Bonjour
Sur un site de fin 2011 en Spip 2.1.11, la page d’accueil de l’admin (ecrire/?exec=accueil) a été hackée… le
contient une iframe :
Le 11.01.17 à 22:49, Cécile Tonnelle a écrit :
Bonjour
Sur un site de fin 2011 en Spip 2.1.11, la page d’accueil de l’admin
(ecrire/?exec=accueil) a été hackée... le <div class="verdana1">
contient une iframe :
<iframe src="http://agrilygaza.96.lt/Agrily.php" style="border: 0;
position:fixed; top:0; left:0; right:0; bottom:0; width:100%;
height:100%"> à la place du code normal.
Cette iframe affiche une page de Hostinger avec en haut un message :
“Page is forbidden 403 The page you are trying to access is private and
not accessible with additional permissions.” puis dessous le reste de la
page https://www.hostinger.co.uk/Mon problème est que la page accueil sur le serveur n’est pas
modifiée... je suppose donc qu’il y a une injection qui modifie
<div class="verdana1"> mais je ne trouve pas où ça se passe ni de
solutions pour empêcher ça.
J’ai supprimé tmp, supprimé des répertoires dans IMG : (ZIP contenait
index.zip –> index.php –> <title>Hacked by Agrily</title>, plus 2 autres
que je n’ai pas pu ouvrir à cause de mon anti-virus), des fichiers dans
un répertoire Distant et un répertoire html, je n’ai rien trouvé de plus
sur le serveur qui aurait été modifié ces derniers temps...
J’ai regardé également la base de données, je ne vois rien d’anormal.Je ne sais pas trop quoi faire, donc si vous avez des pistes, merci d’avance
Cécile
Hum, 2.1.11, c'est pas le plus récent de la branche 2.1 ca. Donc dans tous les cas une mise à jour s'imposera après.
Dans ce cas, je dirais que le plus simple serait:
- de sauvegarder ta BDD
- de sauvegarder tous les fichiers de ton site
- d'installer un site SPIP propre dans la dernier version de la branche 2.1
- de voir ce que ca donne dans l'espace privé -> si jamais toujour le hack, c'est que c'est en BDD
- puis tu réinstalle tes plugins
- puis tes squelettes
--
Maïeul
Bonjour
Si le plugin Couteau Suisse est installé le hacker a pu utiliser la lame Site en travaux pour afficher ce qu’il désire sur la page d’accueil.
Vérifier si un compte admin a été créé et le supprimer. Mettre à jour Spip et changer le mot de passe ftp.
pw
Le 2017-01-11 22:49, Cécile Tonnelle a écrit :
Bonjour
Sur un site de fin 2011 en Spip 2.1.11, la page d’accueil de l’admin (ecrire/?exec=accueil) a été hackée… le
contient une iframe :
Bonjour Cécile,
Surveille aussi la liste de tes auteurs sur le site, il est probable que le hacker s’y soit créé un compte admin.
Cela lui permet alors d’éditer divers champs de saisie en y insérant du code
Des lectures qui peuvent t’aider :
Du courage ! Hervé
Désolée... j'avais oublié de faire répondre à tous...
Bonjour et merci Maïeul pour ces conseils.
Je pensais effectivement faire un peu comme ça... essayer dans un premier
temps de supprimer tout les fichiers via ftp et mettre ma sauvegarde de
2011, si cela ne fonctionne pas, je tenterai ta solution.
J'ai bien prévu aussi une mise à jour (mais en restant dans la version de 2
de Spip) quand le site sera propre...
Suite :
- mon essai de sauvegarde n'a pas fonctionné...
- j'ai installé un spip 2.1.29 mais page d'accueil admin a toujours le même problème et en plus le problème s'est propagé sur http://www.ctoutcom971.fr/
Conclusion : c'est dans la BDD mais là, le client n'en n'a fait aucune sauvegarde depuis 2011 donc... ma sauvegarde de maintenant contient forcément le hack... je vais essayer de trouver dedans où il a planqué tout ça...
