Discussion :

[Dan99]

Bonjour,

Depuis ce matin le nom de domaine de mon site a été piraté.
Lorsque je tape l'adresse, je suis systématiquement redirectionné vers un autre site.
J'ai sauvegardé mes données, réalisé un scan complet => pas de virus détecté.
J'ai vérifié le .htaccess => pas de modifications
J'ai vérifiié les DNS => pas de modifications opérées.

Avez-vous une idée de ce type d'attaque ?

D'avance merci.

[Invité]

Salut,

ça semble être une attaque de type xss dans laquelle on exploite faille qui permet d'injecter du code client dans ton application web.

Tu trouveras plus de détail sur Wikipedia

Il faudra donc identifier la les pages qui sont touchées et corriger ton application web pour que ces failles ne soient plus exploitées

[VinnieMc]

Regarde dans le code de ta page principale (index) si tu trouves un code qui ressemble à ceci (code qui fait la redirection):

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

<script>document.location='http://nom-du-site-où-tu-es-redirigé';</script>

Ou un truc de ce genre, avec la fonction fromCharCode qui permet d'utiliser les codes ASCII des caractères comme ça si tu fais une recherche sur le nom de domaine où tu es redirigé tu ne trouveras rien.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

<script>document.location=String.fromCharCode(104,116,etc.)</script>

Bonne chance à toi, en espérant que ça règle ton soucis.

[Dan99]

Merci pour vos retours.
Après investigation il s'agit de l'exploitation d'une faille de Joomla.
L'index a effectivement été modifié avec la fonction fromCharCode.
Mais je pense qu'il y a d'autres modification car la correction de l'index ne suffit pas à résoudre le problème.

Je utiliser les logs pour une meilleure investigation.

Merci encore.

[Invité]

Salut,

Il faudra identifier la version de joomla que tu as et rechercher les failles liées à cette version.

Pour la version 2.5.6 par exemple, tu en as déjà un bon nombre de failles xss

http://www.securityfocus.com/archive.../30/0/threaded

La seule solution pour corriger ce problème et de mettre à jour joomla vers une version qui ne comporte plus ces failles.