Beiträge von flotte

nebenbei gefragt: Welches Emailprogramm benutzt Du?

Hallo!

Du sprichst da ein allgemeines Problem an, welches leider von Kunden oft nicht beachtet wird. Viele Kunden arbeiten ja mit Technikpartnern zusammen, die sich dann eigene Zugänge einrichten. Sei es zur Hostingverwaltung, FTP, Script-Backends usw. Wenn die Techniker nicht mehr zuständig sind bleiben die Zugänge meist bestehen. Insbesondere wenn ein Kunde diese Zugänge gar nicht kennt oder damit umgehen kann.

Selbst wenn der Technikpartner noch "lebt" ist, aber nicht mehr zuständig ist, gibt es ja das Sicherheitsproblem, das jemand einen unberechtigten Zugriff hat. Das erleben wir leider laufend in unserem Geschäft als Hoster. Immer wenn Kunden uns neue Technikpartner mitteilen, fragen wir nach der Aktualität alter Partner. Fast immer lautet die ...nee, der ist nicht mehr zuständig... aber niemand hat seine Zugänge entfernt und von sich aus hätten Kunden das meist nicht mitgeteilt.

Hier greift die Eigenverantwortung eines Kunden, niemand anderes kann das vollumfänglich einsehen und beurteilen.

Das mit Chris in Verbindung mit Joomla ist sicher kein Einzelfall, aber hier in der Community natürlich von besonderer Bedeutung. Wir hatten Chris lange auf unserer Partnerliste und er war Technikpartner bei sehr vielen Kunden. Als wir keinen Kontakt mehr hatten, wurde er von der Liste entfernt und die Kunden-Stammdaten durchsucht und seine Adresse entfernt, damit wir auf jeden Fall keine wichtigen Emails mehr an seine Adresse senden. Wenn Chris jedoch ohne unsere Kenntnis irgendwo eingetragen ist, können wir das unmöglich finden.

Das Du die Domain nun übernommen ist ist eine gute Idee!

Also mal im Ernst, warum diese ganzen überflüssigen Postings? Willst Du mich ärgern?

Du hast auf eine wichtige Sicherheitslücke hingewiesen, ich habe etwas ergänzt. Das sollte doch wohl reichen.

nein ist nicht der gleich. Der obere Link geht direkt auf die gerade aktuelle Version und meiner auf die Website wo der Download ist. Falls es eine weitere Version gibt, wird obiger Link vermutlich ungültig. Aber egal, darum soll es hier ja nicht gehen

So wie ich das mitbekommen haben, war das ein gezielter Angriff auf eine Asiatische Anwender. Im Normalfall sollten wir hier nicht betroffen sein. Aber selbstverständlich unbedingt die aktuelle Version installieren!
Nur von hier runterladen:
Notepad++

Zitat von crazy-to-bike

...Aber warum wird dann immer empfohlen, das Backupverzeichnis außerhalb des Joomla-Web-Root zu legen?...

Ob das immer überall empfohlen wird denke ich mal nicht. Netcup würde es sicher nicht empfehlen

Wir empfehlen das beispielsweise und wir haben auch ein spezielles Systemverzeichnis für Backups. Auch ist es so, das wir automatisch je Domain ein eigenes Webroot einstellen und damit sicherstellen, das es keine verschachtelten Scriptinstallationen gibt, sondern die Installationen parallel liegen. Dann kann man auch sauber sichern/rücksichern.

Einer der weiteren Gründe warum wir die Backups außerhalb des Webroots empfehlen ist, damit das Joomla/Wordpress etc.pp schlank bleibt. Dann lässt es sich in wenigen Sekunden mit unserer internen Backup/Restore-Funktion sichern/wiederherstellen und muss keine tonnenweise Backupdaten auch noch mal sichern/wiederherstellen.

Ohne Kenntnis der Regeln der Firewall kannst Du hier rein gar nichts beurteilen. Und wir von extern sowieso nicht.

Du musst eine Hack-Analyse durchführen (siehe Signatur) und den ganzen Hostingaccount erst einmal vom Netz nehmen.
Allinkl hat nur das normale Script genannt was sendet, aber das ist prinzipiell ein ganz legales Script. Das alleine zu deaktivieren bringt gar nicht, außer kurz das Mailing zu stoppen.

Ja richtig. Dann werde ich die alte Anleitung mal einstampfen

Ein Kunde hatte uns mal eine Anleitung gesendet, die wir dann in eine FAQ übertragen haben.
Hab es selbst nie ausprobiert und kann daher nicht sagen, ob es noch funktioniert.
SMTP Mailversand via MS 365 und Joomla - fc-hosting.de | Webhoster

bei mir klappt alles

OK Danke. Hatte gerade im Kopf "automatische Updates" auch gleich "automatische Core-Backups".
Danke für die knappe und verständliche Aufklärung.

Vielleicht habe ich es überlesen (dann Fragen nicht beachten):

1) Bei der Aktivierung wird was genau bei Joomla registriert?
2) Wo wird das Core-Backup gespeichert?
3) Wenn es extern ist, wie erfolgt der Zugriff?
4) Über welche Zugriffsart werden die neuen CORE-Files übertragen?
Holt sich das Joomla dies selbst? Ich denke ja, so wie bei manuellen Updates.
5) Falls ein Backup zurückgespielt werden soll - wie geht das?
6) Wie bekommt ein Webmaster mit wenn ein Update gelaufen ist? Er muss ja dann wohl prüfen, ob alles geklappt hat.

Frage:
Würde ein .htaccess-Passwortschutz die Funktion blockieren?

Die Aktivierung des Auto-Updates hat nun geklappt.

Dachte ich mir schon, AWS-Server. Deren Bereiche werden aufgrund massivster Hacker- und Bot-Aktivitäten immer wieder gesperrt. Ebenso MS-IPs. Heutzutage ist es eine ganz schlechte Idee auf AWS zu setzen.

52.14.131.139 werde ich bei uns nun idividuell als Solo-IP entsperren.

Gerne, aber dazu müsste ich wissen welche IP zugreifen möchte

Ich erhalten bei der Aktivierung der Auto-Updates diese Meldung:

Error while registering to automated update service: cURL error 28: Failed to connect to fc-test.de port 443 after 5001 ms: Timeout was reached (see https://curl.haxx.se/libcurl/c/libcurl-errors.html) for ...

Zitat von SniperSister

Kann ich mit Blick auf das aktuelle Default-Theme von WP nicht so recht nachvollziehen.

Sorry David, aber das leere Joomla-Default-Design ist auch nicht besser:

Die automatischen Updates im Wordpress sind ehrlich gesagt klasse! Man kann auch einstellen, was konkret automatisch geupdated werden soll oder das auch komplett abschalten. Und wir stellen auch relativ wenig Probleme damit fest. Für die meisten typischen Kunden mit kleinen überschaubaren Websites ist das wirklich ein Segen.
Wir hosten hier massenhaft Joomla und Wordpress-Websites und wenn ich schaue, dann sind die Joomla-Installationen deutlich häufiger völlig veraltet. Das ist in der Tat schon ein Problem. Das es dazu bald eine coreseitige Lösung geben wird, ist hervorragend!

Komplexe, große oder wirklich wichtige Seiten sollten nach wie vor manuell stetig gewartet und in dem Zuge auch geupdated werden. Notfalls gibt es natürlich automatische providerseitige Backups bei uns, so das ein gescheitertes Update problemlos behoben werden kann, sofern man das Scheitern rechtzeitig bemerkt.