Si jamais il y a une solution pour nettoyer la base de données sans perte d'informations, je suis preneuse... merci
-----Message d'origine----- From: Maïeul
Sent: Wednesday, January 11, 2017 6:45 PM
To: spip@rezo.net
Subject: Re: [Spip] Admin de Spip hackée
Le 11.01.17 à 22:49, Cécile Tonnelle a écrit :
Bonjour
Sur un site de fin 2011 en Spip 2.1.11, la page d’accueil de l’admin
(ecrire/?exec=accueil) a été hackée... le <div class="verdana1">
contient une iframe :
<iframe src="http://agrilygaza.96.lt/Agrily.php" style="border: 0;
position:fixed; top:0; left:0; right:0; bottom:0; width:100%;
height:100%"> à la place du code normal.
Cette iframe affiche une page de Hostinger avec en haut un message :
“Page is forbidden 403 The page you are trying to access is private and
not accessible with additional permissions.” puis dessous le reste de la
page https://www.hostinger.co.uk/Mon problème est que la page accueil sur le serveur n’est pas
modifiée... je suppose donc qu’il y a une injection qui modifie
<div class="verdana1"> mais je ne trouve pas où ça se passe ni de
solutions pour empêcher ça.
J’ai supprimé tmp, supprimé des répertoires dans IMG : (ZIP contenait
index.zip –> index.php –> <title>Hacked by Agrily</title>, plus 2 autres
que je n’ai pas pu ouvrir à cause de mon anti-virus), des fichiers dans
un répertoire Distant et un répertoire html, je n’ai rien trouvé de plus
sur le serveur qui aurait été modifié ces derniers temps...
J’ai regardé également la base de données, je ne vois rien d’anormal.Je ne sais pas trop quoi faire, donc si vous avez des pistes, merci d’avance
Cécile
Hum, 2.1.11, c'est pas le plus récent de la branche 2.1 ca. Donc dans
tous les cas une mise à jour s'imposera après.
Dans ce cas, je dirais que le plus simple serait:
- de sauvegarder ta BDD
- de sauvegarder tous les fichiers de ton site
- d'installer un site SPIP propre dans la dernier version de la branche 2.1
- de voir ce que ca donne dans l'espace privé -> si jamais toujour le
hack, c'est que c'est en BDD
- puis tu réinstalle tes plugins
- puis tes squelettes
--
Maïeul
_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net
Archives : https://www.mail-archive.com/spip@rezo.net/maillist.html
Infos : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc
Désolée… j’avais omis de faire répondre à tous…
Bonjour et merci pour ces pistes… pas de couteau suisse ni de compte admin crée en plus, par contre j’ai le plugin SEO et je viens de me rendre compte que je n’ai plus d’accès aux paramètres… c’est peut être par là qu’il se cache…
En allant dans l’espace client OVH, je me suis rendu compte aussi que l’adresse mail du site a été désactivée pour cause de spam… peut être que je peux en déduire que le hacker s’est servi du compte webmaster du client…
From: p.weber@free.fr
Sent: Wednesday, January 11, 2017 8:41 PM
To: spip@rezo.net
Subject: Re: [Spip] Admin de Spip hackée
Bonjour
Si le plugin Couteau Suisse est installé le hacker a pu utiliser la lame Site en travaux pour afficher ce qu’il désire sur la page d’accueil.
Vérifier si un compte admin a été créé et le supprimer. Mettre à jour Spip et changer le mot de passe ftp.
pw
Le 2017-01-11 22:49, Cécile Tonnelle a écrit :
Bonjour
Sur un site de fin 2011 en Spip 2.1.11, la page d’accueil de l’admin (ecrire/?exec=accueil) a été hackée… le
contient une iframe :
Désolée… j’avais oublié de faire répondre à tous
Bonjour et merci Hervé pour ton aide.
Pour les auteurs, il n’y en a pas de nouveaux, par contre impossible de trouver dans l’admin : Configuration du site > Contenu du site : « Nom de votre site » ou « Description du site »… c’est bizarre !
Il y avait également un menu (avec le plugin menu) qui n’existe plus…
Je vais tenter une restauration de mes fichiers d’origine via ftp… (ça n’a pas marché)
From: Hervé BERNARD - Surlatoile.net
Sent: Thursday, January 12, 2017 5:12 AM
To: spip@rezo.net
Subject: Re: [Spip] Admin de Spip hackée
Bonjour Cécile,
Surveille aussi la liste de tes auteurs sur le site, il est probable que le hacker s’y soit créé un compte admin.
