HTProtect - schnelle Erste Hilfe für und gegen gehackte Joomlas

    Frage: Wir haben überall die Akeeba-Tools installiert und entsprechend unserem Kenntnisstand konfiguriert. Auch die htaccess lassen wir die tools schreiben


    Jetzt trauen wir uns nicht so recht Dein HTproject zu installieren, nicht dass sich beide Tools furchtbar in die Quere kommen. Hast Du da auch schon Erfahrungen mit dieser Kombination?


    cu....O.D.

    Wenn die Admin Tools Pro inklusive .htaccess Maker bereits kontrolliert im Einsatz sind, macht es weniger Sinn, beide parallel zu nutzen.

    Wer dagegen die kostenlose Variante der Admin Tools nutzt, hat keine Überschneidungen oder Wechselwirkunge zu erwarten - dort fehlen .htaccess Maker und Firewall, die der Pro-Version vorbehalten sind.

    Wie sind denn Eure Erfahrungen - gab es unter den mit Admin Tools Pro ausgestatteten Seiten erfolgreich angegriffene?

    In der nächsten HTProtect Version, die auch die Extension-Auto-Updates einführt, baue ich einen Schalter ein, mit dem sich die .htaccess-Generierung/-Inhaltsüberwachung optional abschalten lässt.

    Wir benutzen die Pro-Version. Von ca. 80 Websites die wir betreuen, wurde eine einzige gehackt. Wir haben sofort nach Bekanntwerden der Lücke upgedatet, wir können nicht ausschließen, dass wir diese eine Site fahrlässig übersehen haben.

    Das erst mal seit bestimmt 10 Jahren oder mehr wurde uns wieder mal eine Site gehackt. Seitdem wir die tools und das Backup verwenden, ist alles ok.

    In diesem Fall scheinen die Tools maximal verhindern zu haben, dass weitere Superuser angelegt wurden, oder Schadcode oder ähnliches verteilt wurde. Bevor wir den ganzen Dreck gelöscht haben, haben wir entsprechende Prüfungen gefahren, aber nichts gefunden.

    Insgesamt sind wir mit Akeeba sehr zufrieden. Gerade das Backup funktioniert schnell, gut und zuverlässig. Die tools muss aber halt selber konfigurieren und da sind wir oft nicht sicher, ob wird das optimal nutzen können.

    Auf einer Website haben wir Dein Tool auch mal installiert, da scheint es harmonisch und ohne Konflikte parallel zu laufen. Haben aber noch nicht viel damit ausprobiert, uns fehlt die Zeit dazu.

    Wir haben den Eindruck, dass die Tools einiges abhalten, beim JCE-Hack wissen wir aber nicht, ob wir Gott sei Dank schneller waren oder die tools ev. auf dieser Website nicht so gut eingestellt waren.


    cu....O.D.

    Moin,

    System → Konfiguration → Server → „Site-URL" prüfen (= $live_site in configuration.php):

    steht da http://lightroom.deine-seite.de/ → auf die echte URL setzen oder leeren (public $live_site = ''; (empfohlen) → Joomla erkennt sie selbst).

    Das behebt nebenbei diverse andere Folgefehler (falsche absolute Links, Canonical, E-Mail-Links …), die ein falsches $live_site site-weit verursacht.

    Die Meldung wird bei dieser Konstellation in der 2.3.6, sobald fertig getestet, lauten:

    „Deine konfigurierte Site-URL <x> löst nicht auf (301-Schleife) — bitte $live_site prüfen." Das macht aus dem verwirrenden „Fehler/leere Seite" einen konkreten Konfig-Hinweis.

    Danke für die Rückmeldung dazu!

    Generell ausgelöst wird die Meldung durch den Startseiten-Wächter:

    Gruß

    Pascal

    Natürlich steht die Subdomain nicht in der konfig. :) Die Variable live_site ist selbstredend leer. :)
    Die Seite läuft super und alles wird korrekt aufgelöst.

