IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

Site perso sfr piraté


Sujet :

Sécurité

  1. #1
    Mut
    Mut est déconnecté
    Membre averti Avatar de Mut
    Homme Profil pro
    Inscrit en
    Mars 2003
    Messages
    931
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations forums :
    Inscription : Mars 2003
    Messages : 931
    Points : 307
    Points
    307
    Par défaut Site perso sfr piraté
    Bonjour,

    Ce week-end, mon site à été visité (piraté). Il contient quelques pages html et un formulaire php seulement. Le malware se contentait de rediriger le site vers un autre site (argentin)

    J'ai tout réinstallé mais je souhaitais savoir comment éviter que cela se reproduise....

    J'ai essayé de comprendre comment ils avaient pu réussir et pour l'instant je ne vois qu'une chose possible, c'est la méthode brute force sur le serveur ftp (serveur sfr).

    J'ai donc changé les mots de passe mais sfr n'accepte pas les caractères spéciaux. Le mot de passe semble alors assez simple...(minuscule, majuscule, chiffres.)

    Je ne pense pas que ce soit par le biais du formulaire car la base de données n'a pas changé.

    Auriez-vous des conseils à me donner ? ou bien des idées ?

    J'aurais aimé limiter le nombre d'essais pour les mot de passe ainsi que la complexité du mot de passe mais sfr ne semble pas le permettre...


    Merci

  2. #2
    Responsable Qt & Livres


    Avatar de dourouc05
    Homme Profil pro
    Ingénieur de recherche
    Inscrit en
    Août 2008
    Messages
    26 609
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Val de Marne (Île de France)

    Informations professionnelles :
    Activité : Ingénieur de recherche
    Secteur : Enseignement

    Informations forums :
    Inscription : Août 2008
    Messages : 26 609
    Points : 188 580
    Points
    188 580
    Par défaut


    La faille provient peut-être d'un autre site hébergé sur le même serveur, dont une faille a été suffisamment critique pour permettre l'accès à tout le serveur !
    Vous souhaitez participer aux rubriques Qt (tutoriels, FAQ, traductions) ou HPC ? Contactez-moi par MP.

    Créer des applications graphiques en Python avec PyQt5
    Créer des applications avec Qt 5.

    Pas de question d'ordre technique par MP !

  3. #3
    Mut
    Mut est déconnecté
    Membre averti Avatar de Mut
    Homme Profil pro
    Inscrit en
    Mars 2003
    Messages
    931
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations forums :
    Inscription : Mars 2003
    Messages : 931
    Points : 307
    Points
    307
    Par défaut
    Salut

    Oui peut être car mes deux sites ont été piratés. Mais vu que le mot de passe FTP était le même pour les deux (oui je sais c'est pas bien )et qu'ils étaient sur le même serveur (sfr), je penche quand même pour la "faille" ftp...sachant que un site n'a pas de php et l'autre oui. Je pense cependant que mon formulaire est codé correctement pour éviter les injections sql (controle des données (test numérique, longueur) + fonction mysql_real_escape_string() ).

    Il n'y a pas un moyen pour bannir l'accés d'une ip sur un site hébergé par sfr ou bien permettre une meilleure compléxité des mots de passe chez sfr ?

    De plus avec google analytics, j'avais vu déjà depuis plusieurs mois que quelqu'un (soit disant d'argentine) se connectait régulièrement au site....hors ça m'étonnerait que mon site est un grand intéret pour ce pays....cependant les redirections effectuées après piratage étaient faite sur un site en .ar

  4. #4
    Invité
    Invité(e)
    Par défaut
    Plop,

    Met un long mot de passe mélangeant minuscule, majuscule et chiffre, sans que les lettres ne fasse un mot du dictionnaire.
    Met le maximum de caractère (au moins 10) et cela te protégera des attaques par brute force.

