[Sécurité] Problème de piratage [Résolu]

miniil · 30/12/2006, 22h54

Bonsoir,

Mon site se fait pirater tous les jours. Ce n'est pas très méchant, juste la page index.php est remplacée par une autre.

Je ne sais pas où commencer à chercher. Pourriez-vous m'orienter?

Mon site est un site en php avec DB mysql.

D'avance merci pour vos idées.

vg33 · 30/12/2006, 22h56

As-tu un formulaire d'upload de fichiers ? Ton mdp ftp est-il robuste ? Comment est formé index.php ?
Bref, sois plus précis.

miniil · 30/12/2006, 23h04

Aucun formulaire d'upload.
Mon mot de passe ftp est correct (me semble-t-il) je n'ai jamais de problème avec mon forum phpbb hébérgé sur le même espace.
Quant au fichier index, il s'agit d'un portail que je teste avant de l'acheter (ce qui n'est pas très concluant). c'est Subdreamer.

Je ne sais pas trops quoi donner de plus comme renseignement car je n'y connais pas grand chose en problème de piratage.

Mon site : http://www.miniil.net (au cas où)

Eusebius · 30/12/2006, 23h07

Tu as vérifié sur les logs du serveur FTP (si tu y as accès) que personne d'autre ne s'est connecté ?

Est-ce que c'est le fichier index.php lui-même qui est remplacé, ou le contenu affiché ?

miniil · 30/12/2006, 23h30

Je viens de vérifier les log, j'ai en effets des trucs "bizzards" auxquel je comprend pas grand choses. Mais un tas de fichier avec été uploadés sur mon espace.

Celà pourrait-il venir de droits d'accès sur des répertoires?
Comment cela est-il possible?

Pour le fichier index c'est bien un remplacement

En plus dans les fichiers uploadés, il y a plein de virus

SOAD08 · 30/12/2006, 23h49

Si tu a vraiment des trucs bizarres dans ton log, c'est surement que quelqu'un a ton pass.

Verifie :
1-Que tu ne l'a donner a personne (ça parait evident mais les blagues des personnes "de confiance" sont frequentes)
2-De verifier que ton pass FTP, ou DB car celui ci est souvent identique, et c'est souvent la cause du piratage, n'est visible nul part (attention au fichiers .inc, très utilisés il y a quelques années)

miniil · 30/12/2006, 23h59

Je n'ai jamais donné mon mot-de-passe FTP mais bon, sait-on jamais, je vais le changer et voir ce que ça donne.

Celui-ci est différent du mot de passe DB.

Ce qui m'a semblé bizzard dans le fichier de log c'est cette ligne :
www.miniil.net 82.201.200.144 - - [29/Dec/2006:01:42:03 +0100] "POST /skins/advanced/Mailer1.php HTTP/1.1" 200 1849 "http://www.miniil.net/skins/advanced/Mailer1.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"

C'est la seule requête avec POST dans le fichier de log

Serait-il possible par hazard d'envoyer des fichiers sur un serveur via un script? (Mailer1.php)

J'ai déjà entendu parlé de trucs dans ce genre au niveau de la sécurité non?

s.n.a.f.u · 31/12/2006, 13h00

S'il y a eu des fichiers uploadés et que cela se voit dans le log FTP, c'est qu'il y a eu connection FTP. Ce n'est donc pas un problème avec php je pense.
Et la cause la plus probable, c'est que ton mot de passe n'est plus secret.
Peut-être t'es-tu fait "sniffé". Le problème du FTP, c'est que le mot de passe transite en clair, donc si quelqu'un arrive à s'incruster entre chez toi et ton FAI, il peut attraper ce mdp.
Le changement de mot de passe est d'après moi le premier truc à faire. Si tu te fais encore pirater, il faut scanner la ligne pour trouver le vilain.
Et si ton hébergeur propose le ssh, n'hésites pas, c'est beaucoup plus sûr (mot de passe et échange de données cryptés) !

Eusebius · 31/12/2006, 13h15

Je te suggère également de discuter sérieusement de ce problème avec ton hébergeur si le problème persiste après changement du mot de passe.

miniil · 31/12/2006, 15h13

OK, merci beaucoup à tous.

Je vais donc changer le PWD et je verrais si je me fais de nouveau hacké.

vg33 · 31/12/2006, 19h53

Citation:

Envoyé par Eusebius

Je te suggère également de discuter sérieusement de ce problème avec ton hébergeur si le problème persiste après changement du mot de passe.

