Joomla! eXtplorer 漏洞 – 已修复！

[shukla7789]

黑客徽标

昨天，我结束了关于 Joomla 安全性的网络研讨会，今天又要开始讨论流行的 Joomla! 扩展 eXtplorer 文件管理器中发现的一个新的严重漏洞。此漏洞是两种最流行的应用程序漏洞利用方式的典型示例：易受攻击的插件和薄弱的登录详细信息。当然，问题一经发现，我们就开始在服务器级别保护我们的 Joomla 客户。下面我将解释这个漏洞、我们在服务器上修复它的方法，以及如果您的服务器不是由 SiteGround 托管，您应该怎么做。


eXtplorer 文件管理器漏洞解释
eXtplorer 文件管理器是一款功能齐全的独立 捷克共和国 whatsapp 数据 文件管理器。它还具有 Joomla 扩展，可让您直接从 Joomla! 管理区域管理文件。通过安装 eXtplorer Joomla 扩展，您还可以安装单独的 eXtplorer 管理界面，您可能甚至不知道这一点。这个独立界面的问题在于，它的登录详细信息会自动创建为 admin/admin，同时默认情况下它是公开可访问的！因此，任何人都可以轻松登录 eXtplorer 文件管理器，然后将任何文件上传到您的 Joomla! 网站。

我们做了什么来防止黑客访问易受攻击的网站？
我们的安全团队迅速创建了自定义 Apache mod_sec 规则来过滤请求。这意味着如果有人试图访问 eXtplorer 单独的管理界面，默认登录详细信息将不起作用，登录页面将简单地重新加载。

如果您碰巧自己使用管理员/管理员登录详细信息使用此界面（我们非常怀疑任何遵循我们的安全提示的客户都会这样做），您可以联系我们的支持人员重置密码。如果您以通常的方式使用 eXtplorer 插件 - 通过您的 Joomla 管理员，您不应采取任何进一步的行动。

如果您不是由 SiteGround 托管的，该怎么办？
如果您的服务器不托管您的主机，您有两种选择：

1. 解决该问题的第一个方法是立即更改 eXtplorer 单独管理界面的默认密码。要执行此操作，请访问以下界面：

http://yourdomain.com/administrator/com ... extplorer/

然后登录并更改默认管理员用户名的密码。

2. 解决该问题的第二种方法是在 com_extplorer 文件夹中创建一个 .htaccess 文件，并在其中添加以下行：

全部否认
这样，eXtplorer 单独的管理界面将根本无法访问，黑客也看不到登录页面。