    Après il est possible que tes mdp ai été récupérés par un malware ce trouvant sur ton PC,

  5. #5
    Mut
    Mut est déconnecté
    Membre averti Avatar de Mut
    Homme Profil pro
    Inscrit en
    Mars 2003
    Messages
    931
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations forums :
    Inscription : Mars 2003
    Messages : 931
    Points : 307
    Points
    307
    Par défaut
    Bonjour,

    Mon mdp avait 10 caractères avec Majuscule et chiffres et ne voulait absolument rien dire....

    Pour le malware je n'y crois pas vraiment car si la personne avait eu le code directement, elle n'aurait pas navigué régulièrement sur le site pendant environ 1 mois (stats de google analytics).

    Mais visiblement à part la complexité du mot de passe y'a pas grand chose à faire...

  6. #6
    Membre expérimenté
    Homme Profil pro
    Ingénieur développement logiciels
    Inscrit en
    Octobre 2008
    Messages
    1 051
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 36
    Localisation : France, Hautes Pyrénées (Midi Pyrénées)

    Informations professionnelles :
    Activité : Ingénieur développement logiciels

    Informations forums :
    Inscription : Octobre 2008
    Messages : 1 051
    Points : 1 638
    Points
    1 638
    Par défaut
    Si jamais ca vient de formulaire (même si apparemment ce n'est pas le cas), tu peux te dresser une liste d'IP à bannir, pour bloquer l'accès au site. Vu que tu as tout ce qui te faut avec google analytics, ça peut être utile.

    Sinon en effet appart mélanger chiffres avec lettre minuscule / majuscule, pas vraiment d'idées.
    Règle N° 1 : Si tout va bien, ne touchez à rien.

  7. #7
    Invité
    Invité(e)
    Par défaut
    Plop,


    Mon mdp avait 10 caractères avec Majuscule et chiffres et ne voulait absolument rien dire....
    Ah.. Je connaissais un site qui estimé le temps qu'il fallait pour casser un mdp qu'on lui donné mais je le trouve plus ..

    Un mdp min/maj/chiffre comme tu le décris n'est pas cassable par dictionnaire dejà, je crois pas trop à l'attaque par brute force ..

    Tu ne peux pas changer d'hébergeur ?

  8. #8
    Invité
    Invité(e)
    Par défaut
    Il existe pas mal de sites qui évaluent les MdP, par exemple :

    http://www.passwordmeter.com/

    http://howsecureismypassword.net/

    https://www.grc.com/haystack.htm

    Steph

  9. #9
    Nouveau Candidat au Club
    Homme Profil pro
    Forumeur.
    Inscrit en
    Octobre 2012
    Messages
    16
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Forumeur.
    Secteur : Conseil

    Informations forums :
    Inscription : Octobre 2012
    Messages : 16
    Points : 0
    Points
    0
    Par défaut
    Bah après, déjà pour les Brute-Force tu peux sécuriser tes mots de passes depuis chez toi par des moyens de cryptage, après vu que ce n'est que majuscule/minuscule/nombres essaies de crypter ton mot de passe initiale en MD5, ça évitera le "forcing" sur ton mot de passe. Concernant le FTP, essaies de trouver une application comme j'ai faîte (Je ne peux pas encore vous la partagez), qui évites les Keylogger/Stealer et qui sécurise les entrées dans le FTP. Enfin, essaies de sécuriser un peu plus la base de donnée de ton site. Et vérifie aussi d'éventuelles autres failles (exemple : XST, XSS, CSRF etc)

Discussions similaires

  1. [Forum] Comment installer un forum sur un site perso ?
    Par young077 dans le forum EDI, CMS, Outils, Scripts et API
    Réponses: 1
    Dernier message: 14/05/2006, 19h33
  2. Avis sur mon ptit site perso
    Par mastercartman dans le forum Mon site
    Réponses: 21
    Dernier message: 13/05/2006, 21h43
  3. [MySQL] Probleme Php site perso
    Par mastercartman dans le forum PHP & Base de données
    Réponses: 22
    Dernier message: 08/03/2006, 23h46
  4. Images n'apparaissent sur site perso chez Free
    Par kcizth dans le forum Balisage (X)HTML et validation W3C
    Réponses: 5
    Dernier message: 01/02/2006, 13h35

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo