THEMA:

DICIDE89 schrieb:

zu deiner frage wo ich dies gehört haben soll. z.b. hier im Forum: www.joomla.ch/forum/joomla3-allgemein/36...hackt-worden-was-nun
Auch von anderen Seiten ebenfalls wie im official Forum von Joomla.
 

Der von Dir erwähnte Forumsbeitrag stammt aber aus dem Jahr 2015!
Auch sonst habe ich schon sehr lange von keinen gehackten Joomla-Webseiten mehr gehört!

Du hast uns immer noch nicht verraten, welche Version deine Seite war, als sich gehackt wurde. Ich vermute mal nicht aktuell, oder?

Gehackte Seiten sind meist nie aktuell, ob nun Joomla oder nicht.
Denn mit jedem Update werden nicht nur Lücken geschlossen, sie werden damit auch publik gemacht. Man muss nur die Änderungen zwischen den Versionen vergleichen.

Und wer dann nicht aktualisiert spielt Russisches Roulette.

Um 16 uhr hab ich feierabend. Sagte ja oben das ich die verseuchte platte nochmal dran hänge und in der Log datei nachsehe was jetzt genau geschehen ist. 

mein IT chef meinte nun auch das war ein angriff stimmt alles dafür mit den Ordnern. 

und joomla war Aktuell. Das kann ich bestätigen da ich noch letzte Woche joomla Aktualisiert habe. 

Ich habe jetzt mir eine Pro Version von Server Antivirus beschafft sowie eine gute firewall. 
ich hatte vorher nie Probleme bekommen mit den Freesoftware tools. 
Doch ich weis wen man einen Server betreiben will muss man auch für die Sicherheit sorgen freetools sind da nicht zu empfehlen. 
hatte halt die ganzen Monate keine Zeit mich nach guten Sicherheitsvorkehrungen umzuschauen. Und da nie was passiert ist ist es in Vergessenheit geraten. 

Also ich melde mich später nochmal wen ich nachgeschaut habe. 

und das Problem ist schon gelöst falls ihr das nicht mit bekommen hattet. Durch das backup lief wieder alles

lg
jens

Nabend euch alln,

Erstmal Entschuldige ich mich für die verspätete Antwort. Gibt zurzeit viel in der Meisterschule zutun. Entschuldigt
Ihr wolltet gerne wissen was nun das Problem hervorgerufen hat. Dafür habe ich Testdurchläufe unterzogen und beobachtet. 

Das Problem ist wieder nach einem Tag aufgetreten trotz einem guten Antivirus und Webschutz...... und habe mir die server-logs mal angeschaut und habe stuzige und ängstliche Ergebnisse angezeigt bekommen. Daran hätte ich nie gedacht da mal nachzusehen weil für mich es inaktiv war. 
Der Fehler:
SMB war Aktiv für den Joomla Ordner! Also eine Öffentliche Freigabe bzw Private Freigabe! Fragt nicht warum! Keine Ahnung warum der Joomla Ordner eine SMB Freigabe hatte, ich kann mir nur eins vorstellen das ich Anfangs wie ich den Server aufgesetzt habe etwas von einem anderem Rechner in den Ordner über das Heimnetz kopiert habe. Eigentlich schließe ich danach direkt wieder die Freigabe. Irgendwie hat sich diese Aktiviert oder ich habe dies vergessen. 

Da konnte ich lange suchen warum sich im Ordner laufend leere AV, Photo und Video Ordner erstellt haben. Hauptsächlich im Administrator Ordner. 
Jetzt habe ich die Freigabe geschlossen und habe den Administrator Ordner noch mit einer zusätzlichen Authentifizierung von IIS angebracht. Jetzt läuft es schon seid 14 Tage Hackfrei und störungsfrei. 
Läuft wieder alles!!!! 

Hätte ich kein Backup gehabt, hätte ich sehr alt ausgesehen. Also Ursache in meinem fall warum:

"Syntax error, unexpected"

kam war einfach die dauerhafte SMB Freigabe sowie die SMB Ports. Webserver niemals als SMB benutzen auch wen es nur für einen kurzen Augenblick ist sollte niemals der fall sein. Das habe ich mir jetzt fest und Dick hinter die Löffeln geschrieben

Also wen einer mal auf dieses Problem stößt schaut ob im Joomla Ordner (auch die unter Ordner) sich merkwürdige Dateien befinden wen dies der fall ist schaltet umgehend euer SMB ab! Und sperrt die Ports! 
Danach Backup aufspielen und es läuft wieder alles! 

Wünsche noch jedem einen schönen Abend und bleibt Gesund!

LG
Jens

Sicherheitshalber, alle CORE Dateien noch überschreiben! (wenn die Seite wirklich aktuell war, natürlich von der aktuellsten Version)
Muss gestehen hab seit Jahren auch nicht mehr gehört dass jemand aktuelle Versionen (3.9.xx) von Joomla! unter IIS betreibt, bin überrascht dass das noch immer unterstützt wird