MrGroovy

Однажды взломал какой-то индоязычный хакер сайт на джумле 2.5 и мало того, что закинул вирус в папку с джумлой, так еще и взломал все остальные сайты

сайт на джумле 2.5

Популярные CMS, такие как Wordpress, Joomla и 1С-Битрикс очень часто подвергаются атаке. В основном эксплуатируются известные уязвимости.
Например для Joomla 2.5 CVE-2018-17856 com_joomlaupdate позволяет выполнять произвольный код. Конфигурация ACL по умолчанию позволяет пользователям уровня "администратора" получать доступ к com_joomlaupdate и запускать выполнение кода. Возможно именно таким способом взломали сервер.
Самый эффективный способ запустить Joomla в контейнере, например в Docker, тем самым ограничив выполнение любых программ, вирусов или команд областью контейнера.
Информацию можете посмотреть на официальном сайте Docker.com там найдете более подробное описание по запуску и настройке.

оставив ему на растерзание только джумлу 2.5

Но зачем отдавать сайт на растерзание, если можно устранить уязвимости и оставить хакера ни с чем?
Лучше всего проверься сайт сканером на предмет уязвимостей (XSS, SQL инъекций, ошибок прав доступа), это минимум, для того чтобы быть уверенным хотя бы поверхностно. А лучше сделать более или менее полноценный скан сайта, с помощью онлайн аудиторов безопасности. Из тех, что имеют триал, могу посоветовать:

https://metascan.ru - демо проверка

https: //pentest-tools.com - отдельные проверки по категориям;

https ://detectify.com - 14 дней триала.

Ничего не пропустили. На мой взгляд наиболее вероятная причина это устаревший WP. Эта версия неправильно фильтрует содержимое комментариев (при настройках по умолчанию), а это уже XSS уязвимость. Таким образом JS-код можно добавить под каждым постом и Wordfence Security ничего не покажет.
Чтобы найти эти и другие уязвимости в WordPress можно воспользоваться сканером для WP.
Навскидку, это:
- https://metascan.ru;
- wprecon.com;
- hackertarget.com/wordpress-security-scan.
Уязвимости в темах и эксплойты в старых версиях плагинов могут сыграть свою роль. Особенно бесплатные "крякнутые", в них часто можно встретить вредоносный код.

Уязвимости в WP бывают двух видов - устаревшая версия самого WP и уязвимости в плагинах и темах. Крайне опасно использовать "крякнутые" темы, в них часто вшивают вредоносный код. Чтобы найти уязвимости в Wordpress можно воспользоваться специальным сканером для WP. Навскидку, это:
- https://metascan.ru;
- wprecon.com;
- hackertarget.com/wordpress-security-scan.
И разумеется быть аккуратнее с бесплатными темами и сомнительными плагинами, так как они изначально могут содержать в себе вирусы.