Hack de mon site

[mike3184]

Re : Hack de mon site

Oui pour le support sur la version gratuite je comprends tout à fait, maintenant si il y a effectivement un bug dans les règles de la version gratuite, c'est bien de le signaler aussi je pense.

Voilà le PDF dont je parle: http://www.aesecure.com/fr/blog/joomla-securite.html
A moins que ton site ait été hacké, je pense qu'il s'agit bien de ton PDF
Enfin, quand je dis que tu conseillais, c'est peu être un abus de langage, mais tu cite tout ces outils dans le même PDF, donc on pourrait croire que tout pourrais s'installer en même temps.

Oui j'ai toujours ces erreurs 500 au lieu des 404 sur certaines requêtes, merci pour l'astuce, mais ça n'a pas l'air d'être ça le problème. Après, j'ai déjà vu ces erreurs 500 sur plusieurs sites sous Joomla.

[cavo789]

Re : Hack de mon site

Bonjour

Si j'ai bien compris (j'ai lu beaucoup et en diagonale hier nuit) : si tu actives la protection contre le spam, le blocage d'IP ne fonctionnerait pas sur ton site. Si tu désactives l'antispam, le blocage est fonctionnel.

Chez PieceOfCake, les deux cohabitent correctement. C'est bien correct ?

Pour le PDF : je cite différents outils, aux lecteurs à faire son choix. aeSecure est en un et j'en cite d'autres afin de donner le choix au lecteur d'opter pour celui qu'il préfère. Par soucis de permettre à chacun de faire son choix selon ses préférences.

Et non, je ne propose pas d'installer trois outils en même temps (CP, AdminTools et aeSecure) puisqu'ils font sensiblement la même chose. Ca, c'est très clair dans mon document : opte pour ton préféré mais n'installe pas les trois car sinon, tu vas avoir des conflits (comme il ne faut pas installer trois antivirus sur son ordinateur).

Bonne journée.

[mike3184]

Re : Hack de mon site

Oui voilà, c'est exactement ça. Lorsque la protection contre le spam est activé, le blocage d'IP ne fonctionne plus (et en espérant que le reste fonctionne toujours correctement...).

Chez PieceOfCake en effet, les deux fonctionnerait ensembles correctement, sur un hébergement OVH mutualisé également à priori.

Pour le PDF c'est ce que j'avais finalement compris en effet j'ai donc retiré ce que j'avais installé en lisant le PDF (sauf Admintools Core que j'ai depuis un moment juste pour quelques tâches rapide, rien de plus) au profit d'aesecure.

Edit: Je reviens sur l'erreur 500 qui s'affiche au lieu d'une erreur 404, en faisant quelques tests, j'ai remarqué que ça venait de la règle du htaccess de Joomla (rien à voir avec aesecure, j'avais déjà ce problème avant son installation), plus précisément de là:

## Begin - Joomla! core SEF Section.
#
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
#
# If the requested path and file is not /index.php and the request
# has not already been internally rewritten to the index.php script
RewriteCond %{REQUEST_URI} !^/index\.php
# and the request is for something within the component folder,
# or for the site root, or for an extensionless URL, or the
# requested URL ends with one of the listed extensions
RewriteCond %{REQUEST_URI} /component/|(/[^.]*|\.(php|html?|feed|pdf|vcf|raw))$ [NC]
# and the requested path and file doesn't directly match a physical file
RewriteCond %{REQUEST_FILENAME} !-f
# and the requested path and file doesn't directly match a physical folder
RewriteCond %{REQUEST_FILENAME} !-d
# internally rewrite the request to the index.php script
RewriteRule .* index.php [L]
#
## End - Joomla! core SEF Section.

Quand je comment la ligne RewriteRule .* index.php [L], je tombe bien sur une erreur 404 (quand la page demandée n'existe pas). L'erreur 500 que j'obtiens est exactement ça:

500 - Affichage introuvable [name, type, prefix] : category, php, contentView

Edit2: Je pense avoir trouvé quelque chose d'intéressant concernant les erreurs 500, en fait c'est un script Joomla qui redirige les requêtes vers des extensions connues mais non présentes vers une page personnalisée err. 500 (extensions comme .php, .html etc... si je test par exemple un .zip, je tombe sur une erreur 404 Apache). C'est à priori modifiable en touchant le code de Joomla, mais j'y tiens vraiment pas.

[mike3184]

Re : Hack de mon site

J'ai réussi à régler l'histoire de l'erreur 500. En fait, il faut désactiver l'option "Ajouter un suffixe aux URLs" dans la configuration du site pour retrouver un comportement normal. Comme expliqué un peu plus haut, c'est un script Joomla qui renvoie une erreur 500 au lieu d'une 404 quand on appelle un fichier inexistant mais dont l'extension est présente dans les fichiers de Joomla.

J'en ai profiter pour personnaliser la page d'erreur 404, et rediriger, via l'htaccess, les erreurs 404 "Apache" qui ne sont pas redirigé vers la page 404 personnalisée.

Je continue mes tests pour le blocage d'IP.

Edit: J'ai trouvé un moyen de contourner le problème pour le conflit entre les règles de blocage d'IP et la protection contre le SPAM. Je suis tombé sur ce site: http://www.askapache.com/htaccess/bl...-htaccess.html qui explique comment bloquer les bad bots, il s'agit de la même liste que aesecure, j'ai donc modifié l'htaccess pour utiliser la méthode avec RewriteRules au lieu de SetEnvIfNoCase utilisé par aesecure et qui semble, dans mon cas, entrer en conflit avec la règle de blocage d'IP.
Ca n'explique toujours pas pourquoi il y a conflit quand même... (je pense que les order allow,deny sont soit de trop, soit dans le mauvais ordre).