+1. Surtout s'il y a des virus, car dans ce cas tu serais responsable au moins en partie des infections des visiteurs...

grabriel · 01/01/2007, 10h19

Salut,

J'avais eu le meme problème avec un forum... le souci ne venais pas du mot de passe mais d'un problème avec l'appli que j'avais pas mis à jour depuis des lustres la page ressemblai à celle que tu as, le problème venait tous simplement d'une faille de sécurité dans le programme, c'est un bot qui cherche une version précise du programme et modifie la première page.

Meme si tu changes de mot de passe, vu que c'est un problème sur une page de ton soft tu auras toujours le problème. Met la dernière version, s'il n'y a pas de correctif change de portail. Surtout s'il est payant....

Elwyn · 01/01/2007, 14h04

Je sais qu'il existe un petit programme qui exploite les failles de phpBB

s.n.a.f.u · 02/01/2007, 14h07

punBB rulz

30/12/2006, 22h54	#1
miniil Nouveau Membre du Club Inscription : juin 2003 Messages : 138 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : juin 2003 Messages : 138 Points : 30 Points : 30	[Sécurité] Problème de piratage Bonsoir, Mon site se fait pirater tous les jours. Ce n'est pas très méchant, juste la page index.php est remplacée par une autre. Je ne sais pas où commencer à chercher. Pourriez-vous m'orienter? Mon site est un site en php avec DB mysql. D'avance merci pour vos idées.
	00

30/12/2006, 23h07	#4
Eusebius Expert Confirmé Inscription : avril 2003 Messages : 3 286 Détails du profil Informations forums : Inscription : avril 2003 Messages : 3 286 Points : 3 155 Points : 3 155	Tu as vérifié sur les logs du serveur FTP (si tu y as accès) que personne d'autre ne s'est connecté ? Est-ce que c'est le fichier index.php lui-même qui est remplacé, ou le contenu affiché ? __________________ Tous mes tutoriels Pas de questions techniques par MP ni par e-mail, merci ! Prolog rules!
	00

31/12/2006, 13h15	#9
Eusebius Expert Confirmé Inscription : avril 2003 Messages : 3 286 Détails du profil Informations forums : Inscription : avril 2003 Messages : 3 286 Points : 3 155 Points : 3 155	Je te suggère également de discuter sérieusement de ce problème avec ton hébergeur si le problème persiste après changement du mot de passe. __________________ Tous mes tutoriels Pas de questions techniques par MP ni par e-mail, merci ! Prolog rules!
	00

01/01/2007, 14h04	#13
Elwyn Membre chevronné Ingénieur systèmes et réseaux Inscription : juillet 2006 Messages : 836 Détails du profil Informations personnelles : Sexe : Localisation : France Informations professionnelles : Activité : Ingénieur systèmes et réseaux Informations forums : Inscription : juillet 2006 Messages : 836 Points : 712 Points : 712	Je sais qu'il existe un petit programme qui exploite les failles de phpBB __________________ Dire Straits, Bob Dylan, Led Zeppelin, the Who, Pink Floyd, AC/DC, Guns & Roses, the Doors, ...
	00

30/12/2006, 22h56	#2
vg33 Membre Expert Inscription : janvier 2005 Messages : 1 249 Détails du profil Informations personnelles : Localisation : France, Gironde (Aquitaine) Informations forums : Inscription : janvier 2005 Messages : 1 249 Points : 1 417 Points : 1 417	As-tu un formulaire d'upload de fichiers ? Ton mdp ftp est-il robuste ? Comment est formé index.php ? Bref, sois plus précis.
	00

30/12/2006, 23h04	#3
miniil Nouveau Membre du Club Inscription : juin 2003 Messages : 138 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : juin 2003 Messages : 138 Points : 30 Points : 30	Aucun formulaire d'upload. Mon mot de passe ftp est correct (me semble-t-il) je n'ai jamais de problème avec mon forum phpbb hébérgé sur le même espace. Quant au fichier index, il s'agit d'un portail que je teste avant de l'acheter (ce qui n'est pas très concluant). c'est Subdreamer. Je ne sais pas trops quoi donner de plus comme renseignement car je n'y connais pas grand chose en problème de piratage. Mon site : http://www.miniil.net (au cas où)
	00

30/12/2006, 23h30	#5
miniil Nouveau Membre du Club Inscription : juin 2003 Messages : 138 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : juin 2003 Messages : 138 Points : 30 Points : 30	Je viens de vérifier les log, j'ai en effets des trucs "bizzards" auxquel je comprend pas grand choses. Mais un tas de fichier avec été uploadés sur mon espace. Celà pourrait-il venir de droits d'accès sur des répertoires? Comment cela est-il possible? Pour le fichier index c'est bien un remplacement En plus dans les fichiers uploadés, il y a plein de virus
	00

