[RÉGLÉ] Htaccess piraté

[wworld]

Pour ne pas prolongé un poste qui à été mise en [réglé] je reprend ici

Salut jisse, salut zeplin, ça fait plaisir de vous retrouver sur le forum
Je me permet d'ajouter une rallonge à ce poste, un de mes client viens d'avoir le même coups sous Joomla 1.5 (sans le composant estateagent). Il est vrai que l'hébergeur n'est pas spécialement connu pour sa fiabilité (PHPNET.org), il me demande d'ailleurs de trouver la faille et je n'ai accès à aucun log ...

Hello,

Sans aucun log disponible, tu vas devoir te rabattre sur le pendule, le chapelet, les gousses d'ail et pieu, ou encore sur une boule de cristal ou les entrailles d'un poulet

Plus sérieusement, parvenir à tracer la véritable origine d'un crack de site (une fois éliminées les failles des scripts PHP, extensions vulnérables...) n'est pas de tout repos, et se révèle coûteux en temps (donc en ferrailles sonnantes et trébuchantes pour le client).

Mais y parvenir sans aucun log, autant demander un acte de propriété concernant la Lune, Mars et Jupiter simultanément.

Pour te donner un exemple, pour un de mes clients, il a fallu 12 jours d'investigations dans les logs systèmes de 90 jours pour trouver une faille dans le firewall du serveur, qui avait servi de point d'entrée...

[wworld]

Re : Htaccess piraté

Merci Jisse
J'ai mis à jour tout les chmod, restauré les .htaccess, vu que register_globals était à ON et mis à OFF, supprimé les accès FTP inscris dans configuration.php (et oui ça arrive encore), modifier les mots de passe et ...
j'ai pu mettre la main sur les logs et je vois quand le problème à commencé à être visible.
Reste a fouiller et comprendre ...

Quelle genre de requête peut exploiter les failles de chmod, register global ou lire le fichier configuration.php ou exploiter l'user id=62?

[wworld]

Re : Htaccess piraté

J'ai trouvé dans le log, le fichier qui permet le piratage:
/images/banners/.cache_iir9yq.php

Je me demande comment c'est possible d'insérer ça dans un site Joomla?
Au travers de l'administration?

[jisse03]

Re : Htaccess piraté

J'ai trouvé dans le log, le fichier qui permet le piratage:
/images/banners/.cache_iir9yq.php

Je me demande comment c'est possible d'insérer ça dans un site Joomla?
Au travers de l'administration?

En général, les pirates se moquent complètement de l'administration.

Mais le plus souvent, soit ton client FTP ets vérolé et transmet les identifiants, soit une extension vulnérable permet cette injection.

[Mariezowie]

Re : Htaccess piraté

Bonjour wworld, je me je suis tombé sur ton post en recherchant la solution à un soucis similaire : où as-tu trouvé les logs qui t'ont permis de trouver le fichier qui permet le piratage? (pour info je ne suis pas une pro... ... sorry... )

[wworld]

Re : Htaccess piraté

Bonsoir Mariezowie,
Les logs se trouvent sur le serveur qui héberge ton site. En général ils sont accessibles depuis l'administration de ton hébergement et/ou par FTP dans un dossier qui est généralement nomé "logs" à la racine.
Pour trouver un fichier qui pose problème il faut avoir une idée du moment où le problème est apparu, exemple: date de dernière modification du fichier piraté et trouver les autres fichiers qui ont été créés ou modifié un peu avant voir en même temps.