Le site d’un de mes anciens clients a été piraté récemment.
N’ayant pas de sauvegarde de la base de données qui soit antérieure à l’attaque, il a fallut nettoyer.
Le criminel a utilisé une vieille faille de SPIP qui permet dans certains cas de créer un compte administrateur. Puis il avait changé le titre du site et le titre d’une rubrique (remplacé par un script qui redirigeait les visiteur vers une page externe - parce que le titre est utilisé dans le menu)
J’ai utilisé l’excellent script adminer (http://www.adminer.org/) pour me connecter à la base de données et faire le ménage.
Le titre du site est dans la table spip_meta. On y trouve aussi d’excellentes informations comme la date de dernier changement des auteurs / articles / forums. Cela m’a permis de vérifier qu’il n’y avait pas d’autres éléments modifiés.
Et un petit détour par Wayback Machine (http://archive.org/web/) a permis de retrouver le titre de la rubrique.
Ensuite j’ai mis à jour SPIP dans la dernière version de la branche 2.1
Pour être exact on connait une vieille faille qui permet de devenir admin
dans certaines conditions. Mais on ne sait pas si le hacker qui attaque
(aléatoirement) les vieux sites SPIP utilise cette faille ou une autre. Par
contre, ce que l'on sait, c'est que ses tests sur des spip récents ont
échoué - et donc qu'une mise à jour permet de nous protéger.
voilà ce que l'on a eu sur un spip 3.05, recherches en cours..;
<h3 class="entry-title"><a href="spip.php?article370" rel="bookmark"><SCRIPT LANGUAGE="JavaScript"> document.location.href="http://http://www.alpha-down.url.ph/" </SCRIPT>
: