Bonjour à tous,

Le site de l'école de l'école de Berrias a subi une attaque hier et avant hier, et 4 fichiers php ont été uploadés à la racine du site. Ce sont des fichiers ou le code est obfusqué avec une méthode de type




Après des-obfuscation (ouep c'est moche comme mot :) )
Le code qui apparait permet de faire des redirections ou affiche des liens uniquement pour les user agent, c'est donc un malware de type spamdexing, et en recherchant sur le net, il apparait que ce genre de technique et de hack est plutôt fréquente, mais souvent utilisée sur des sites utilisant wordpress.

Le problème est qu'étant donné que pour un utilisateur humain, rien ne s'affiche et que le site semble marcher normalement, il est difficile de savoir si oui ou non on est infecté par ce genre de fichier, car il ne fonctionne que si c'est un moteur de recherche qui visite le site.

Je me suis demandé comment le hacker a bien pu uploader des fichiers sur mon site.
Sur mon ftp, a la racine, j'ai trois site kws, et un autre en html5, donc pas de wordpress.
J'ai analysé mes logs, et en regardant du coté de la méthode post, j'ai peut-être un début de piste.

Le 25 et le 26 février j'ai un utilisateur avec une adresse ip ukrainienne qui a fait cette requête :

Et ce toutes les 15/20 minutes pendant 2 jours, toujours avec la même adresse ip




Il le semble que c'est assez gros pour être une coïncidence non ?

Si un connaisseur passe par là, j'aimerai connaitre son avis et savoir quoi faire.

Le truc c'est que le module livre d'or était bien sur le FTP, mais non actif, alors je voit pas comment il a pu faire... J'ai supprimé le module du FTP en attendant.

Voyez-vous comment je pourrais faire pour connaitre le point d'entrée du hacker au cas ou ça ne vienne pas du module livre d'or ?