Discussion :

[den66]

Bonjour à tous
Je crains que ce soit un problème de sécurité mais je n'en suis pas sur...

Voilà, je ne comprends pas mais quand je regarde les logs de postfix (/var/log/mail.log) je vois des choses comme ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
Aug 21 14:17:25 den02 postfix/smtp[967]: 7DB024D874: to=<lucad63@tiscalinet.it>, relay=etb-4.mail.tiscali.it[213.205.33.61]:25, delay=236935, delays=236811/0.07/123/0, dsn=4.0.0, status=deferred (host etb-4.mail.tiscali.it[213.205.33.61] refused to talk to me: 554 cmgw-2.mail.tiscali.it  ZoHe1t0231D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:27 den02 postfix/smtp[1069]: A3B8653282: to=<marko.pt@tiscalinet.it>, relay=etb-1.mail.tiscali.it[213.205.33.64]:25, delay=74208, delays=74084/0.49/124/0, dsn=4.0.0, status=deferred (host etb-1.mail.tiscali.it[213.205.33.64] refused to talk to me: 554 cmgw-3.mail.tiscali.it  ZoHg1t01K1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:27 den02 postfix/smtp[1061]: 77B9F54302: to=<blackwhite84@tiscali.it>, relay=etb-3.mail.tiscali.it[213.205.33.61]:25, delay=418099, delays=417974/0.48/125/0, dsn=4.0.0, status=deferred (host etb-3.mail.tiscali.it[213.205.33.61] refused to talk to me: 554 cmgw-1.mail.tiscali.it  ZoHg1t01V1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:27 den02 postfix/smtp[1057]: 71CF853977: to=<fiocco.an@tiscali.it>, relay=etb-3.mail.tiscali.it[213.205.33.62]:25, delay=59130, delays=59005/0.35/125/0, dsn=4.0.0, status=deferred (host etb-3.mail.tiscali.it[213.205.33.62] refused to talk to me: 554 cmgw-1.mail.tiscali.it  ZoHh1t00x1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:31 den02 postfix/smtp[1093]: 10E814C651: to=<mkafterblu@tiscalinet.it>, relay=etb-4.mail.tiscali.it[213.205.33.63]:25, delay=43674, delays=43546/0.1/128/0, dsn=4.0.0, status=deferred (host etb-4.mail.tiscali.it[213.205.33.63] refused to talk to me: 554 cmgw-1.mail.tiscali.it  ZoHl1t00N1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:18:02 den02 postfix/smtpd[1516]: warning: hostname static196-113-236-206-196.adsl196-8.iam.net.ma does not resolve to address 196.206.236.113: Name or service not known

Ou ce qui me semble pire des choses comme ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
 
Aug 22 16:27:38 den02 postfix/qmgr[17471]: 4CD2C21210: from=<stacy_ramos@3atp.org>, size=1206, nrcpt=1 (queue active)
Aug 22 16:27:38 den02 postfix/qmgr[17471]: 4932021240: from=<nadine_glover@inaden.org>, size=1206, nrcpt=1 (queue active)
Aug 22 16:27:38 den02 postfix/qmgr[17471]: 437472126D: from=<guadalupe_reid@inaden.org>, size=1224, nrcpt=1 (queue active)

Avec des adresses mail sur les noms de domaine qui sont sur le serveur.

Du coup, j'ai désinstallé postfix et l'ai réinstallé... mais le premier type de log est vite réapparu. Aussi je l'ai arrêté et si quelqu'un peut me dire ce qu'il se passe ce serait super. Merci d'avance pour votre aide.
Denis

[manry]

Salut, je remarque tu as des messages en queue,

avec un postif lancé que te renvoie la commande

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

postqueue -p

ou bien

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

mailq

au choix.

Une fois fait, note l'ID d'un mail qui te semble bizzare et fais un

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

postcat -q ID

qui te donnera plus de détails sur le mail en question.

[den66]

Merci manry.
Je teste cela... mais ça va envoyé tous les mail en queue qui sont des mails dont je suis certains qu'il n'ont rien à voir avec les trois site peu fréquenté qui sont sur le serveur.
Je reviens au plus tard demain avec les résultats.
Encore merci pour ton aide.
Denis

[den66]

J'ai trouve un mail du 22 et quand je fais postcat -q ID j'ai un mail de cul !
Sexy Leticia toys her dans un mail html avec tout le reste... !
Je vais étudier le lien que tu m'a donné.
Encore merci.