30/12/2006, 23h49	#6
SOAD08 Membre habitué Inscription : juillet 2004 Messages : 101 Détails du profil Informations personnelles : Âge : 23 Informations forums : Inscription : juillet 2004 Messages : 101 Points : 104 Points : 104	Si tu a vraiment des trucs bizarres dans ton log, c'est surement que quelqu'un a ton pass. Verifie : 1-Que tu ne l'a donner a personne (ça parait evident mais les blagues des personnes "de confiance" sont frequentes) 2-De verifier que ton pass FTP, ou DB car celui ci est souvent identique, et c'est souvent la cause du piratage, n'est visible nul part (attention au fichiers .inc, très utilisés il y a quelques années)
	00

30/12/2006, 23h59	#7
miniil Nouveau Membre du Club Inscription : juin 2003 Messages : 138 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : juin 2003 Messages : 138 Points : 30 Points : 30	Je n'ai jamais donné mon mot-de-passe FTP mais bon, sait-on jamais, je vais le changer et voir ce que ça donne. Celui-ci est différent du mot de passe DB. Ce qui m'a semblé bizzard dans le fichier de log c'est cette ligne : www.miniil.net 82.201.200.144 - - [29/Dec/2006:01:42:03 +0100] "POST /skins/advanced/Mailer1.php HTTP/1.1" 200 1849 "http://www.miniil.net/skins/advanced/Mailer1.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" C'est la seule requête avec POST dans le fichier de log Serait-il possible par hazard d'envoyer des fichiers sur un serveur via un script? (Mailer1.php) J'ai déjà entendu parlé de trucs dans ce genre au niveau de la sécurité non?
	00

31/12/2006, 13h00	#8
s.n.a.f.u Modérateur Développeur Web Inscription : août 2006 Messages : 2 700 Détails du profil Informations personnelles : Sexe : Âge : 37 Localisation : France, Loire Atlantique (Pays de la Loire) Informations professionnelles : Activité : Développeur Web Informations forums : Inscription : août 2006 Messages : 2 700 Points : 3 357 Points : 3 357	S'il y a eu des fichiers uploadés et que cela se voit dans le log FTP, c'est qu'il y a eu connection FTP. Ce n'est donc pas un problème avec php je pense. Et la cause la plus probable, c'est que ton mot de passe n'est plus secret. Peut-être t'es-tu fait "sniffé". Le problème du FTP, c'est que le mot de passe transite en clair, donc si quelqu'un arrive à s'incruster entre chez toi et ton FAI, il peut attraper ce mdp. Le changement de mot de passe est d'après moi le premier truc à faire. Si tu te fais encore pirater, il faut scanner la ligne pour trouver le vilain. Et si ton hébergeur propose le ssh, n'hésites pas, c'est beaucoup plus sûr (mot de passe et échange de données cryptés) !
	00

31/12/2006, 15h13	#10
miniil Nouveau Membre du Club Inscription : juin 2003 Messages : 138 Détails du profil Informations personnelles : Âge : 35 Informations forums : Inscription : juin 2003 Messages : 138 Points : 30 Points : 30	OK, merci beaucoup à tous. Je vais donc changer le PWD et je verrais si je me fais de nouveau hacké.
	00

01/01/2007, 10h19	#12
grabriel Membre chevronné Inscription : septembre 2006 Messages : 935 Détails du profil Informations forums : Inscription : septembre 2006 Messages : 935 Points : 626 Points : 626	Salut, J'avais eu le meme problème avec un forum... le souci ne venais pas du mot de passe mais d'un problème avec l'appli que j'avais pas mis à jour depuis des lustres la page ressemblai à celle que tu as, le problème venait tous simplement d'une faille de sécurité dans le programme, c'est un bot qui cherche une version précise du programme et modifie la première page. Meme si tu changes de mot de passe, vu que c'est un problème sur une page de ton soft tu auras toujours le problème. Met la dernière version, s'il n'y a pas de correctif change de portail. Surtout s'il est payant....
	00

02/01/2007, 14h07	#14
s.n.a.f.u Modérateur Développeur Web Inscription : août 2006 Messages : 2 700 Détails du profil Informations personnelles : Sexe : Âge : 37 Localisation : France, Loire Atlantique (Pays de la Loire) Informations professionnelles : Activité : Développeur Web Informations forums : Inscription : août 2006 Messages : 2 700 Points : 3 357 Points : 3 357	punBB rulz
	00

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email