Bonjour, je prends en route pour vous faire part de mon expérience en matière de sécurisation avec Spip.
S'il s'avère que, effectivement, Spip est particulièrement bien développé et n'offre pas, fondamentalement, de faille de sécurité (notamment pas ou peu d'injection possible), il reste deux 'failles' auxquelles on ne pense pas vraiment : le brut-forcing et l'arborescence du site ...
1. le brut-forcing : on sait que des robots sont capables de tester les formulaires de login longtemps et de manière répétitive pour tenter de découvrir les codes d'entrée, tentatives d'autant plus facilitées par la 'faiblesse' évoquée ci-dessous ... Ne serait-il pas bon de limiter les tentatives à un nombre restreints d'essais et de bloquer ensuite les entrées ? Ou tout au moins 'd'imposer' des mots de passes solides ? En intégrant, par exemple, à l'installation, un outil indiquant la force du mot de passe de l'admin id1 ?
2. l'arborescence du site. Spip est un logiciel libre, donc tout le monde - y compris les hackers - peuvent en connaître l'organisation interne, et surtout, l'existence et le rôle du répertoire tmp. En effet, suite à des tests effectués sur une plateforme que je croyais solide, accessible en https seulement, il a été super facile d'entrer dans le répertoire tmp, puisque l'on en connaît l'existence. A partir de là, récupérer les dump de la base (dans lequels il y a les login et les psw), lire simplement tous les logs de spip ... et y voir les informations concernant les admin, le nom des dumps faits, etc.
Bien sûr, il va falloir protéger mieux ce répertoire, (et l'idéal, semble-t-il, serait de le déplacer sur un autre serveur non accessible en http, mais réservé à ceux qui ont un dédié), mais c'est sûr que ceux qui ne sont pas trop développeurs - il y en a pas mal dans les utilisateurs spip - n'y pensent pas forcément ...
Voilà ma petite expérience, et les deux seules réelles "failles" que j'ai découvertes. N'étant pas du tout familier avec les .htaccess et autres expressions régulières, on pourrait peut-être attirer l'attention des utilisateurs dans ce domaine et leur proposer des solutions pratiques à mettre en oeuvre ...
Pour ma part, je vais travailler à mieux sécuriser la plateforme dont je parle plus haut - mais elle est sur un dédié, donc pas "standard" - mais je vais aussi tester cela sur des sites mutualisés : si je peux apporter à la communauté dans ce domaine, ce sera avec plaisir ...
Marc
Le 7 févr. 2010 à 10:46, denisb a écrit :
Le 07/02/10 09:23, Les Sab a écrit :
Ce sont bien des failles au niveau des machines de l'hébergeur qui sont la cause de ces intrusions;
Il n'empêche que cela ne dispense pas de mettre à jour sa version de Spip et autres plugins et logiciels utilisés.
par défaut, spip ne possède (et n'utilise) aucun fichier index.html
pour pallier à l'ajout de fichiers index.html (b-a-ba du défaçage),
il faut interdire à apache de lire ces fichiers en ajoutant, dans
le .htaccess de la racine de spip (par exemple dans son bloc
### REGLAGES PERSONNALISES ###) :
DirectoryIndex index.php
puis, pour éviter qu'un appel explicite à mon_site/index.html
soit possible, ajouter une redirection (toujours dans ce bloc) :
RewriteRule index\.html$ index.php
ou encore :
RewriteRule index\.html$ spip.php?page=404
attention : ceci n'est qu'un pis-aller (pour éviter l'affichage de
la page défacée) ; *ne protège pas* et ne dispense en rien de se tenir
à jour, vérifier ses logs, etc
_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Discuter chez rezo.net
Documentation de SPIP : http://www.spip.net/
Irc : de l'aide à toute heure : http://spip.net/irc
