Der Joomla-Profi!

Der Ausdruck "Brute-Force" steht für "knall-hartes durch testen von Passwörtern". In der Praxis sieht es so aus, dass ein spezielles Programm eine Webseite mit User und Password als Parameter aufruft und die vom Server zurück gegebene Seite darauf prüft ob sie die Login-Daten akzeptiert hat oder nicht. Bevorzugt geht dies bei Seiten, wo ein User-Name bereits bekannt ist. Z.B. bei Joomla: Hier gibt es immer einen "admin".

Joomla! selbst bringt keine Abwehrmechanismen dagegen mit. D.h. es nimmt jede Anfrage mit beliebigen User (meist "admin") und Passwort entgegen, prüft dies gegen seine Datenbank und zeigt dann entweder erneut die Login-Seite oder baut die Startseite auf.

Die meisten Versuche führen dabei natürlich zum Misserfolg. Aber jeder länger dauernder Angriff hat wesentliche Nachteile:
a) Der Server steht unter Last. Liefert die Seiten also nicht mehr so schnell aus.
b) Evtl. hat der Angreifer doch mal Erfolg.

Im Folgenden zeige ich einige Möglichkeiten sich gegen solche Passwort-Attacken auf Joomla! zu währen.