Neue Nutzerregistrierung verhindern.

Ralf Koehnsen

Ist es über HTProtect möglich, generell eine neue Nutzeranmeldung in Joomla zu unterbinden, so dass nur der eine Superuser dort präsent ist und es keinen anderen "User" möglich ist, ein neues Konto zu erstellen, im Sinne von "es kann nur einen geben"?

Reiner

Moin Ralf,
eine Nutzerregistrierung kannst du doch in Joomla selbst deaktivieren?!
Backend -> Benutzer -> Verwalten -> Optionen -> (TAB Benutzeroptionen) -> Benutzerregistrierung -> NEIN

Ralf Koehnsen

Hallo,
dies erfolgte auch. Trotzdem wurde ein Benutzer mit dem Registrierungsdatum 30.11.-0001 00:00:00 generiert, und dieses meines Wissens nach nicht über das Dashboard, weil es nur 1 User gibt, welcher dort überhaupt weitere User anlegen kann/darf.
Ich hatte auch über HTProtect eine Warnung bekommen, das der SuperUser (mein Account) ein neues Passwort bekommen hat und dieser runtergestuft wurde - und zwar runtergestuft auf einen undefinierten Zustand bezüglich der Usergruppe. Der neu "angelegte" Use hatte dann SuperUser-Privilegien. Glücklicherweise fängt HTProtect auch das Passwort von dem neuen ein, weshalb ich mich damit einloggen, meinen Account wieder freischalten, mich damit einloggen und des neuen Disabled habe. Disabled, weil meine Löschung dieses Accounts kurzerhand zunichte gemacht wurde, weil der User danach wie von Zauberhand wieder erstellt wurde.
Der User ist jetz noch vorhanden, aber disabled. Ich werde den Zugangs zum Dashboard jetzt noch zusätzlich absichern.

Pascal

Hallo Ralf,

2.6.9+ hat jetzt einen Schutz gegen - an der Joomla-Userverwaltung vorbei - eingeschleuste Admin-Konten.

Die werden jetzt direkt gesperrt. Gleichzeitig werden bestehende Admin-Konten geschützt. Heißt: Wenn die Gruppenzugehörigkeit - wie in deinem Fall - plötzlich entfernt wird, wird das automatisch revidiert. Auf normalem Weg über die Joomla-Benutzerverwaltung durchgeführte Änderungen bleiben davon unberührt.

Glücklicherweise fängt HTProtect auch das Passwort von dem neuen ein, ...

Das Passwort wird in dem Sinne nicht "eingefangen". Du kannst dich über das Dashboard als beliebiger aktiver Super User einloggen - dafür wird passwortlos eine Session für den jeweiligen Benutzer erzeugt. Das Passwort selbst wird dabei weder benötigt noch ausgelesen.

Konntest du die Ursache für die Veränderungen bei dir inzwischen finden? Irgendwo Schadcode entdeckt, ist deine Datenbank von extern erreichbar oder wurde vielleicht ein Cronjob eingeschleust?

Gruß
Pascal

Ralf Koehnsen

Danke für deinen Reply. Ich habe die Benutzeraktiväten gecheckt und die Benutzerregistrierung des "neuen" Benutzers wurde dort nicht verzeichnet. Ich wüßte auch nicht, wie dieses im Backend selber hätte passieren sollen. Der (mein) SuperUser hatte ein sehr sicheres Passwort und die zusätzliche Abschottung durch HTProtect nahm ich auch noch vor. Der Content liegt bei IONOS und ich habe die Kundendaten dafür vorliegen. Wollte damit ins Kundencenter, aber die Daten ließen mich nicht rein. Desweiteren kam ich auch nicht mehr per FTP auf den Server. 2 Indikatoren, das etwas im IONOS Backend gedreht wurde und man (imho) per PHPMyAdmin dort den User in die Datenbank einfügte. Ich schrieb den Kunden an, ob in der Vergangenheit irgendwann eine Mail von IONOS mit der Bitte um eine neue Passwort-Vergabe kam, was man dort verneinte (ich denke, da ist etwas diesbezüglich gelaufen). Nun, ich habe den Kunden gebeten ein neues Passwort bei IONOS anzustrengen, mir dieses mitzuteilen und dann schaue ich einmal, was dort geschossen wurde. Ich halte die Communitys auf dem Laufenden 😉

Ralf Koehnsen

Und hier das Rätsels Lösung: der Kunde hatte wohl einen internen IT-Vorfall (wie auch immer sich dieser darstellte) und hat dann einen befreundeten ITLer zur Rate gezogen, welcher im Backend von IONOS an allen Schrauben bzw. Passwörtern drehte, an denen es nur zu drehen ging. Bei der Gelegenheit hat er sich auch gleich an der Datenbank zu schaffen gemacht, sich - bzw. den Kunden selber - als SuperUser eingetragen, meinen SuperUser-Account runtergestuft und disabled. FTP-Zugang auch gleich mit einem neuen Passwort versehen. Wer solche Kunden hat, der braucht keine Hacker mehr.

Ich danke dem Publikum für die Aufmerksamkeit 😄

LG von der Küste, Ralf

Reiner

Hallo Ralf,
danke für die Aufklärung des Sachverhaltes.
Solche ITler bereiten viel Freude. 😵

LG Reiner