Множество атак происходит из-за того, что расширения сайтов уязвимы для атак типа SQL или LFI (local file inclusion). Простой плагин для Joomla [1] позволит увеличить уровень защиты, перехватывая наиболее известные виды атак.

Плагин [1] обладает следующими функциями:

• Фильтрует запросы в POST, GET, REQUEST, и блокирует попытки атак SQL injection / LFI.
• Оповещает по e-mail обнаруженные атаки.
• Также защищает сайт от уязвимостей расширений сторонних разработчиков.
• Предоставляется белый список для безопасных компонентов (используйте его на свой страх и риск).

[Стандартная настройка]

• Works on Front End only: игнорируются запросы (auto disable plugin), когда они отправляются в /administrator. Проверьте, что все работает правильно перед тем, как разрешить это также и на бэкэнде! Особенно если Вы разрешили блокировку по IP, иначе можете потерять доступ к сайту.

• NameSpaces inspected: можно выбрать суперглобальные массивы для инспекции, возможны опции проверки:

Get
Get, Post
Request
Get, Post, Request

• Ignored Extension. Игнорируемые расширения можно задать с помощью списка, где элементы отделены друг от друга запятой, например: com_content, com_dumper, com_weblinks.

Важное замечание: PHP парсит запросы и заполняет суперглобальные массивы путем копирования значений в каждый массив. Таким образом, $_GET['varName'] и $_REQUEST['varName'] не ссылаются на один и тот же объект! Изменение $_GET для очистки строки запроса недостаточно, если программа считывает $_REQUEST.

У меня плагин срабатывал на редактор статей JCE Editor, поэтому в список исключений добавил com_jce.

[Оповещение]

• Send Email Alert on injection/inclusion. Если 'Yes', то посылает mail-alert на attack/malformed URL.

• Mail to notify attack. Адрес почты, куда посылается оповещение.

[Продвинутая настройка]

• Raise Error on Fault. Если YES, то остановит Joomla и возвратит ошибку (будет установлена обычная ошибка, не дающая атакующему подсказки). Если No, то очистит запрос и передаст это Joomla.

• Http Error Code. Код ошибки HTTP для возврата (40x, 50x)

• Http Error Message. Сообщение на странице ошибки.

[Параметры LFI]

• LFI check only on canonical. Если Yes, то проверяется LFI только на параметры model, view, controller, template.

• Max number of consecutive '../'. Как много идущих друг за другом '../' может присутствовать в URL.

[Блокировка по IP]

Эти опции доступны начиная с версии 1.1.

• Enable temporary IP block. Разрешение или запрет бана по IP.

• Seconds to hold ip banned. Сколько секунд удерживается блокировка.

• Max hacks attempt. Максимальное количество попыток взлома для запуска блокировки.

Внимание: убедитесь, что запрещена функция 'Debug' Joomla перед тем, как разрешить блокировку по IP (только для версий до 1.4). 'Debug' Joomla захватывает ошибки базы данных и не дает плагину возможности создать таблицу для сохранения IP.

• Убедитесь, что Joomla 'Debug' запрещено.
• Разрешите IP blocking.
• Снова активируйте 'Debug' (если конечно это нужно).

НЕ ПЫТАЙТЕСЬ ПРОВОДИТЬ НИКАКИХ АТАК после разрешения 'IP blocking' и защиты бэкэнда! Иначе Вы потеряете доступ к сайту на время, установленное в параметре 'Seconds to hold ip banned'.

[Полезное дополнение]

Не все атаки проходят через фреймворк Joomla: касается jce editor. Вы можете добавить этот код к своему файлу .htaccess, вставьте его сразу после "RewriteEngine On":

RewriteCond %{REQUEST_URI}  ^/images/  [NC,OR]

RewriteCond %{REQUEST_URI}  ^/media/  [NC,OR]

RewriteCond %{REQUEST_URI}  ^/logs/  [NC,OR]

RewriteCond %{REQUEST_URI}  ^/tmp/

RewriteRule .*\.(phps?|sh|pl|cgi|py)$ - [F]

Этот код заблокирует все попытки запуска скриптов не под управлением Joomla. Возможно Вам понадобится добавить другие пути в зависимости от установленных компонентов.

[Восстановление неправильной установки]

Этот плагин работает на многих тысячах сайтов, однако он был протестирован не на всех наиболее широко используемых расширениях. Проверьте, что все наиболее важные функции сайта работают корректно. Было проведено тестирование со следующими компонентами, и некоторыми другими:

.ckForms
.virtuemart
.joomfish
.PhocaDownload
.PhocaGallery
.RokDownloads
.AcyMailing
.ccnews
.AlphaRegistration
.Chrono Contact
.SOBI2

Если возникла проблема, то можно легко восстановить работу сайта, следуя описанным далее инструкциям.

JDatabaseMySQL::query: 1146 - Table 'xxx.yyy_mi_iptable' doesn't exist

var $debug = '0';

public $debug = '0';

CREATE TABLE `#__mi_iptable` (

`ip` VARCHAR(40) NOT NULL COMMENT 'ip to char',

`firsthacktime` DATETIME NOT NULL ,

`lasthacktime` DATETIME NOT NULL ,

`hackcount` INT NOT NULL DEFAULT '1',

`autodelete` TINYINT NOT NULL DEFAULT '1',

PRIMARY KEY ( `ip` )
);

[Ссылки]

1. SQL Injection and LFI protection site:mmleoni.net.