in elkaar gebakken heeft. Al leveren upstream providers als Redhat/Oracle/CentOS redelijk standaard kernels die in de meeste situaties goed werken.
Ikzelf gebruik tegenwoordig geen suPHP meer. Enkel nog mod_ruid en dan meteen de aangepaste versie die /home/$user als chroot neemt. Scheelt voor klanten ook weer een hoop 777-gezeur, wat bij suPHP weer tot een 500-error leidt en ik zie netjes in de logfiles wie buiten zijn mapje wil. Een stuk script filtert dat voor mij en wanneer iets boven de tresshold komt, krijgt support een mailtje en mag Alex verder spitten om te zien wat het probleem is. Veel wordt hier al redelijk pro-actief opgespoort (al blijft het probleem, je reageert nu veel sneller).
Hoe is de ervaring van Berrie met WPhost, waarbij hij voor de updates zorgt?
Mijn ervaring met Fantastico met cPanel is wat wisselend met joomla.
Fantastico overschrijft namelijk de configuratie file, waardoor je iedere keer je meta informatie en tags opnieuw moet invoeren en instellingen verloren gaan.
Voor Joomla zou een component wat zorgt voor updates (net als Wordpress) een enorm verschil kunnen betekenen in veiligheid. Helaas staat dit (nog) niet op de joomla roadmap.
Mijn ervaring met Fantastico met cPanel is wat wisselend met joomla.
Fantastico overschrijft namelijk de configuratie file, waardoor je iedere keer je meta informatie en tags opnieuw moet invoeren en instellingen verloren gaan.
Voor Joomla zou een component wat zorgt voor updates (net als Wordpress) een enorm verschil kunnen betekenen in veiligheid. Helaas staat dit (nog) niet op de joomla roadmap.
Joomla heeft wel een updatemanager hoor.
No offence, maar ik denk dat 85% van de bezoekers hier nog nooit een eigen kernel in elkaar gebakken heeft. Al leveren upstream providers als Redhat/Oracle/CentOS redelijk standaard kernels die in de meeste situaties goed werken.
Ikzelf gebruik tegenwoordig geen suPHP meer. Enkel nog mod_ruid en dan meteen de aangepaste versie die /home/$user als chroot neemt. Scheelt voor klanten ook weer een hoop 777-gezeur, wat bij suPHP weer tot een 500-error leidt en ik zie netjes in de logfiles wie buiten zijn mapje wil. Een stuk script filtert dat voor mij en wanneer iets boven de tresshold komt, krijgt support een mailtje en mag Alex verder spitten om te zien wat het probleem is. Veel wordt hier al redelijk pro-actief opgespoort (al blijft het probleem, je reageert nu veel sneller).
Hoe is de ervaring van Berrie met WPhost, waarbij hij voor de updates zorgt?
None taken! Nederland is klein he en ja ben jij ook maar blij dat niet iedereen het kan als je begrijpt wat ik bedoel. Hier kun je alle kanten mij op btw. ;)
Yourwebhoster
06/11/09, 16:39
niet waar
als je wordpress draait kan je gewoon op updaten klikken
de plugins en thema`s blijven behouden
muv de standaard meegeleverde 2 thema`s en plugin
ehm... je vergeet dat niet altijd de plugins bij een nieuwe versie blijven werken? Klein detail om te vergeten met (soms) grote gevolgen...
Joomla heeft wel een updatemanager hoor.
alleen eentje die je zelf moet opzoeken en installeren.
Wta ik bedoelde was een dergelijke plugin/component in de joomla core net als bij Wordpress zodat ook standaard installaties up to date worden gehouden.