Plötzlich diese Warnmeldung im Backend:

Hasenmann

Hallo zusammen,

plötzlich habe ich im Backend oben über dem Dashboard diese Fehlermeldung:

Warning : include(libraries/tmp): Failed to open stream: No such file or directory in /hp/cj/aa/jr/www/j4.schiesstermine/libraries/src/Document/HtmlDocument.php on line 734

Warning: include(libraries/tmp): Failed to open stream: No such file or directory in /hp/cj/aa/jr/www/j4.schiesstermine/libraries/src/Document/HtmlDocument.php on line 734

Warning: include(): Failed opening 'libraries/tmp' for inclusion (include_path='.:/opt/php8.3.31/lib/php') in /hp/cj/aa/jr/www/j4.schiesstermine/libraries/src/Document/HtmlDocument.php on line 734

Wie kann ich das beheben?

Hasenmann

kann das auch mit der aktuellen JCE Sicherheitslücke zusammenhängen?

Ich habe leider eben erst die Warnung gesehen und im JCE Profile Verzeichnis vier neue Profile (öffentlich) entdeckt.

Was nun?

kitepascal

Ja, die /libraries/src/Document/HtmlDocument.php on line 734

scheint verändert worden zu sein - was steht denn bei dir drin?

Access Logs anschauen oder durch ne KI schicken

1blu FAQ

+ Backup Restore von vor dem Angriff (mit unmittelbarem JCE Update) wäre die einfachste Lösung.

Hasenmann

ich bin absolut kein Profi,

die Logs werden mir nichts sagen.

Wo kann ich sehen wann der Angriff erfolgte?

kitepascal

Auf deinem Webspace sollte es ein

/logfiles

Verzeichnis geben. Die (.gz) bzw alle Dateien darin herunterladen. Gern hier hochladen - dann schreibe ich was herauszulesen ist.

Wenn du Glück hast, ist das älteste Backup von vor ~14 Tagen noch sauber.

Backups sind bei 1blu so gelöst (wenn du kein Akeeba Backup hast): https://faq.1blu.de/index.php?solution_id=1632

Hasenmann

Zwei Dateien habe ich gerade hochgeladen...

Bei 1Blu ist das älteste verfügbare Backup vom 27.05.

Hasenmann

Ich habe jetzt ein Email mit einer Art Auswertung erhalten, vielen Dank dafür.

Ein Profi wird jetzt sicher leuchtende Augen bekommen, ich kann den Inhalt aber

leider nicht deuten.

kitepascal

Das könnte passen. Um sicher zu gehen, müsste man die Logs vom Mai anschauen. Gern noch mal durchsenden. Du hattest nur Juni hochgeladen.

Hasenmann

ich habe auch den komprimierten Archivordner hochgeladen, das Entpacken ist mir aber nicht gelungen.

kitepascal

20260609205821_access.log (Logfile von heute) und 20260609205821_access-jun-log.gz (Anfang Juni bis gestern) hattest du gesendet.

Gibt es noch eins von may?

Im Mai gab es nämlich offenbar schon eine /tmp/configs.php
Soeben hast du noch mal Jun hochgeladen. May brauchts.

Oder falls älteres Log nicht vorhanden, schau mal, ob es die /tmp/configs.php im Backup vom 27. Mai schon gibt.

Hasenmann

das ist blöd, dann speichert 1Blu wohl nur einen relativ kurzen Zeitraum.

ich habe die tmp Verzeichnisse im http://www.j4schiesstermine durchgesehen.

Diese Datei taucht zum ersten Mal am 07.06. auf.

Die backups davor haben nur eine index.html im tmp Verzeichnis.

kitepascal

OK - dann kann man denke ich den Stand 27.05. als sauber betrachten.

Leere das live (/html/) Verzeichnis (z. B. erst mal alles in einen _archived Ordner verschieben) und platziere alle Dateien aus dem Backup darin.
Anschließend sofort den JCE aktualisieren.

Wenn nur Download mit anschließendem Upload möglich ist (kein Drag & Drop im FTP Client) - nimmst du am besten /html/cleanbackup/ als Upload Verzeichnis, um sicherzugehen, dass es keine erneuten Angriffe gibt während des Backup Hochladens.
Wenn vollständig hochgeladen, alles von /cleanbackup nach /html schieben - sofort einloggen, JCE aktualisieren.

Hasenmann

das benötige ich bitte in Anfänger-Sprech übersetzt:-)

Im jeweiligen Backup Verzeichnis (z.B. 27.05.) sind eine Menge Ordner, welche ein Spiegelbild des aktuellen Verzeichnisses auf dem Webserver darstellen.

Soll ich also im aktuellen Verzeichnis alles löschen und den gesamten Inhalt vom Backup Ordner in das aktuelle Verzeichnis kopieren?

Und da ich ja oft an der Seite arbeite und nicht soviel Arbeit neu machen möchte, reicht auch ein Backup vom 05.06.?

Diese Datei ist ja erst am 07.06. aufgetaucht.

Oder kann da noch irgendwo etwas verändert worden sein?

kitepascal

Vor dem 06.06. gibts keine Auffälligkeiten im Log - geht also auch das - ja.

Zitat von Hasenmann

Soll ich also im aktuellen Verzeichnis alles löschen und den gesamten Inhalt vom Backup Ordner in das aktuelle Verzeichnis kopieren?

Genau.
Anstelle meines Workarounds (erst mal den Backup Stand in ein weiteres Unterverzeichnis laden, da das ja recht lang dauert) kannst du auch einfach einen Passwortschutz vor die komplette Site setzen, bis du alles hergerichtet hast.

Kleines tool dafür:
https://website-bereinigung.de/downloads/htprotect.zip
htprotect.php hochladen - über https://schiesstermine.de/htprotect.php im Browser den Passwortschutz einrichten.

Nur um sicherzugehen, dass nicht bevor du fertig bist direkt wieder angegriffen wird.

Hasenmann

Hallo Pascal,

im aktuellen Verzeichnis sind diese Ordner vorhanden:

Im Backup Verzeichnis sind diese Ordner:

Es fehlt der Ordner logfiles, dafür gibt es aber einen Ordner MySQL.

Ich bin unsicher ob ich das trotzdem einfach so in das aktuelle Verzeichnis rüberkopieren soll?

kitepascal

Kannst du kopieren.

Im Ordner MySQL liegen vermutlich Datenbank Backups?

Hasenmann

ja stimmt, soll ich die auch kopieren oder weglassen?

kitepascal

Brauchts nicht auf dem Webspace - weglassen.

Aus dem Backup relevant ist eigentlich nur das www Verzeichnis.

Alles vom 27.05. als lokale Sicherung erst mal auf deinem PC zu behalten, schadet sicher nicht.

Hasenmann

nochmal gefragt, ich könnte doch den 06.06. oder besser den 05.06. nehmen, da die Datei erst am 07.06. aufgetaucht ist?

Und ist es sicher, dass da nicht irgendwo noch anderer Schadcode versteckt wurde?

kitepascal

Ja, hattest du gestern schon gefragt 🙂

Zitat von kitepascal

Vor dem 06.06. gibts keine Auffälligkeiten im Log - geht also auch das - ja.

Beiträge, Texte, Inhalte, Menüs, Module usw. sind ja eh in der Datenbank gespeichert - da verlierst du nichts durch die Dateisystem Wiederherstellung. Nur Bilder ggf.