Piratage de site

Général
1

Hi

J'ai un site SPIP (1.9.2) dont je ne controle pas le serveur. Ce site a ete pirate dans la nuit (normal, il est politique) vous pouvez le voir a:

http://www.3almani.com/

Je voudrai seulement m'assurer que SPIP n'est pas en cause mais la securite du serveur.

Accessoirement, est ce que quelqu'un sait commentr une telle operation s'est produite?

Merci

George

2

George Kandalaft a écrit :

Hi

J'ai un site SPIP (1.9.2) dont je ne controle pas le serveur. Ce site a ete pirate dans la nuit (normal, il est politique) vous pouvez le voir a:

http://www.3almani.com/

Je voudrai seulement m'assurer que SPIP n'est pas en cause mais la securite du serveur.

Accessoirement, est ce que quelqu'un sait commentr une telle operation s'est produite?

Merci

George

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

Avais-tu mis une protection sur ton site ??

* *Pour protéger le site* *, il y a un moyen :

Créer un fichier nommé index.html .... vide
- et en inclure un dans chaque répertoire sensible,
- en mettre au minimum un à la racine du site pour ne plus voir la structure du site

*Pour créer ce fichier vide* :
- Utiliser PSpad <http://www.journal-la-mee-2.info/article.php3?id_article=5014&gt; (ou un autre type de bloc-notes)
- Créer un nouveau fichier
- Ne rien mettre dedans
- et l’enregistrer sous le nom : index.html

Il n’y a plus qu’à l’envoyer, par FTP, dans le répertoire que l’on veut... sauf s’il y a déjà un autre fichier nommé index.html que l’on veut garder.

mais attention, je te donne ça sans garantie.
J'aimerais avoir l'avis des autres spipeurs !

BP

3

C'est celle des hackers. Mais la je crois bien que c'est le serveur car l'acces par FTP est bloque aussi. Mais je voulai etre sur que SPIP n'a rien a voir avant que les autres responsables du site ne me tombent dessus. Surtout que je les ai convaincu de ne pas choisir Joumla parce qu'il etait moins securise que SPIP (register_globals et tout ca).

George

Alan Le Marec wrote:

Salut,
    

        La page d'accueil c'est la tienne ou c'est les hackers qui l'ont
fait? On ne peut plus accéder à l'intérieur du site?

Hi
  

J'ai un site SPIP (1.9.2) dont je ne controle pas le serveur. Ce site a
ete pirate dans la nuit (normal, il est politique) vous pouvez le voir a:

http://www.3almani.com/

Je voudrai seulement m'assurer que SPIP n'est pas en cause mais la
securite du serveur.

Accessoirement, est ce que quelqu'un sait commentr une telle operation
s'est produite?

Merci

George

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

4

Salut,

est-ce que tu as repéré sur ton site un fichier du nom de c99.php ou
c99shell.php ?

Pascal

George Kandalaft a écrit :

C'est celle des hackers. Mais la je crois bien que c'est le serveur car
l'acces par FTP est bloque aussi. Mais je voulai etre sur que SPIP n'a
rien a voir avant que les autres responsables du site ne me tombent
dessus. Surtout que je les ai convaincu de ne pas choisir Joumla parce
qu'il etait moins securise que SPIP (register_globals et tout ca).

George

Alan Le Marec wrote:

Salut,
    

        La page d'accueil c'est la tienne ou c'est les hackers qui l'ont
fait? On ne peut plus accéder à l'intérieur du site?

Hi
  

J'ai un site SPIP (1.9.2) dont je ne controle pas le serveur. Ce site a
ete pirate dans la nuit (normal, il est politique) vous pouvez le voir a:

http://www.3almani.com/

Je voudrai seulement m'assurer que SPIP n'est pas en cause mais la
securite du serveur.

Accessoirement, est ce que quelqu'un sait commentr une telle operation
s'est produite?

Merci

George

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

5

Objet : Re: [Spip] Piratage de site

C'est celle des hackers. Mais la je crois bien que c'est le serveur car
l'acces par FTP est bloque aussi. Mais je voulai etre sur que SPIP n'a
rien a voir avant que les autres responsables du site ne me tombent
dessus. Surtout que je les ai convaincu de ne pas choisir Joumla parce
qu'il etait moins securise que SPIP (register_globals et tout ca).

George

Bonjour,
a ma connaissance le compte d acces au ftp n est pas contenu dans spip, pas
utile
si le ftp est aussi detruit, ca semble plus probable que ce soit le ftp qui
ai ete pirate, puis tous les fichiers du sites supprimes (aucun appel normal
spip ne fonctionne sur ton site)
par contre, quand tu accedes au ftp, tu peux aussi acceder a la bdd, as tu
regarde a quoi elle ressemblait ?
je te souhaite d avoir des sauvegardes bien fraiches...
bon courrage
triton

6

et les logs de SPIP et Apache, ils disent quelque chose ?

Le 14 juil. 07 à 10:54, George Kandalaft a écrit :

C'est celle des hackers. Mais la je crois bien que c'est le serveur car
l'acces par FTP est bloque aussi. Mais je voulai etre sur que SPIP n'a
rien a voir avant que les autres responsables du site ne me tombent
dessus. Surtout que je les ai convaincu de ne pas choisir Joumla parce
qu'il etait moins securise que SPIP (register_globals et tout ca).

George

Alan Le Marec wrote:

Salut,

        La page d'accueil c'est la tienne ou c'est les hackers qui l'ont
fait? On ne peut plus accéder à l'intérieur du site?

