Server-Hack oder Contenido-Bug? - CSS-Dateien überschrieben

[malsdgtac]

Hallo,

wir hatten bei einem unserer Kunden (unserer Meinung nach) einen Serverangriff. Der Provider meint nun es wäre ein Contenido-Bug (weil es keine Uploads via FTP gab) und ich möchte gerne nachfragen, ob das eurer Meinung nach möglich wäre.

Hier die Fakten:
- Bei dem Kunden läuft eine Contenido Version 4.6.4.
- Es wurden alle CSS-Datein überschrieben und somit das Design furchtbar verunstaltet.
- Im Log von Contenido waren keine Einträge von Änderungen an den CSS-Datein, ich kann also ausschließen, dass die Änderungen über das System erfolgt sind?

Seht ihre eine Möglichkeit, dass Contenido daran schuld war? Im Forum hier habe ich diesbezüglich nichts gefunden.

Vielen Dank für Eure Antworten.

[wayfearer]

Ich wüsste von keinen möglichkeiten irgeneinen Code einzuzuschleusen, mal die Serverlogs geprüft ob irgendwie via php eine file angelegt worden ist oder mal gecheckt ob irgenwo irgenwelche dateien sind die vorher nicht da waren. SQL Injection schließe ich einfach mal aus, ich glaube nicht das Contenido da so unsicher ist. Wurden alle Passwörter geändert auch das von admin? Einfach mal alles durchchecken.


Mfg,

Way

[malsdgtac]

Hm, ich habe mich gleich mal auf die Suche nach komischen Dateien gemacht. Da gibt es eine von der ich nicht glaube, dass sie zu Contenido gehört:

error.304.php im Ordner contenido/cronjobs

Am Anfang steht ein Kommentar mit dem Inhalt:
// This file is protected by copyright law and provided under license. Reverse engineering of this file is strictly prohibited.

Dahinter nur Zahlen und Buchstaben.

Ich denke mal ich werde den Provider fragen, ob er weiß wo die Datei her kommt.

[wayfearer]

Die gehört da definitiv nicht hin. Zumindestens nicht in der Version 4.6.15

So wie du das sagst ist das eine verschlüsselte PHP Datei, kannst du mir die mal schicken an [...]


Mfg,

Way

[Dodger77]

In den Logdateien würde ich mal nach Vorkommen von

Code: Alles auswählen

?cfg[path][contenido]

suchen. Die 4.6.4 dürfte noch Lücken aufweisen:

http://www.contenido.org/forum/viewtopic.php?t=10950

außerdem kann auch durch ein Update von einer vorherigen 4.4.x noch etwas übrig geblieben sein:

http://www.contenido.org/forum/viewtopi ... t=cfg+path

[HerrB]

Und wenn Du auf eine news.php stoßen solltest (siehe auch bei contenido/external/frontend!): in die Tonne...

Gruß
HerrB

[wayfearer]

Hallo smac,

ich habe dir 2 Emails geschrieben, hast du die schon bekommen ?

Mfg,

Way