Někdo mi každý den klepe na stejné dveře

Spočítal jsem sedm dní záznamů o přístupech na své weby na Joomle

Hned na úvod řeknu, že nejsem odborník na bezpečnost. Jsem jen člověk, který provozuje několik webů na Joomle.

V tomhle článku proto nenajdete nic složitého. Něco mě zaujalo, spočítal jsem to a zjistil jsem něco jiného, než jsem čekal. Nic víc to není. Píšu to pro případ, že to k něčemu bude ostatním, kdo mají vlastní web na Joomle.

Existuje kniha, kterou jste možná nikdy neotevřeli

Server, na kterém váš web běží, si sám vede záznam, kterému se říká přístupový log.

Kdo přišel, odkud a na kterou stránku se podíval. Řádek za řádkem, donekonečna, jako účetní kniha. Většinou tam je, aniž byste cokoli nastavovali.

Běžně není důvod se do něj dívat. Já ho otevírám, jen když mi něco nesedí.

Tentokrát mi něco nesedělo.

Pořád se objevoval tentýž text

Od začátku srpna se mi v záznamech administrace znovu a znovu objevoval stejný řetězec znaků.

index.php?option=com_jce

Několikrát denně, z nejrůznějších míst, mířeno přesně na totéž místo, jako by to bylo vyražené razítkem.

Sebral jsem tedy záznamy o přístupech za sedm dní od 30. července do 5. srpna a pořádně jsem je spočítal.

Co vlastně com_jce znamená

com_jce je JCE, nástroj pro psaní textu hojně používaný s Joomlou. Usnadňuje práci na obrazovce, kde píšete články, a nainstalovaný ho má nejspíš dost lidí.

Proč se míří právě sem? Důvod je prostý.

Před lety se v JCE našla chyba. Ta, která umožní zvenčí protlačit dovnitř soubor. Opraveno to bylo samozřejmě už dávno.

Jenže svět je plný webů na Joomle, kterých se roky nikdo nedotkl. Z pohledu útočníka je to efektivní cíl: jeden zásah a jste uvnitř.

I dnes tedy stroje obcházejí weby na Joomle po celém světě a klepou na tytéž dveře.

Pět set třináct zaklepání za sedm dní

Tady je výsledek počítání.

Požadavků mířících na com_jce bylo za sedm dní 513, odeslaných z 56 různých míst.

Po dnech: nejklidnější den měl 24, nejrušnější 216. Den bez jediného nebyl. Chodí to každý den.

Provozuji čtyři weby a cíl byl na všech. Na obchodě s rukodělnými potřebami i na fanouškovském webu o hudbě, bez rozdílu.

A ani jeden se nedostal dovnitř.

Odpověď serveru byla ve všech případech odmítnutí, zaznamenané číslem 403. Z toho 160 požadavků, které představují vlastní útok, bylo bez výjimky odbyto přede dveřmi.

Z čísel je vidět, že to nedělá člověk

Když se na záznamy podíváte, je zřejmé, že to má na svědomí stroj.

Z jednoho jediného zdroje například vyšlo 38 požadavků na každý ze tří mých webů. Třicet osm, třicet osm, třicet osm. Ruční prací tohle nikdo nevytvoří. Je to seznam zpracovávaný po pořádku.

Když se na tentýž zdroj podíváte po sekundách, během jedné sekundy dorazilo sedm požadavků. To dvojice rukou také nesvede.

Zajímavé je, jak se představují.

Když něco navštíví web, ohlásí, jaký je to prohlížeč. Z těch 513 se jich 157 ohlásilo jako Chrome na Linuxu, 60 jako Chrome na Windows a 38 jako Safari na Macu.

Nepravda, přirozeně. Jsou převlečené za běžné návštěvníky, aby zakryly, co jsou zač.

Šestnáct z nich ale uvedlo prostě jméno nástroje, ze kterého jsou postavené. Někteří se ani neobtěžují to skrývat.

Nejpřekvapivější zjištění

Tohle mě zarazilo nejvíc.

Spočítal jsem i to, na co se ještě během těch sedmi dní mířilo.

Požadavků hledajících konfigurační soubory: 1 677. Požadavků hledajících administraci a přihlašovací obrazovku WordPressu: dohromady přes 2 200.

Čímž se 513 pro com_jce řadí spíš mezi ty menší skupiny.

Všechny mé weby běží na Joomle. WordPress nepoužívám nikde. A přesto požadavků klepajících na dveře WordPressu bylo víc než čtyřikrát tolik.

Co nám to říká?

Nezjišťují si, na čem jsou mé weby postavené. Procházejí všechny adresy na světě a klepou postupně na všechny druhy dveří. Poškozeny jsou jen ty domy, které náhodou nebyly zamčené.

Nemířili tedy na mě. Jen jsem uvízl v síti.

Pro představu: všech návštěv za sedm dní bylo asi 150 000, z toho zhruba 5 800 vypadalo jako útok. Přibližně čtyři procenta.

Co s tím tedy dělat

Vypsáno v číslech to zní znepokojivě, ale dělat se toho dá pozoruhodně málo.

Zaprvé. Pokud používáte JCE, udržujte ho v nejnovější verzi. Už jen tím se všech těchto 513 pokusů promění v rány naprázdno. Útok mířený na chybu, kterou jste už opravili, neprojde, ať přijde jakkoli často.

Zadruhé. Smažte rozšíření, která nepoužíváte. Co tam není, nemůže být napadeno.

Zatřetí. Občas se do záznamů podívejte. Ne denně. Jen se snažte nebýt někým, kdo se tam nepodíval nikdy.

Máte-li na to prostor, přidejte něco, co podezřelé požadavky zastaví hned u vchodu (rozšíření k tomu existují). Pak se dovnitř vůbec nedostanou. Můj výsledek, kdy neprošlo nic, je právě jeho zásluha.

Není třeba se bát

Nakonec pár slov pro všechny, kdo si web spravují sami.

Při pohledu na tato čísla není důvod cítit se vyvolený. Pokud je server zveřejněný na internetu, děje se mu totéž. Prší stejně na weby otevřené včera i na ty, kterých se roky nikdo nedotkl. Je to počasí.

Nejde o to snížit počet útoků na nulu. To nedokáže nikdo.

Jde o to udržovat věci ve stavu, kdy zásah neprorazí, a občas se podívat, v jakém stavu jsou vlastní dveře. Tyto dvě věci.

Někdo klepe každý den. Když zámek drží, nestane se nic. Tohle počítání mi to ukázalo v číslech.

Jednou za čas stojí za to si to spočítat. To je můj upřímný dojem.