Cela lui permet alors d’éditer divers champs de saisie en y insérant du code
Bonjour,
Suite :
- mon essai de sauvegarde n'a pas fonctionné...
- j'ai installé un spip 2.1.29 mais page d'accueil admin a toujours le même problème et en plus le problème s'est propagé sur http://www.ctoutcom971.fr/Conclusion : c'est dans la BDD mais là, le client n'en n'a fait aucune sauvegarde depuis 2011 donc... ma sauvegarde de maintenant contient forcément le hack... je vais essayer de trouver dedans où il a planqué tout ça...
Si jamais il y a une solution pour nettoyer la base de données sans perte d'informations, je suis preneuse... merci
en sus de
il y a également :
Dans ce dernier, il y a des billes pour nettoyer une base de manière efficace. Par contre, ça implique de faire quelques requêtes SQL ...
bonjour,
Désolée… j’avais oublié de faire répondre à tous
Bonjour et merci Hervé pour ton aide.
Pour les auteurs, il n’y en a pas de nouveaux, par contre impossible de trouver dans l’admin : Configuration du site > Contenu du site : « Nom de votre site » ou « Description du site »… c’est bizarre !
en V2, le chemin était peut-être différent mais je n’ai plus de sites pour vérifier
Bonsoir,
Si le site est chez OVH, il y a peut-être des sauvegardes automatiques
qui permettrait de retrouver la BDD
Pascal
Le 12 janv. 2017 à 16:55, Cécile Tonnelle <cecile@reflet-web.com> a écrit :
Désolée... j'avais oublié de faire répondre à tous...
Bonjour et merci Maïeul pour ces conseils.
Je pensais effectivement faire un peu comme ça... essayer dans un premier
temps de supprimer tout les fichiers via ftp et mettre ma sauvegarde de
2011, si cela ne fonctionne pas, je tenterai ta solution.J'ai bien prévu aussi une mise à jour (mais en restant dans la version de 2
de Spip) quand le site sera propre...Suite :
- mon essai de sauvegarde n'a pas fonctionné...
- j'ai installé un spip 2.1.29 mais page d'accueil admin a toujours le même problème et en plus le problème s'est propagé sur http://www.ctoutcom971.fr/Conclusion : c'est dans la BDD mais là, le client n'en n'a fait aucune sauvegarde depuis 2011 donc... ma sauvegarde de maintenant contient forcément le hack... je vais essayer de trouver dedans où il a planqué tout ça...
Si jamais il y a une solution pour nettoyer la base de données sans perte d'informations, je suis preneuse... merci
-----Message d'origine----- From: Maïeul
Sent: Wednesday, January 11, 2017 6:45 PM
To: spip@rezo.net
Subject: Re: [Spip] Admin de Spip hackéeLe 11.01.17 à 22:49, Cécile Tonnelle a écrit :
Bonjour
Sur un site de fin 2011 en Spip 2.1.11, la page d’accueil de l’admin
(ecrire/?exec=accueil) a été hackée... le <div class="verdana1">
contient une iframe :
<iframe src="http://agrilygaza.96.lt/Agrily.php" style="border: 0;
position:fixed; top:0; left:0; right:0; bottom:0; width:100%;
height:100%"> à la place du code normal.
Cette iframe affiche une page de Hostinger avec en haut un message :
“Page is forbidden 403 The page you are trying to access is private and
not accessible with additional permissions.” puis dessous le reste de la
page https://www.hostinger.co.uk/Mon problème est que la page accueil sur le serveur n’est pas
modifiée... je suppose donc qu’il y a une injection qui modifie
<div class="verdana1"> mais je ne trouve pas où ça se passe ni de
solutions pour empêcher ça.
J’ai supprimé tmp, supprimé des répertoires dans IMG : (ZIP contenait
index.zip –> index.php –> <title>Hacked by Agrily</title>, plus 2 autres
que je n’ai pas pu ouvrir à cause de mon anti-virus), des fichiers dans
un répertoire Distant et un répertoire html, je n’ai rien trouvé de plus
sur le serveur qui aurait été modifié ces derniers temps...
