Invasão no meu site em Joomla!

Vejam o arquivo em anexo.

Isso foi uma invasão no meu portal em Joomla! feita por um amigo recem formado em sistemas de informação.

Ainda nao pude conversar direito com ele sobre a invasão, mas pelo q eu entendi ele usou um scan (Acunetix Web Vulnerability Scanner), pegou alguns cookies, usou um codigo javascript e conseguiu entrar no sistema.

O pedido que ele me fez foi o de não clicar em desconectar quando eu fosse sair do sistema.

O tempo de expiração de sessão no sistema era de 2 horas, acho que isso também o ajudou.

Ou não? Falei coisa com coisa? Pode ter sido assim? Vocês tem uma outra ideia de como ele possa ter feito isso? E o mais importante, como dar mais segurança ao Joomla!?

Aguardo comentarios.

Obs.: Ele postou 2 noticias no site.

Andei lendo e encontrei isso:

4.1 Roubo de Cookies
Aplicativos web utilizam a tecnologia de Http Cookie para gerenciar a sessão do usuário autenticado na aplicação e a injeção de javascript pode acessar os cookies que estão armazenados na memória (DOM) do browser. De posse da chave única da sessão do usuário autenticado, o atacante pode abrir comunicação com a aplicação em diversas formas HTTP, passando falsamente a mesma chave previamente roubada, fazendo com que a aplicação pense que é a mesma sessão já autenticada e, assim, tendo toda as portas abertas para manipular a aplicação e suas informações.
Solução - Independente de toda a preocupação e esforço implementado na questão da segurança, é recomendável que ainda exista um mecanismo que identifique e impeça que uma sessão seja utilizada por mais de um Cliente IP ao mesmo tempo, que neste caso configura-se a ocorrência de um ataque.

Sem querer tirar os créditos do seu amigo,
mais acredito que a equipe de desenvolvedores do joomla trabalha pensando em todas as possibilidade de ataques e soluções, e assim não seria tão simples assim.

Mais... se ele te falar como o fez põe aqui para ficarmos informados sobre possíveis soluções e no caso de ser alguma falha reporta no Joomla.org

Então, porque ele te pediu pra "não clicar em desconectar quando eu fosse sair do sistema."?

Provavelmente pq como ele é recém formado ele aproveitou pra testar alguns conhecimentos que ele aprendeu no curso dele e, como ainda é limitado, pediu pra que vc não desconectasse pq ele mesmo ainda não sabe alguma forma de entrar sem aproveitar o tempo que os sistema leva pra fechar a sessão automaticamente quando o usuário não fecha ao saír da administração.

Isso é minha opinião.

Claro que muita gente esquece de clicar em desconectar ao sair da administração, e isso com certeza vulnerabiliza a instalação...

Pede pra ele tentar hackear mesmo com vc clicando em desconectar no administrator.

Caso ele consiga, poste aqui o método que ele usou pra que possamos passar pro joomla.org e ajudar a melhorar a segurança do Joomla.

Pedi, ele vai tentar de duas formas:

1 - comigo conectado
2 - eu deslogando

Creio que ele n irá conseguir.

Manterei vocês informados.