[manry]

Tu fais maintenant parti d'un réseau de spam, maintenant tu as plus bpc de solutions:

dans un premier temps tu stop tes services succeptibles d'envoyer des mails (rapidement histoire de pas te faire blacklister ton ip), puis:

- soit tu efface toutes les données de ton site et tu repars sur une version clean mais ton problème de sécu n'est pas corrigé et tu te refera hack plus tard
- soit tu coup l'accès au serveur et tu analyse les logs (au besoin fais toi aider par quelqu'un pour l'analyse des logs) et fais un audit de tes applications ou même mieux de ton serveur complet, il est possible qu'ils soient passés par ailleurs que ton appli web...

tu peux aussi regarder les mails si tu as de la chance parfois tu as des indices sur le fichier qui a généré le spam (du déjà vu) mais c'est plutôt rare

@+

[den66]

Ouais... c'est la merde !

J'ai essayé ça :
# trouver la ligne "mail.log" et la compléter comme ceci :
mail.log = /var/log/mail.php.log

Mais ça ne fonctionne pas.
Donc d'après toi le truc est planqué dans un fichier sur un des sites. Du coup, si je transfère mes sites sur un autre serveur je vais transférer les fichiers coupables...

Tu connais quelqu'un qui fait des audits !

[manry]

Je ne comprends pas ta phrase:

J'ai essayé ça :
# trouver la ligne "mail.log" et la compléter comme ceci :
mail.log = /var/log/mail.php.log

cela dis je vais te filer un coup de main mais j'ai oublié un truc ultra important : ne jamais toucher aux fichiers après une infection

Pour la suite est ce que tu sais de quel jour date tes dernières modifs (au pire tu regarde le dernier fichier dont tu es sur d'avoir modifié en dernier et regarde la date

donc commence par te rendre dans le repertoire de ton application web et poste le résultat de la commande suivante:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

find . -mtime +X -exec ls -l \;

ca te donnera les fichiers modifiés les X derniers jours
deja ca te donne une idée des fichiers modifier par quelqu'un d'autre que toi.

ensuite tu peux (c'est une supposition) faire cette commande (souvent les spammeurs mettent du base64 dans leurs code)

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

find . -mtime +X | xargs ls -l  | grep -ri base64

qui te donnera les fichiers avec du base64 dedans et qui n'on pas été modifiés par tes soins.

Ensuite tu grep avec les yeux ces fichiers qui te semble anormalaux et si vraiment ils ne sont pas de toi (code malveillant) tu regarde dans les logs comment ils sont arrivés la (mais donne moi en premier lieux les résultats des 2 premières commandes)

[den66]

Bonjour Manry

Et encore merci pour ton aide.
La première commande ne donne rien

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
root@den02:/var/www# /var/www# find . -mtime +120 -exec ls -l \;
bash: /var/www#: No such file or directory

