spip Hacked avec des jpg

Général
1

Bonjour

Il semblerait qu'il y ait beaucoup d'attaque sur des Spip 2 en ce moment.
Je viens d'avoir un site hacké par Moh Ooasiic.
J'ai trouvé 2 fichiers corrompus dans le dossir IMG/ :
- index.php.jpg
- index-2.php.jpg

Le CMS n'était pas à jour.
Quelle est la bonne marche à suivre ?
Est-ce que quelqu'un a déjà eu à faire au même hack ?

Merci

2

Syd a écrit le 02/02/2015 11:54 :

Bonjour

Il semblerait qu'il y ait beaucoup d'attaque sur des Spip 2 en ce moment.
Je viens d'avoir un site hacké par Moh Ooasiic.
J'ai trouvé 2 fichiers corrompus dans le dossir IMG/ :
- index.php.jpg
- index-2.php.jpg

Le CMS n'était pas à jour.
Quelle est la bonne marche à suivre ?
Est-ce que quelqu'un a déjà eu à faire au même hack ?

On parle de cette technique ici par exemple :

Voir aussi

Maintenant, il faut mettre à jour votre site.
Ça tombe bien, y'a de la doc :

--
RealET

3

Ok, merci, je regarde ça.

4

Salut,

Il semblerait qu'il y ait beaucoup d'attaque sur des Spip 2 en ce moment.
Je viens d'avoir un site hacké par Moh Ooasiic.
J'ai trouvé 2 fichiers corrompus dans le dossir IMG/ :
- index.php.jpg
- index-2.php.jpg

Le CMS n'était pas à jour.
Quelle est la bonne marche à suivre ?
Est-ce que quelqu'un a déjà eu à faire au même hack ?

j'ai déjà été confronté à ça... Après avoir viré les sites non à jour (il ya avait plusieurs WP et un SPIP), j'avais quand même régulièrement de nouvelles attaques.

J'ai donc recherché sur le serveur les fichiers qui avaient été récemment modifiés et je les ai vérifiés à la main. C'est chiant à faire, mais si tu n'as pas trop de modifs récentes sur le site, c'est jouable. Et c'était effectivement des jpg...

Commence par vider les dossiers temp + IMG/local (à toi de voir si tu as des trucs à récupérer dedans).
Ensuite, tu te connectes en SSH à ton espace et tu lances "find . -mtime -2"
Ca va te sortir tous les fichiers modifiés depuis 2 jours (cf -2). A ajuster en fonction de quand date l'attaque...

             jean marie

5

Merci Jean-Marie

L'attaque a dû avoir lieu mi-novembre.
D'ailleurs c'est assez étrange, on ne voit rien du tout sur l'espace public.
Je n'ai qu'un seul site sur l'hébergement qui est mutualisé chez OVH.
Je suis plutôt graphiste, et le SSH m'est complètement inconnu.
Ce que je vais faire :
- importer le dossier img, et faire une recherche en local en fonction des dates.
- j'ai déjà changé tous les mots de passe, mais je pense que le problème vient plutôt d'une faille du CMS trop ancien.

Ensuite :
Supprimer tous les dossiers à part "config" "IMG" "plugins" "tmp/dump".
Transférer les dossiers autres que "config" "IMG" "plugins" de la dernière version de la branche SPIP, et lancer la mise à jour.

Est-ce que c'est la bonne méthode ?

6

J'ai supprimé 3 images, mais impossible de supprimer les 3 tables dans la base, même si les fichiers n'existent plus "#1142 — DELETE command denied to use…" :

html/index2.php.jpg
html/index.php.jpg
png/safe_image.php.png

Comment faire ?

7

J'y suis parvenu bizarrement, après avoir changé le mot de passe de la base… Jamais vu ça.

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Discuter chez rezo.net

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc