SPIP piraté ?

Général
1

Bonjour,
Je viens de découvrir un dossier à la racine de mon SPIP intitulé :
"online.lloydstsb.co.uk"
avec un sous dossier :
"udpate-infos-Lloyds"

Tout ça me semble assez louche...

Je suis en SPIP SPIP 1.9.2a [8782]

Qu'en pensez-vous ?
Merci et bonne soirée à tous
Seb

2

Seb a écrit :

Bonjour,
Je viens de découvrir un dossier à la racine de mon SPIP intitulé :
"online.lloydstsb.co.uk"
avec un sous dossier :
"udpate-infos-Lloyds"

Tout ça me semble assez louche...

Je suis en SPIP SPIP 1.9.2a [8782]

Qu'en pensez-vous ?
Merci et bonne soirée à tous
Seb

Bonsoir

Bien sur qu'il y a un problème.

Est ce que tu as un logiciel installé comme PhpMyAdmin?
Est ce que tu as PhpBB.

Est ce que ton site Spip est vraiment tout seul?

Demande à ton hébergeur les logs à propos de ce dossier, il devrait
trouver des traces et te donner une indication sur l'origine du
dépôt du fichier.

Il se peut aussi que tu ais laissé traîner quelque part ton mot de
passe FTP.

Quel est ton hébergeur?

A bientôt
Grégoire

3

Grégoire a écrit :

Seb a écrit :

Bonjour,
Je viens de découvrir un dossier à la racine de mon SPIP intitulé :
"online.lloydstsb.co.uk"
avec un sous dossier :
"udpate-infos-Lloyds"

Tout ça me semble assez louche...

Je suis en SPIP SPIP 1.9.2a [8782]

Qu'en pensez-vous ?
Merci et bonne soirée à tous
Seb

Bonsoir

Bien sur qu'il y a un problème.

Est ce que tu as un logiciel installé comme PhpMyAdmin?
Est ce que tu as PhpBB.

Est ce que ton site Spip est vraiment tout seul?

Demande à ton hébergeur les logs à propos de ce dossier, il devrait
trouver des traces et te donner une indication sur l'origine du
dépôt du fichier.

Il se peut aussi que tu ais laissé traîner quelque part ton mot de
passe FTP.

Quel est ton hébergeur?

A bientôt
Grégoire

C'est sur un serveur local avec juste le port 80 ouvert.
En revance, oui j'ai PhpMyAdmin d'installé, je vais le mettre à jour.
Je vais également mettre à jour le SPIP en question
Merci,

4

Bonsoir Seb.

Il est possible que la faille provienne de ta version de phpMyAdmin...
Pour ma part, je tourne avec du spip 1.9.2a et pas le moindre problème.
Certains de mes clients aussi et pareil, pas le moindre souci...

Petit conseil aussi... N'oublie pas qu'un "bon" mot de passe doit faire de préférence
8 lettres au minimum, avec chiffres, majuscules et minuscules. Cela évite les
robots qui font des tentatives de connexion avec un dictionnaire de mots.

Cette politique n'empêche pas non plus des sauvegardes régulières.

Bon courage.

Aurélien

Seb a écrit :

Grégoire a écrit :
  

Seb a écrit :
    

Bonjour,
Je viens de découvrir un dossier à la racine de mon SPIP intitulé :
"online.lloydstsb.co.uk"
avec un sous dossier :
"udpate-infos-Lloyds"

Tout ça me semble assez louche...

Je suis en SPIP SPIP 1.9.2a [8782]

Qu'en pensez-vous ?
Merci et bonne soirée à tous
Seb

Bonsoir

Bien sur qu'il y a un problème.

Est ce que tu as un logiciel installé comme PhpMyAdmin?
Est ce que tu as PhpBB.

Est ce que ton site Spip est vraiment tout seul?

Demande à ton hébergeur les logs à propos de ce dossier, il devrait
trouver des traces et te donner une indication sur l'origine du
dépôt du fichier.

Il se peut aussi que tu ais laissé traîner quelque part ton mot de
passe FTP.

Quel est ton hébergeur?

A bientôt
Grégoire

C'est sur un serveur local avec juste le port 80 ouvert.
En revance, oui j'ai PhpMyAdmin d'installé, je vais le mettre à jour.
Je vais également mettre à jour le SPIP en question
Merci,

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ
  

5

Seb a écrit :

Grégoire a écrit :

Seb a écrit :
[...]
Demande à ton hébergeur les logs à propos de ce dossier, il devrait
trouver des traces et te donner une indication sur l'origine du
dépôt du fichier.

Il se peut aussi que tu ais laissé traîner quelque part ton mot de
passe FTP.

Quel est ton hébergeur?

