site piraté - CMS KwsPHP - Le site clés en main

vendredi 27 février 2015 à 13:25  

---

Bonjour à tous,

Le site de l'école de l'école de Berrias a subi une attaque hier et avant hier, et 4 fichiers php ont été uploadés à la racine du site. Ce sont des fichiers ou le code est obfusqué avec une méthode de type




Après des-obfuscation (ouep c'est moche comme mot )
Le code qui apparait permet de faire des redirections ou affiche des liens uniquement pour les user agent, c'est donc un malware de type spamdexing, et en recherchant sur le net, il apparait que ce genre de technique et de hack est plutôt fréquente, mais souvent utilisée sur des sites utilisant wordpress.

Le problème est qu'étant donné que pour un utilisateur humain, rien ne s'affiche et que le site semble marcher normalement, il est difficile de savoir si oui ou non on est infecté par ce genre de fichier, car il ne fonctionne que si c'est un moteur de recherche qui visite le site.

Je me suis demandé comment le hacker a bien pu uploader des fichiers sur mon site.
Sur mon ftp, a la racine, j'ai trois site kws, et un autre en html5, donc pas de wordpress.
J'ai analysé mes logs, et en regardant du coté de la méthode post, j'ai peut-être un début de piste.

Le 25 et le 26 février j'ai un utilisateur avec une adresse ip ukrainienne qui a fait cette requête :

Et ce toutes les 15/20 minutes pendant 2 jours, toujours avec la même adresse ip




Il le semble que c'est assez gros pour être une coïncidence non ?

Si un connaisseur passe par là, j'aimerai connaitre son avis et savoir quoi faire.

Le truc c'est que le module livre d'or était bien sur le FTP, mais non actif, alors je voit pas comment il a pu faire... J'ai supprimé le module du FTP en attendant.

Voyez-vous comment je pourrais faire pour connaitre le point d'entrée du hacker au cas ou ça ne vienne pas du module livre d'or ?

http://loopio.fr
http://www.laubergin-montelimar.fr
http://www.religiosa.fr/
http://ecole-berrias-casteljau.neticket.fr/
http://www.creche1000pattes.fr/

---

---

Informations : Avant de poster un sujet sur le forum

Veuillez avant tout vérifiez la comparaison de vos fichiers sur votre site
Mon compte / Outils / Comparaison

La recherche avancée du forum (en ciblant au mieux les options de la recherche)
La Faq - La documentation - La documentation en vidéo - Le sujet "Install et Mise à jour"
Vous devez lire en priorité le topic de la 1.6 pour en découvrir ses fonctionnalités

---

vendredi 27 février 2015 à 17:18  

---

Bonjour,

si ton module livre d'or n'était pas activé, on ne peut normalement pas y accéder. Ceci est vérifié en ligne 150 du fichier index.php

En plus même la requête index.php?mod=livredor&action=envoyer ne donne pas d’accès au ftp pour uploader des fichiers infectés ... au pire un accès en bdd, mais les variable sont la aussi filtrées ...

LES C0NS, ÇA OSE TOUT. C'EST MÊME À ÇA QU'ON LES RECONNAÎT.

Michel Audiard

---

vendredi 27 février 2015 à 17:29  

---

Le truc c'est que je vois pas comment il a pu faire... c'est déjà arrivé il y a deux mois, pourtant j'ai rien ajouté/changé au site de l'école depuis des lustres... j'avais changé le mot de passe de mon ftp à l'époque. Mystère.. J'utilise filezilla pour uploader mes fichiers, et je fais régulièrement des scans avec mon antivirus (avira) , je ne pense pas être infecté.

Le truc c'est que les deux fois, c'est dans le dossier du site de berrias que les fichiers ont été uploadés. Il doit forcement y avoir quelque chose qui cloche sur mon site... J'ai même regardé chaque fichiers dans chaque dossier pour regarder leur date de dernière modification, et détecter si un fichier aurait pu être modifié, mais R.A.S aucun fichiers modifiés depuis des semaines.

http://loopio.fr
http://www.laubergin-montelimar.fr
http://www.religiosa.fr/
http://ecole-berrias-casteljau.neticket.fr/
http://www.creche1000pattes.fr/

---

samedi 28 février 2015 à 16:22  

---

Regarde la date si tu le peux encore des fichiers envoyer ou modifier sur le FTP, a partir de là tu vois donc à quel moment regarder dans les logs du serveur.

Parce que des ips étrangères qui font des trucs bizarres, perso c'est fréquent chez moi (et du coup je ne regarde plus lol)...

la seule fois ou j'ai eu de la "cochonnerie" de la sorte c'est quand OVH c'est fait piquer tout les mots de passe de ses clients....

A+

Le temps file....

---

samedi 28 février 2015 à 17:22  

---

En fait après avoir regardé mes logs(ce que je n'avais jamais fait auparavant) il s'avère que ça fait presque un an et soit plus de 20 000 fois que cette IP envoie cette requête. J'ai réussi à trouver la première fois, et j'ai regardé les dates des fichiers modifiés, rien ne semble anormal.

Est-ce qu'avec un script de type brute force il est possible de trouver le mot de passe ftp avec ce type de requête ? ou avec n'importe quel type de requête d'ailleurs ?

Mon mot de passe était assez corsé, mais je l'ai changé et renforcé encore plus. J'ai également banni des plages entières d'ip pour interdire tout ce qui vient de l’Europe de l'est via le .htacces(de toute manière c'est pour une école de village donc pas besoin d'être accessible depuis ces pays). Pour l'instant je ne vois pas quoi faire de mieux .. On verra bien.

http://loopio.fr
http://www.laubergin-montelimar.fr
http://www.religiosa.fr/
http://ecole-berrias-casteljau.neticket.fr/
http://www.creche1000pattes.fr/

---

samedi 28 février 2015 à 18:52  

---

via le lien que tu nous as donné, il n'y a pas de raison que quelqu'un même de mal intentionné puisse accéder au ftp.

S'il s'était agit d'une requête vers un upload quelconque (mg3, download, galerie ...) on aurait pu imaginer une faille du portail, mais via le livre d'or, là je ne vois vraiment pas !

LES C0NS, ÇA OSE TOUT. C'EST MÊME À ÇA QU'ON LES RECONNAÎT.

Michel Audiard

---

samedi 28 février 2015 à 23:25  

---

Dac, merci de vos réponses Otocinclus et julkien.


De toute manière apparemment personne n'est à l'abri d'un hackage au vu du nombre de posts dans les forums sur ce genre de fichiers... Quand on voit que certains sites ont vu leurs pages d'accueil changées lors des récents "évènement"...

http://loopio.fr
http://www.laubergin-montelimar.fr
http://www.religiosa.fr/
http://ecole-berrias-casteljau.neticket.fr/
http://www.creche1000pattes.fr/

---