J’ai regardé également la base de données, je ne vois rien d’anormal.Je ne sais pas trop quoi faire, donc si vous avez des pistes, merci d’avance
Cécile
Hum, 2.1.11, c'est pas le plus récent de la branche 2.1 ca. Donc dans
tous les cas une mise à jour s'imposera après.Dans ce cas, je dirais que le plus simple serait:
- de sauvegarder ta BDD
- de sauvegarder tous les fichiers de ton site
- d'installer un site SPIP propre dans la dernier version de la branche 2.1
- de voir ce que ca donne dans l'espace privé -> si jamais toujour le
hack, c'est que c'est en BDD
- puis tu réinstalle tes plugins
- puis tes squelettes--
Maïeul
http://blog.maieul.net
http://geekographie.maieul.net_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.netArchives : https://www.mail-archive.com/spip@rezo.net/maillist.html
Infos : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc
_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.netArchives : https://www.mail-archive.com/spip@rezo.net/maillist.html
Infos : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc
Bonjour,
Un de mes sites a été visité il y a quelques temps, même manifestation: appel à une iframe qui s’ouvrait dés le chargement du sommaire.
Le site était en 1.9 ou 2.1 à l’époque.
Je m’en suis sorti assez vite:
importe ta base par phpmyadmin
ouvre la avec notepad ou un logiciel de texte
fait la recherche qui t’intéresse, recherche l’occurence http://agrilygaza.96.lt/Agrily.php
si tu la retrouve dans ta base, repasse dans phpmyadmin et supprime la directement dans la base.
J’avais l’avantage de connaitre parfaitement mon squelettes, si bien que j’ai pu repérer ce qui déclenchait l’iframe: des articles en « une » qui avaient été surchargés.
J’ai pu rentrer dans l’espace privé, et là même appel de l’iframe: des auteurs avaient été créés.
Suppression par phpmyadmin de ces auteurs.
J’ai pu constater que les quelques articles impactés étaient des articles récents et mis en avant par la présentation dans le sommaire.
On m’a par la suite dit ici qu’il s’agissait d’un robot.
Bon courage et si besoin est n’hésite pas à demander de l’aide.
Patrick
================
« Cécile Tonnelle » <cecile@reflet-web.com> a écrit dans le message de news: 131E6A638878463AA008D923DBA2AF0E@cilou…
Bonjour
Sur un site de fin 2011 en Spip 2.1.11, la page d’accueil de l’admin (ecrire/?exec=accueil) a été hackée… le
contient une iframe :
Pour compléter mon dernier message, après recherche dans mon courrier, j’ai retrouvé ceci en date du 25 septembre 2014:
Bonjour,
Un site dont je m’occupais a été hacké avant hier.
Impossible de voir le site, en partie privée, non plus.
J’ai examiné les tables et j’ai trouvé dans la table article quelques titres
des derniers articles remplacés par ce code:
Bonjour et merci à tous votre aide, pistes et liens... j'ai enfin réussi à nettoyer le site
@Patrick : j'ai fais comme toi, fouiller dans le xml tiré de phpmyadmin pour nettoyer après directement dans la base de données et ça a bien marché...
Les plugins menu et SEO avaient été touchés et "désactivés" en quelque sorte pour que je ne puisse pas aller voir les paramètres.
Le site est maintenant en dernière version de spip2, j'ai mis l'écran de sécurité et changé tout les mots de passe... j'espère le hacker/robot ne recommencera pas 
Bon weekend
Cécile
"Cécile Tonnelle" <cecile@reflet-web.com> a écrit dans le message de news:
FE75C1F0DE8242E399A86BB57EB76268@cilou...
Bonjour et merci à tous votre aide, pistes et liens... j'ai enfin réussi à
nettoyer le site
@Patrick : j'ai fais comme toi, fouiller dans le xml tiré de phpmyadmin pour
nettoyer après directement dans la base de données et ça a bien marché...
Les plugins menu et SEO avaient été touchés et "désactivés" en quelque sorte
pour que je ne puisse pas aller voir les paramètres.
Le site est maintenant en dernière version de spip2, j'ai mis l'écran de
sécurité et changé tout les mots de passe... j'espère le hacker/robot ne
recommencera pas
Bon weekend
Cécile
=========
Je suis bien content que ça ait marché, depuis cet incident en 2014, plus de
problème, mais je surveille les visites tous les jours, et j'ai désactivé le
forum.
Bonne journée
---
L'absence de virus dans ce courrier electronique a ete verifiee par le logiciel antivirus Avast.
https://www.avast.com/antivirus