A bientôt
Grégoire

C'est sur un serveur local avec juste le port 80 ouvert.
En revance, oui j'ai PhpMyAdmin d'installé, je vais le mettre à jour.
Je vais également mettre à jour le SPIP en question
Merci,

Bonsoir

Il y a aussi tout un tas de services qui sont "en trop" bien souvent.

Est ce que tu as fait un nmap pour connaître les ports ouvert?
Est ce qu'il y a un firewall (ça suffit pas, mais c'est déjà ça).

Est ce que c'est un serveur qui n'est pas ton poste de travail?
(avec mode graphique quoi).

Est ce que tu as interdit de se loguer en root?
Qui à le droit d'écrire des fichiers dans ton arborescence web?

Regarde ce qui se passe dans les logs d'apache, cherche les accès à
ces fichiers... le jour et à l'heure de la création de ces fichiers,
qu'est ce qui s'est passé?

As-tu un DNS? Bind?

Bon courage.
Grégoire

6

Mais tout d'abord, débranche la prise réseau, puis fais une dernière sauvegarde.

Ensuite tu peux tout réinstaller à mon avis. Profites en pour essayer ubuntu.

Bonne,
Nicolas

Le 19/07/07, Grégoire<gobmouch@online.fr> a écrit :

Seb a écrit :
> Grégoire a écrit :
>> Seb a écrit :
>> [...]
>> Demande à ton hébergeur les logs à propos de ce dossier, il devrait
>> trouver des traces et te donner une indication sur l'origine du
>> dépôt du fichier.
>>
>> Il se peut aussi que tu ais laissé traîner quelque part ton mot de
>> passe FTP.
>>
>> Quel est ton hébergeur?
>>
>> A bientôt
>> Grégoire
>>
>
> C'est sur un serveur local avec juste le port 80 ouvert.
> En revance, oui j'ai PhpMyAdmin d'installé, je vais le mettre à jour.
> Je vais également mettre à jour le SPIP en question
> Merci,
>

Bonsoir

Il y a aussi tout un tas de services qui sont "en trop" bien souvent.

Est ce que tu as fait un nmap pour connaître les ports ouvert?
Est ce qu'il y a un firewall (ça suffit pas, mais c'est déjà ça).

Est ce que c'est un serveur qui n'est pas ton poste de travail?
(avec mode graphique quoi).

Est ce que tu as interdit de se loguer en root?
Qui à le droit d'écrire des fichiers dans ton arborescence web?

Regarde ce qui se passe dans les logs d'apache, cherche les accès à
ces fichiers... le jour et à l'heure de la création de ces fichiers,
qu'est ce qui s'est passé?

As-tu un DNS? Bind?

Bon courage.
Grégoire

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

7

Ca ressemble férocement à du phishing (http://www.antiphishing.org/).
J'ai déjà remarqué en regardant les logs apache de notre site que des hackers turcs essayaient via des scripts automatiques (des dizaines de tentatives à la minute) d'installer ce genre de fichier sur notre serveur. SI ça marche, ils utilisent alors ton serveur comme fausse page d'accueil d'une banque...

Philippe Hensmans

Le 19-juil.-07 à 21:01, Grégoire a écrit :

Seb a écrit :

Bonjour,
Je viens de découvrir un dossier à la racine de mon SPIP intitulé :
"online.lloydstsb.co.uk"
avec un sous dossier :
"udpate-infos-Lloyds"

Tout ça me semble assez louche...

Je suis en SPIP SPIP 1.9.2a [8782]

Qu'en pensez-vous ?
Merci et bonne soirée à tous
Seb

Bonsoir

Bien sur qu'il y a un problème.

Est ce que tu as un logiciel installé comme PhpMyAdmin?
Est ce que tu as PhpBB.

Est ce que ton site Spip est vraiment tout seul?

Demande à ton hébergeur les logs à propos de ce dossier, il devrait
trouver des traces et te donner une indication sur l'origine du
dépôt du fichier.

Il se peut aussi que tu ais laissé traîner quelque part ton mot de
passe FTP.

Quel est ton hébergeur?

A bientôt
Grégoire

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip
FAQ : http://www.spip-contrib.net/spikini/FaQ

8

Nicolas Dubail a écrit :

Mais tout d'abord, débranche la prise réseau, puis fais une dernière sauvegarde.

Ensuite tu peux tout réinstaller à mon avis. Profites en pour essayer ubuntu.

Bonne,
Nicolas

Bonjour

Effectivement, Windows, Serveur, Sécurité sont des mots incompatibles.

Il n'a pas dit si c'était sur du windows.

En passant, EasyPHP est fait pour le développement, pas pour la
prod, c'est clairement précisé dedans.

A bientôt
Grégoire

PS : Linux Debian, c'est bien aussi.

Il y a aussi les solutions très bien faites comme : SME-serveur ou
Free-eos