La seconde donne

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
root@den02:/var/www# find . -mtime +120 | xargs ls -l  | grep -ri base64
ls: cannot access ./ecritures-services/plugins/auto/albums/v3.0.15/REGLES: No such file or directory
ls: cannot access DE: No such file or directory
ls: cannot access COMMIT.md: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/facteur/v3.1.0/erreurs: No such file or directory
ls: cannot access et: No such file or directory
ls: cannot access exceptions.txt: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Papillon.jpg: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Ecureuil.gif: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/SPIP.jpg: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Code.txt: No such file or directory
ls: cannot access ./ecritures-services/dist/css/fonts/Google: No such file or directory
ls: cannot access Android: No such file or directory
ls: cannot access License.txt: No such file or directory
ls: cannot access ./ecritures-services/dist/css/fonts/Bitter: No such file or directory
ls: cannot access OFL: No such file or directory
ls: cannot access SIL: No such file or directory
ls: cannot access Font: No such file or directory
ls: cannot access License: No such file or directory
ls: cannot access 1.1.txt: No such file or directory
ls: cannot access ./ecritures-services/dist/css/fonts/Apache: No such file or directory
ls: cannot access License.txt: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/albums/v2.2.9/REGLES: No such file or directory
ls: cannot access DE: No such file or directory
ls: cannot access COMMIT.TXT: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/facteur/v3.3.3/erreurs: No such file or directory
ls: cannot access et: No such file or directory
ls: cannot access exceptions.txt: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Papillon.jpg: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Ecureuil.gif: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/SPIP.jpg: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Code.txt: No such file or directory
ls: cannot access ./inadenorg/demo/ancien_3atp_flash/script/style: No such file or directory
ls: cannot access -: No such file or directory
ls: cannot access copie.css: No such file or directory
ls: cannot access ./3atp/plugins-dist/compagnon/compagnon/article_redaction: No such file or directory
ls: cannot access _redacteur.html: No such file or directory
ls: cannot access ./3atp/plugins/auto/albums/v2.2.11/REGLES: No such file or directory
ls: cannot access DE: No such file or directory
ls: cannot access COMMIT.TXT: No such file or directory
ls: cannot access ./3atp/plugins/auto/v066zip-db53db53/jwplayer/skins/facebook/controlbar/playButton: No such file or directory
ls: cannot access -: No such file or directory
ls: cannot access Copy.png: No such file or directory
ls: cannot access ./3atp/plugins/auto/v066zip-db53db53/jwplayer/skins/facebook/facebook/controlbar/playButton: No such file or directory
ls: cannot access -: No such file or directory
ls: cannot access Copy.png: No such file or directory
ls: cannot access ./3atp/plugins/auto/facteur/v3.0.4/erreurs: No such file or directory
ls: cannot access et: No such file or directory
ls: cannot access exceptions.txt: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Papillon.jpg: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Ecureuil.gif: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/SPIP.jpg: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Code.txt: No such file or directory

Je vais aller voir ce dossier ./3atp/plugins/auto/v066zip-db53db53 qui ne me dis rien.

[den66]

Non, fausse alerte.

[den66]

En fait, c'est ce que je cherche mais je ne trouve pas encore, ce serais de trouver un moyen d'identifier les fichier qui envoient des mails.

J'ai trouvé ça pour activer depuis le php.ini des logs pour les envois de mail par php :
mail.log = /var/log/mail.php.log
Mais le fichier reste vide.

[manry]

J'ai l'impression que ta première commande n'en est pas une, tu as ton prompte et ensuite de ce que je vois tu as entré

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

/var/www# find . -mtime +120 -exec ls -l \;

tu as la partie /var/www# en trop, de plus comme tu as un dièse # le reste de ce que tu as entré n'est pas bon

[den66]

Exact... mauvais copier-coller.
Quand je lance la commande j'ai :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
drwxr-xr-x 17 admin users 4096 Aug 23 09:49 3atp
drwxr-xr-x 21 admin users 4096 Jul  9 11:04 ecritures-services
drwxr-xr-x 16 admin users 4096 Aug 21 14:11 inadenorg
-rw-r--r--  1 admin users  177 Aug 28  2015 index.html
drwxr-xr-x  2 admin users 4096 Aug 31  2015 test
total 20

Qui se répète sans fin. Je l'arrête avec controle C.
En fait, il faut que je fasse ça dossier par dossier.

J'ai chargé toutes les install à jour et tous les plugins. Je vais essayer de refaire mes install sur un autres serveurs à partir des fichiers à jours. J'espère nettoyer le problème comme ça, ça deviens trop compliqué pour moi. Ça me fait vraiment chier, mais j'ai l'impression que je n'ai pas le choix.

Merci pour ton aide, si tu as un dernier conseil, je suis preneur.

[manry]

Pas de soucis,

je viens de voir que c'est un framework SPIP (qui a une très mauvaise réputation), je ne connais pas tes compétences en dev mais je peux te conseiller de te tourner plutôt vers un framework du type

- symfony3 (pour du php)
- django (pour du pyhton mais avec wsgi pour le faire coller à nginx)
- drupal 8 (CMS plus que framework de dev mais pour ce genre de techno il faut passer du temps à lire la doc et les bonnes pratiques)

je ne sais pas non plus si tu es sur un serveur mutualisé (si c'est le cas laisse tomber django).

