Discussion :

[Laurent97410]

Bonjour,

le site dont j'ai la gestion a été hacké (un vieux CMS plein de failles dont la migration est en cours), j'ai identifié le script : coinhive.min.js, un mineur de crypto-monnaie .

Hors impossible de localiser l'endroit du site ou se fait l'appel du script (recherche sur tout les fichiers du site avec le nom du script ou l'url appelée pour le charger : hxxps://coinhive.com/lib/coinhive.min.js), contrôle de toutes les balises script, des src, je pense que l'appel est relayé par un autre script que je n'arrive pas à identifier.

J'ai pensé bloquer l'appel sortant du script en filtrant les urls extérieures au domaine que mon site appel, et ce avec un .htaccess mais l'appel se fait depuis le poste client donc est-ce possible ? Ou y a t'il une autre méthode ?.

... Malgré toutes mes recherches je ne trouve pas de procédures, toute la littérature parle d’empêcher les aspirations de sites ou bloquer l'accès à certaines données, mais pas le blocage d'appel de script extérieurs au domaine, et j'ignore comment tracer les requêtes GET qui génèrent au final l'appel de ce script (que je vois dans l'onglet réseau du Deboggeur) .

Quelqu'un aurait une idée ? Le script de coinhive.com déclenche une alerte Avast et ça fait désordre pour les visiteurs, aussi je voudrait le bloquer le temps de trouver ou il est .

Bien cordialement,

Laurent

[mathieu]

Si l'appel est caché, nous pourrons difficilement vous aider puisque nous n'avons pas accès aux fichiers.
Le code qui génère l'appel peut se trouver dans n'importe quel fichier du CMS.

[Laurent97410]

Après trois jours de recherche j'ai enfin pu débusquer et neutraliser trois fichiers js altérés et obfusqués (mootools.js, mootools-core.js et caption.js).

ça ressemblait à ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

var _0xc86a=["\x3C\x73\x63\x72\x69\x70\x74\x20\x73\x72\x63\x3D\x22\x68\x74\x74\x70\ ...

Je les ai repérés parce-qu’ils étaient illisibles et les ai décodé grâce au site http://www.dcode.fr/javascript-unobfuscator.

Une fois remplacés et vidé le cache l'appel a disparu ...

Si ça peut servir ...