Quelltext der Seite Wiederherstellung einer kompromittierten Moodle-Site

{{Sicherheit}}

==Erste Schritte==

* Kontaktieren Sie Ihren Provider, falls Sie Ihr Moodle hosten lassen.
* Schalten Sie die Moodle-Installation unverzüglich in den [[Wartungsmodus]] oder besser noch: Nehmen Sie sie vollständig vom Netz.
* Besorgen Sie sich vom [[Sicherung der Moodle-Installation|Backup]] alle verfügbaren Sicherungen der [[Moodle-Datenbank]] und des [[Moodle-Datenverzeichnis]]ses.
* Erstellen Sie eine aktuelle Sicherung der [[Moodle-Datenbank]], des [[Moodle-Datenverzeichnis]]ses und des [[Moodle-Verzeichnis]]ses (ohne die alten Backups zu überschreiben).
* Erstellen Sie eine komplette Liste aller PHP-Software-Applikationen, die auf Ihrem Server installiert sind.
* Notieren Sie Ihre Moodle-Version und das Datum der letzten [[Aktualisierung von Moodle|Aktualisierung]].
* Erstellen Sie eine Liste aller installierten Zusatzmodule, die nicht zur Standardinstallation von Moodle gehören, sowie eine Liste aller Codeanpassungen, die Sie selbst vorgenommen haben. 

==Analyse des kompromittierten Systems==

* Finden Sie heraus, wann genau Ihr Moodle kompromittiert wurde.
* Suchen Sie nach geänderten oder hochgeladenen Dateien auf Ihrem Webserver. Suchen Sie nach der ältesten Datei, die nicht zu Moodle gehört.
* Prüfen Sie Ihre Server Logfiles und fahnden Sie nach verdächtigen Aktivitäten rund um dieses Datum bzw. einige Stunden davor, z.B. nach komischen Seitenparametern, fehlgeschlagenen Anmeldeversuchen, Befehlshistorie (besonders vom Nutzer root), unbekannten Nutzerkonten, usw.

==Wiederherstellung==
* Nehmen Sie das letzte [[Sicherung der Moodle-Installation|Backup]] direkt vor der Kompromittierung und stellen Sie es wieder her. 
* [http://download.moodle.org/ Laden Sie die aktuelleste Moodle-Version herunter] und [[Aktualisierung von Moodle|aktualisieren]] Sie Ihre Moodle-Installation.
* Ändern Sie Ihre Kennwörter.

==Umgang mit Spam==
* Spam in Nutzerprofilen und Forumsbeiträgen bedeutet nicht, dass Ihr System kompromittiert wurde.
* Nutzen Sie den Spam-Bericht (Zugriff über ''[[Einstellungen-Block|Einstellungen]] > Website-Administration > Berichte > Spam-Suche'' in regelmäßigen Abständen.

==Prävention==

* Halten Sie Ihre Moodle-Installation aktuell: [[Aktualisierung von Moodle|Aktualisieren]] Sie Ihr System in regelmäßigen Abständen auf die neueste stabile Release Ihrer [[Aktuellste Versionsinformationen|aktuellen Version]]. 
* Generieren Sie in regelmäßigen Abständen einen [[Sicherheitsbericht]] (Zugriff über ''[[Einstellungen-Block|Einstellungen]] > Website-Administration > Berichte > Sicherheitsbericht'').

==Siehe auch==

*[[Sicherheit FAQ]]

Diskussionsbeiträge im Kurs ''Using Moodle'' auf moodle.org:
*[http://moodle.org/mod/forum/discuss.php?d=116214 Blank page appears when trying to edit or update a course.]
*[http://moodle.org/mod/forum/discuss.php?d=111710 How to diagnose a Hacked Moodle Site?]
*[http://moodle.org/mod/forum/discuss.php?d=115416 Security issue: source files hacked ("hackcheckstr")]
*[http://moodle.org/mod/forum/discuss.php?d=111268 Have I been hacked? Strange happenings...]
*[http://moodle.org/mod/forum/discuss.php?d=111480 Our site was hacked, delete the Moodle files, Fortunately we still have the database.]

{{Credits}} [https://docs.moodle.org/19/de/Wiederherstellung_einer_kompromittierten_Moodle-Installation]

[[Category:Website-Administration]]

[[en:Hacked site recovery]]