Sicherheitscheckliste Joomla!

Joomla ist ein leistungsstarkes Content-Management-System. Als PHP-Programm wird es aktiv auf dem Server ausgeführt. Damit ist es potenziell von Hackern angreifbar. Dies geht so weit, dass Angreifer das System übernehmen und beliebigen Schadcode einschleusen können. Um dieses Risiko zu minimieren, sollten einige Sicherheitsregeln beachtet werden. Sicherlich kann man den einen oder anderen Punkt diskutieren. Auch erhebt die Liste keinen Anspruch auf Vollständigkeit.

Maßname	Begründung
Nicht den Standardbenutzernamen "admin" für das Superadmin-Benutzerkonto verwenden.	Dies erschwert Angriffe z.B. durch Brute-Force auf das Admin-Konto, da auch der Benutzername ermittelt werden muss.
Für den (Super)admin ein starkes (Länge, Sonderzeichen, zufällige Zeichenfolgen, keine "sinnvollen" Begriffe, keine Begriffe aus dem sozialen Umfeld) Passwort verwenden.	Dies erschwert ebenso Attacken auf das Benutzerkonto, da mehr Kombinationen ausprobiert werden müssen. Ebenso werden Dictionary-Attacken und Social-Engenering verhindert.
Das Joomla Kernsystem aktuell halten.	Um Fehler zu beseitigen und Lücken zu schließen.
Unötige Erweiterungen löschen.	Auch Erweiterungen können Sicherheitslücken enthalten. Es reicht wenn eine Erweiterung verwundbar ist, um das ganze System zu gefährden. Laut einer Studie des BSI werden die meisten Schwachstellen in nicht zum Kernsystem gehörenden Erweiterungen gefunden.
Erweiterungen regelmäßig updaten.	Um Fehler zu beseitigen und Lücken zu schließen.
Regelmäßiges Erstellen von Backups (Installation und Datenbank).	Falls doch einmal etwas schief geht, kann das System wiederhergestellt werden (wenn das gesicherte System nicht bereits angegriffen ist) bzw. (einzelne) Daten können wiederhergestellt werden.
Verzeichnis-/Dateirechte sinnvoll anpassen (z.B. config.php)	Erschwert dem Angreifer den Zugriff auf das System.
Ändern des Standard jos table prefixes	Erschwert ein erfolgreiches SQL-injection.
Wenn möglich in .htaccess rewriteengine auf on stellen	Erschwert dem Angreifer den Zugriff auf das System.
registerglobals auf off stellen	Verhindert, dass in PHP mit Werten belegte Variablen in das System eingeschleust werden. Ggf. können so Zugriffsbeschränkungen umgangen werden. Allergings gibt es Skripte, welche diese Einstellung benötigen. Wenn möglich sollte man dann auf diese verzichten. Nicht alle Provider ermöglichen es, diese Einstellung vorzunehmen. Neuere PHP Versionen haben diese Einstellmöglichkeit entfernt.
safemode auf on stellen.	Deaktiviert bestimmte System-Funktionen. Außerdem kann ein PHP Skript nur auf andere PHP Skripte aufrufen, welche denselben Eigentümer haben. Dies ist insbesondere bei Sharedhostern problematisch, da hier das Skript oft mit einem anderen Eigentümer ausgeführt wird (z.B. wwwrun). Auch diese Einstellung kann nicht bei allen Hostern vorgenommen werden. "safemode" wurde in neueren PHP Versionen entfernt.