De plus c'est un serveur perso ou pro?

[den66]

Bonjour Manry

Alors c'est un serveur Gandi (virtuel) mais non mutualisé. J'ai pris cela parce que j'ai trois sites (une asso, le mien et celui de mon épouse) et cela me revenait moins cher que trois mutualisés. Je ne suis pas développeur et j'ai dû travailler sur spip dans mon ancien boulot, du coup, je m'y suis habitué. Je pensais qu'il n'avait pas mauvaise réputation.
J'ai pensé me tourner vers Drupal, mais faute de temps, je ne l'ai pas encore fait.
Pour le serveur, j'ai eu quelque base linux (pareil dans mon ancien boulot, mais j'ai quitté celui-ci justement parce qu’il me demandait de m'occuper de plus en plus des serveurs et autres problèmes informatiques alors que ce n'est pas mon boulot).

Ce que je fais, j’ai un serveur ubuntu 14 sur VMWare en local, alors j'ai téléchargé les dernières versions de spip et de tous les plugins que j'utilise et je vais mettre à jour en local les trois sites. Ensuite, je vais monter un nouveau serveur (pareil sur ubuntu 14 et non plus sur ubuntu 12) et je vais tout transférer. D'après ce que j'ai compris, je ne devrais plus avoir le problème. Ensuite, je serais plus vigilant sur les mises à jour des plugins !

Effectivement, dès que je peux, je me tourne vers Drupal... mais je crois que, comme tu dis, c'est un sacré boulot de maîtriser la bête. Difficile de sortir des outils dont on a l'habitude.

Voilà. Je crois que c'est seule façon de me sortir de ce mauvais pas avec les moyens que j'ai. L'idée ensuite est de bien noter chaque date de changement de fichier et en cas de problème de trouver un moyen de chercher dans les dossiers les fichiers qui ont une date postérieure à la dernière date de changement que j'ai fait.

En tout cas, merci pour ton aide et ton soutien, c'est toujours difficile de se sentir seul face à l'informatique.

[manry]

Pas de soucis,

mais quitte à tout mettre à jour tu peux aussi passer à Ubuntu 16 regarde la version LTS (Long Time Support) qui sera patché pour les failles de sécu. Après pour les technos de dev php je ne connais pas trop malheuresement.

Sur ton serveur tu peux faire ce que tu veux? c'est de la télémaintenance?

si tu as la main complète sur le serveur tu peux jouer avec les droits des fichiers en lecture/ecriture mais ca commence à devenir vite galère malheuresement

et je ne sais pas si tu fais du developpement versionné (si c'est pas le cas regarde du côté de git) comme ca en cas de pépin tu reviens sur la dernière version que tu as.

[den66]

Merci pour ces conseils avisés.
Je comptais passé de ubuntu 12 à la 14 pour commencer, mais tu as sans doute raison, je devrais faire le grand saut directement !
Sinon, je ne fais pas de dev versionné... il faudrait peut-être que je penche dessus, mais j'avoue que ça dépasse mes compétences... déjà du dev simple...
Enfin bref, j'ai eu une proposition d'aide d'un membre du site par couriel privé et je vais surement accepté.
Sinon, le coup des droits est surement une bonne idée pour figer les choses.
Merci pour tous tes conseils et ta patience.

[chrtophe]

Plutôt que Drupal, je te conseilles plutôt WordPress. Ce sera plus simple pour toi. Attention aux failles de plugins.

[den66]

Bonjour Chrstophe,

J'ai entendu pas mal de mal au niveau de la sécurité sur wordpress (plusieurs personnes s'étant fait pirater leur site). Aussi je ne suis pas très chaud.
Je l'ai essayé et je ne suis pas non plus fane de l'interface... j'ai du mal à bien saisir leur logique. Mais merci du tuyau.

Et puis je profite de ce message pour passe la discussion en résolue, même si ce n'est pas tout à fait le cas. Néanmoins, j'ai tous les élément pour essayer de me débrouiller et j'ai reçu quelques proposition d'aide directe.

Merci à tous pour votre contribution.