Bonsoir,
je te renvoie à ce que j'avais détaillé sur le forum Spip :
http://forum.spip.org/fr_216523.html sous le pseudo Felipe
Mon second message te concerne aussi puisque tu as été RÉinfecté : ça
continuera tant que tu n'auras pas changé ton mot de passe FTP. Et
puisque le pirate a eu accès au fichier config/connect.php ça craint
aussi du côté du mot de passe de la BDD.
Côté antivirus, Avast n'avait pas été performant du tout il y a 6 mois
et Antivir si, du moins pour l'attaque que nous avions eu (des iframe
vers des sites russes/ukrainiens/indiens).
Je complète ci-dessous :
Le 28/02/2010 11:03, webmaster spip a écrit :
Oui effectivement, mais ce n'est pas tant le nom de domaine qui pose
problème, mais plutôt les urls des pages internes : si je récupère
une sauvegarde de la bdd et je la transfère sur un autre serveur,
j'ai effectivement toutes mes pages qui devraient revenir, mais avec
l'rul rewriting l'expérience de déplacement de site m'a déjà montré
qu'il y en avait pas mal qui avaient sautées. De plus si je récupère
la bdd et que celle-ci est comrompue, je déplace le problème avec.
Si tu récupères (je crois) la table spip_urls et le fichier .htaccess ,
je vois pas comment tes URLs pourraient être modifiées.
Mais pour commencer, je vois pas non plus à quoi ça sert de déménager
ton site ...
Comment savoir si la bdd est corrompue (rien ne ressemble plus à une
entrée qu'une autre entrée dans une base !, ok je ne suis pas
spécialiste de la bdd)
Rechercher les mots iframe, script, eval et poker/pilule bleue/p17u7e
bl3u3 (enfin les fautes d'orthographe volontaires que tu as pu constater
sur ton site) et qui n'ont rien à faire dans la BDD.
Dans les fichiers de SPIP, il y a des iframes (surtout avec FCKEditor si
tu l'as installé) mais je crois aucun avec l'instruction visibility:
hidden; Si tu sais rechercher avec une expression régulière tu peux
rechercher un masque, les pirates changent l'intitulé des liens mais pas
de méthode.
Ça c'est pour des attaques relativement décelables mais j'en ai vu
passer une dernièrement où les liens étaient cryptés, d'où la recherche
d'eval() ci-dessus. Là c'est plus long de s'assurer que tu as vraiment
tout bien nettoyé !
Si tu as un moyen de rajouter une tâche cron (il faut être admin de son
serveur ou le connaître) et que tu connais le type d'attaque dont tu as
été victime (exemple pour moi: <iframe src="blabla" style="visibility:
hidden;" blabla), tu peux créer un script PHP qui compte le nombre
d'occurences de ce masque et qui envoie un mail si le serveur est
réinfecté. Je sais qu'il y a 13 fois ce masque sur mon site, notamment
dans FCKEditor, j'ai vérifié à la main les 13 occurences et elles sont
normales et attendues mais le jour où une 14ème occurence apparait, tout
Alsacreations.fr sera prévenu par mail avec renvoi d'un mail toutes les
5 minutes jusqu'à ce que dew ou moi-même ayons réglé le problème ... ou
que le client nous ait achevé ^^
Si tu n'as pas moyen d'avoir un cron, tu peux quand même créer le script
mais il te faudra le lancer manuellement toutes les N heures (au moins
une fois par jour quoi) et vérifier de tes yeux qu'il donne le même
résultat que la veille.
Par ailleurs pour la comparaison de fichiers, je l'ai faite hier,
supprimé les fichiers qui me semblaient corrompus, remplacés par des
bons, et ce matin, rebelote, de nouveau un ajout de code dans le
index.php Je ne peux pas la faire à tout moment...
Voir changement du mot de passe FTP ci-dessus.
merci pour vos réponses en tout cas
Ph. Vayssière
--
expert Accessiweb en évaluation et intégrateur XHTML/CSS
www.alsacreations.fr
Expertises, Solutions et Créations pour le Web
5 rue des Couples 67000 Strasbourg - France
Tél. : +33 (0)9 54 96 50 50