Neulich musste auch ich daran glauben, eine der Homepages die ich umgesetzt habe, wurde gehackt. Ich möchte hier meine Erfahrungen und einige Tipps zur Prevention weiter geben.
In Entwickler - Kreisen ist es bekannt, dass keine Seite absolut sicher ist, aber immerhin habe ich daran geglaubt, dass eine kleine Homepage, welche sowohl in Serverseitig als auch im CMS und deren Komponenten aktuell gehalten werden, zimlich sicher und vor allem unatraktiv für Hacker ist.
Zuerst die gute Nachricht, nach grüntlichen Nachforschungen konnte ich mir sicher sein, dass keine Nutzerdaten unserer Seite "gefischt" wurden. Natürlich kann das nun jeder sagen, kein aber...
Als ersten Punkt möchte ich auf das "kleine 1x1" hinweisen.
a: Das Joomla CMS auf aktuellstem Stand halten und nur von Joomla.org herunter laden.
b: Komponenten sowie Module und Plugins nur von vertrauenswürdigen Ressourcen herunter laden.
c: Macht keine "Hacks" am Sourcecode, in fast allen Fällen kann mit HTML overrides gearbeitet werden.
Diese wichtigen Punkte verstanden, kann es trotzdem noch Sicherheitslücken und Hackversuche geben und zu 100% wirst du deine Seite nicht absichern können, aber du wirst immer die Oberhand behalten, egal was kommt.
Eine sehr verbreitete Methode, in der man sich oft in falscher Sicherheit wägt, ist das nutzen der Google Webmaster Tools. Hier erhält man viele Tricks und Tipps zur Seitenverbesserung, man sollte jedoch vor folgendem auf der Hut sein:
In der Rubrik "Security Issues" wird Google davon warnen, wenn auf Ihrer Homepage Inhalte sind, welche dem Surfer schadet, im genäueren: "We haven't detected any security issues on your site.". Da Google jedoch nicht viel mehr sieht als der eigentliche Seitenbesucher und sich auch nach der Robot.txt einschränkt ist dies nur ein Hinweis, das die Seite für den Besucher sicher sind.
Als zweiten Punkt möchte ich dringend dazu raten, weitere Sicherheitsmassnahmen zu ergreifen. So können zum Beispiel Sicherheitstools wie AdminTools Hackerattacken MASSIV einschrenken. Ich empfehle die AdminTools Pro Version, es empfiehlt sich hier sehr, sich etwas Zeit zu nehmen um alle Einstellungen bezüglich der Seitensicherheit genäuer an zu schauen. AdminToolsPro gibt es überigens auf Akeebabackup.com zu einem sehr erschwinglichen Preis.
Als dritten Punkt; dies nun getan fühlt man sich schon wieder auf der sichereren Seite, doch einmal gehackt, bleibt immer noch ein etwas flaues gefühlt zurück. Also habe ich mich noch etwas weiter informiert und bin auf den Service von Phil Taylor auf MyJoomla.com gestossen. Einfach alles scheint da zu stimmen. Hier spreche ich vor allem von den AuditTools, welche nach der sehr einfachen Installation eines Joomla Plugin eine sichere Verbindung herstellt und mit unzähligen Methoden nach Sicherheitsrisiken sucht. Für die erste Prüfung ist das Tool sogar Gratis, nachher zu einem sehr erschwinglichen Preis erhältlich. Da Phil Tayler zurzeit meine Seite auf mein Wunsch hin noch persönlich überprüft, werde ich an dieser Stelle sehr warscheinlich zu einem späteren Zeitpunkt noch einen weiteren Beitrag veröffentlichen.
An dieser stelle möchte ich alle darauf hinweisen, dass jeder Homepagebetreiber bei Gesetz dazu verpflichtet ist, seine Seite zu überprüfen und sicher zu halten.
Alle die obigen Punkte sorgfältig ausgeführt, sollte man, falls man trotzdem gehackt wurde, sehr schnell reagieren können und Gesetzesmässig auch auf der sicheren Seite sein. Ich auf jedenfall, wende dies nun auf alle meiner Seiten an.
Darauf hingewiesen, dass eine meiner Seite gehackt wurde, wurde ich automatisch per Mail. Der Mailserver schickt Standartmässig die E-Mails zurück, sollte die E-Mail Adresse falsch sein oder überfüllt. Im Quelltext der E-Mail war ersichtlich, dass ein anscheinend sehr kleverer Hacker ein phpmailer installiert hat. (Ein Phpmailer ist ein Skript von dem aus E-Mails verschickt werden können, als Absender kann dann alles @ihredomain.com sein.)
Diesen Skript entfernt wurde ich hellhörig und habe mich Intensiv mit dem Thema auseinander gesetzt.
Das Thema Sicherheit mit Joomla ist für mich jedoch nicht abgeschlossen, da die Erfahrung gezeigt hat, das dies ein andauernder Prozess ist, den man nie aus den Händen lässt.
Zum Schluss hoffe ich, mit diesem Artikel jemandem weitergeholfen zu haben, der ein ähnliches Problem hatte, oder zumindest zum Thema Sicherheit mit Joomla sensibilisieren konnte.