Hallo Zusammen,
wir hatten die letzten Tage auf einer relativ gut frequentierten Typo3 Site XSS Angriffe.
Die meisten Versuche die registriert wurden liefen über den Parameter L den jede mehrsprachige Typo3 Installation wohl kennt.
Eckdaten:
- Mehrsprachige Site
- Multidomain Site (Angegriffen wurde jedoch nur eine Domäne)
typo3 4.5.29
TemplaVoila
CoolURI
powermail
wt_spamshield
PHPIDS
Alle Extensions sind auf dem aktuellsten Stand, zumindest ist keine Extension als sicherheitskritisch gekennzeichnet.
Einige Beispiele aus unserem Log:
?L=2%22+and+%22x%22%3D%22x
2\\\" and \\\"x\\\"=\\\"x
L=1%27%20and%20if%281
1\\\' and if(1
L=2%20union%20all%20select%20null%2Cnull%2Cnull%2Cnull%2Cnull%2
2 union all select null,null,null,null,null,null,null,n...
L=1%27%20and%20if%281=1,BENCHMARK%281485466,MD5%280x41%29%29,0%29%20and%20%27x%27=%27x&id=790
1\\\' and if(1=1,BENCHMARK(1485466,MD5(0x41)),0) and \\\'x\\\'=\\\'x
id=../../../../../../../../../../etc/passwd%00&L=1
L=1,
L=1'
Einige dieser Aufrufe enthielten auch Webadressen einer Hackerwebsite, deren URL möchte ich hier jetzt nicht promoten.
Nachdem wir PHPIDS als Typo3 Extension installiert haben konnten wir den größten Unfug abfangen. Was ich aber noch nicht ganz verstehe ist wo genau die Schwachstelle in unserem System war.
Speziell die beiden letzten URL Varianten landeten permanent im Typo3 Cache, wurden von den Suchmaschinen aufgenommen und den Rest könnt ihr euch denken…
Erst nachdem wir mit
$TYPO3_CONF_VARS['FE']['pageCacheToExternalFiles'] = '0';
den Cache deaktiviert haben landeten die entsprechenden Aufrufe auf der 404 not found Seite.
Vielleicht ist das jemandem eine Hilfe der mit ähnlichen Problemen zu kämpfen hat.
Hat jemand ähnliche Angriffe auf seiner Typo3 Installation?