Hi

J'ai un site SPIP (1.9.2) dont je ne controle pas le serveur. Ce site a
ete pirate dans la nuit (normal, il est politique) vous pouvez le voir a:

http://www.3almani.com/

Je voudrai seulement m'assurer que SPIP n'est pas en cause mais la
securite du serveur.

Accessoirement, est ce que quelqu'un sait commentr une telle operation
s'est produite?

Merci

George

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

7

Non puisque le FTP ne marche pas

George

Pascal Desroche wrote:

Salut,

est-ce que tu as repéré sur ton site un fichier du nom de c99.php ou
c99shell.php ?

Pascal

George Kandalaft a écrit :
  

C'est celle des hackers. Mais la je crois bien que c'est le serveur car l'acces par FTP est bloque aussi. Mais je voulai etre sur que SPIP n'a rien a voir avant que les autres responsables du site ne me tombent dessus. Surtout que je les ai convaincu de ne pas choisir Joumla parce qu'il etait moins securise que SPIP (register_globals et tout ca).

George

8

Oui c'est lorsque j'ai vu que le FTP ne marchait pas que je me suis dis que ce n'etait pas SPIP. D'ailleurs meme l'acces a CPanel sur le serveur m'est refuse, donc plus d'acces a la base (par phpmyadmin). Donc c'est sans doute un probleme de serveur. Je m'attendai un peu a ca vu le contenu du site et j'avais demande qu'on s'assure que le serveur etait bien protege.

C'est ironique, j'allais justement aujourd'hui ajouter ce site aux "sites sous SPIP".

Bon, si c'est comme ca, je crois que le thread est devenu hors sujet (pourtant j'aimerai bien beneficier de l'experience de ceux qui ont deja eu ce probleme).

George

triton wrote:

Objet : Re: [Spip] Piratage de site

C'est celle des hackers. Mais la je crois bien que c'est le serveur car
l'acces par FTP est bloque aussi. Mais je voulai etre sur que SPIP n'a
rien a voir avant que les autres responsables du site ne me tombent
dessus. Surtout que je les ai convaincu de ne pas choisir Joumla parce
qu'il etait moins securise que SPIP (register_globals et tout ca).

George
    
Bonjour,
a ma connaissance le compte d acces au ftp n est pas contenu dans spip, pas
utile
si le ftp est aussi detruit, ca semble plus probable que ce soit le ftp qui
ai ete pirate, puis tous les fichiers du sites supprimes (aucun appel normal
spip ne fonctionne sur ton site)
par contre, quand tu accedes au ftp, tu peux aussi acceder a la bdd, as tu
regarde a quoi elle ressemblait ?
je te souhaite d avoir des sauvegardes bien fraiches...
bon courrage
triton

9

le ftp fontionne mais tu n'arrives pas à t'identifier plutôt non ?

pour le reste voilà une petite lecture
http://www.honeynet.org/papers/webapp/

qui explique notamment qqs failles véhiculées par phpmyadmin et autres
injections sql.

a+
Pascal

George Kandalaft a écrit :

Non puisque le FTP ne marche pas

George

Pascal Desroche wrote:

Salut,

est-ce que tu as repéré sur ton site un fichier du nom de c99.php ou
c99shell.php ?

Pascal

George Kandalaft a écrit :
  

C'est celle des hackers. Mais la je crois bien que c'est le serveur car
l'acces par FTP est bloque aussi. Mais je voulai etre sur que SPIP n'a
rien a voir avant que les autres responsables du site ne me tombent
dessus. Surtout que je les ai convaincu de ne pas choisir Joumla parce
qu'il etait moins securise que SPIP (register_globals et tout ca).

George

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

10

Oui c'est ca. De meme pour CPanel.

George

Pascal Desroche wrote:

le ftp fontionne mais tu n'arrives pas à t'identifier plutôt non ?

pour le reste voilà une petite lecture
http://www.honeynet.org/papers/webapp/

qui explique notamment qqs failles véhiculées par phpmyadmin et autres
injections sql.

a+
Pascal

George Kandalaft a écrit :
  

Non puisque le FTP ne marche pas

George

Pascal Desroche wrote:

Salut,

est-ce que tu as repéré sur ton site un fichier du nom de c99.php ou
c99shell.php ?

Pascal

11

George Kandalaft a écrit :

C'est celle des hackers.

des grosses pointures
qui utilisent des outils Higth-Tech : :slight_smile:
<meta content="Microsoft Word 11 (filtered)" name="Generator"/>

Bon courage à toi
Fabrice

12

Pour un site "sensible", plusieurs hébergeurs et de quoi rebondir avec les DNS, pourrait être une première solution pour parer au plus pressé.

13

Quels hébergeurs?

Pour un site "sensible", plusieurs hébergeurs et de quoi

rebondir avec les DNS, pourrait être une première solution
pour parer au plus pressé.

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

14

Le 14 juil. 07 à 10:40, George Kandalaft a écrit :

Hi

J'ai un site SPIP (1.9.2) dont je ne controle pas le serveur. Ce site a
ete pirate dans la nuit (normal, il est politique) vous pouvez le voir a:

c'est arrivé il y a quelques temps à pleins de sites chez Ouvaton. Une faille était chez l'un des hébergés (non Spip rassure-toi). Ce n'est (a priori) pas ton site qui est visé mais ton hébergeur. Regarde s'il a fait une annonce et s'il garanti des back up à jour.

Claude