    Zitat von O.D. Bavaria

    Frage: Wir haben überall die Akeeba-Tools installiert und entsprechend unserem Kenntnisstand konfiguriert. Auch die htaccess lassen wir die tools schreiben


    Jetzt trauen wir uns nicht so recht Dein HTproject zu installieren, nicht dass sich beide Tools furchtbar in die Quere kommen. Hast Du da auch schon Erfahrungen mit dieser Kombination?


    cu....O.D.

    Habe auch beide Tools am Laufen. Akeeba-Tools Pro für das Feintuning und HTProtect als Scan-Ergänzung. htaccess-Dateien werden ausschließlich vom Akeeba-Tool geschrieben, HTProtect wird als reiner Scanner für "böse" Dateien. Funktioniert bis jetzt.

    Ich habe HTProtect auf vier Seiten laufen und hatte heute erstmals eine Mail von einer der Seiten erhalten, wonach das PW bei einem Super User (meiner) geändert wurde. Aber ich habe das PW sicher nicht geändert und es ist immer noch "mein" PW hinterlegt, d.h. ich kann mich normal einloggen.

    Hallo zero,

    danke fürs Melden.

    Vermutlich speichert genau diese Seite die Passwörter mit "Argon2" (moderne Server-, PHP-Konfiguration, die das unterstützt, ggf. eine Erweiterung die reinfunkt(?)) statt dem Standard "bcrypt"? Dann hat HTProtect das ganz normale Auffrischen des Hashes durch Joomla (passiert bei Login, Mail kam nach Login?) fälschlich als Änderung gewertet.

    So kannst du es prüfen - in der Datenbank (z. B. phpMyAdmin), Tabelle "…_users", Spalte "password" bei deinem Admin User:

    • beginnt mit "$argon2id$" oder "$argon2i$" -> Argon2 (genau dieser Fall)
    • beginnt mit "$2y$" -> bcrypt

    Das Release 2.3.6 zu späterer Stund behebt das: HTProtect erkennt das Verfahren dann direkt am Hash und stuft das Auffrischen auch mit Argon2 Hashing korrekt als harmlos ein.

    Gruß
    Pascal

    Liebe Freunde der gepflegten Joomla-Installationen,

    HTProtect 2.3.6 steht in den Startlöchern! Das initiale Release ist für heute gegen 22 Uhr geplant - wenn nichts dazwischenkommt.
    Mit dieser Version werden die automatischen Sicherheits- und Extension-Updates (Experimental) eingeführt.
    Bitte aktiviert die Auto-Updates vorerst noch nicht auf mission-critical Sites.

    Außerdem neu:

    • Ein Abfangmechanismus für den Fall, dass ein deaktiviertes J5/J6-Abwärtskompatibilitäts-Plugin die Seite lahmlegen würde (mehr dazu).
    • Ein Schalter für alle, die ihre .htaccess selbst oder mit anderen Tools verwalten möchten:
    • UI-Design-Verbesserungen.

    Ich freue mich über jeden aufmerksamen Tester und über jede Rückmeldung - insbesondere über Verbesserungsvorschläge und Bug-Reports.

    Meine Güte - du bist ja nicht zu bremsen!
    Was als "simpler" .htaccess-Schutz begann wird ja zum Rundum-Komplettpaket, das viele andere Einzel-Plugins überflüssig macht.

    Pass nur auf, dass das Ganze nicht zu unübersichtlich wird und User (wie ich) dadurch in der Bedienung nicht überfordert werden.
    So langsam bekomme ich Angst vor dem Teil.

    Vielen Dank!!!

    Da muss ich bemerkenswelt zustimmen. Wenn das Ganze zu viele Einstellungen usw. bietet und unübersichtlich wird, wäre es auch schade, auch wenn sich die Funktionen gut anhören. Ich habe beispielsweise ein Translationplugin im Einsatz, das Ding hat so viele Einstellungen, dass ich nie genau weiß, was ich aktivieren soll und was nicht. Der Entwickler hat kürzlich ein Art Konfig-Wizard eingebaut, wo man die Grundeinstellungen etwas einfacher in wenigen Schritten durchgeht.