Comment les pirates ont-ils réussi à créer un nouvel utilisateur alors que "autoriser l'enregistrement de l'utilisateur" est réglé sur "NON"?
Récemment, je trouve qu'un nouvel utilisateur est créé sur mon site 3.6.0 et placé dans le groupe "administrateur", mais l'option "Autoriser l'enregistrement de l'utilisateur" est définie sur "NON", bien que les états "activé" et "activé" ne soient pas cochés. .
J'ai mis à niveau Joomla vers la dernière version 3.6.4, puis j'ai essayé de supprimer l'utilisateur, mais j'ai été amené à une page 404 indiquant que celle-ci ne fonctionnait pas.
Je sais que le système d'enregistrement des utilisateurs de Joomla est souvent utilisé pour injecter des fichiers malveillants, alors je le désactive. Comment ce pirate a-t-il réussi à s'en sortir? Et cela signifie-t-il que mon compte super utilisateur a été compromis?
La principale raison de la mise à jour 3.6.4 était exactement ce qui vous était arrivé!
Bulletin de sécurité [20161001] - Noyau - Création de compte
"Des contrôles inadéquats permettent aux utilisateurs de s'inscrire sur un site lorsque l'enregistrement a été désactivé."
Ensuite, la vulnérabilité supplémentaire qui a été corrigée par la version 3.6.4 était [20161002] - Core - Privilèges élevés "L'utilisation incorrecte de données non filtrées permet aux utilisateurs de s'inscrire sur un site avec des privilèges élevés."
Maintenant, juste comment les pirates ont-ils réussi à créer un nouvel utilisateur alors que "autoriser l'enregistrement d'un utilisateur" est réglé sur "NON", vous pouvez le trouver sur le blog de Sucuri '- Détails sur la vulnérabilité liée à l'escalade de privilèges dans Joomla '.
Il est très intéressant de lire, du moins de dire, et assez technique, donc tout à fait impossible de dupliquer ici ...
Le plus effrayant à propos de cette vulnérabilité est qu’elle permet non seulement à un pirate de créer un compte même lorsque l’enregistrement est désactivé, mais modifie également le nom d’utilisateur, le mot de passe et l’adresse électronique de l’administrateur!
Lectures supplémentaires sur les problèmes d'enregistrement:
' tilisateurs qui s'enregistrent sans qu'un formulaire d'enregistrement soit publié ' sur le site Joomla VEL (Liste des extensions vulnérables), qui l'explique et propose quelques recommandations pour l'éviter.
Question similaire ici sur JSE: ' Comment empêcher les (faux) utilisateurs de s'enregistrer sur mon site? '
Document officiel sur Définition de la politique d’enregistrement de l’utilisateur sur le site de Joomla Documentations.
Il est donc crucial de mettre à jour votre Joomlas vers la 3.6.4 dès que possible!
Le pirate informatique peut pénétrer par effraction sur votre site Web de nombreuses façons.
Je vous recommande de voir ces documents:
https://docs.joomla.org/Security
En ce qui concerne votre question, je parierais que le pirate informatique pourrait en quelque sorte télécharger un fichier sur votre site Web avec un script qui crée l'utilisateur directement dans la base de données.
Avec la connaissance des tables et des fonctions Joomla, il est relativement simple à faire.