[Problème] Site piraté malgré les protections

[Joe31]

Bonjour,

Je m'étais fait pirater déjà fin août. Google m'avait prévenu que mon site contenait un Malware. Et j'avais pensé qu'en remettant à jour Joomla, puis en installant Admin Tools - Sécurité, crawltrack et son compère crawlprotect, tout rentrerait dans l'ordre. J'avais pas été assidu dans les mises à jour. J'espérais avoir corrigé le tir et en avoir fini une bonne fois pour toute.

Hélas, ce n'est pas le cas. Je viens de m'apercevoir que le /jquery.js"> synonyme de piratage de mon site était réapparu en haut à gauche de mes pages. Donc j'ai peut-être mal paramétré quelque-chose ? J'ai pourtant suivi à la lettre les tutoriels d'installation. Est-ce que quelqu'un aurait une idée de ce que je pourrais faire à présent ? Je n'ai pas encore été re-catalogué "page malveillante" mais ça devrait être rapidement le cas.

Sincèrement j'en ai ras le bol et je suis à deux doigts de jeter l'éponge. Sachant que l'informatique est tout sauf mon métier, j'ai très peu de temps à y consacrer.

Merci d'avance pour tous les conseils

[SimonG]

Re : Site piraté malgré les protections

Bonjour et bienvenue,

les extensions installées sur ce site sont elles à jour ?
Puisque le site a déjà été piraté, il faut modifier les mots de passe (connexion au site, FTP, base de données).
Et puis, il faut également vérifier ta machine, afin de voir si elle ne contient pas un virus elle-même.

[Joe31]

Re : Site piraté malgré les protections

Oui j'ai tout mis à jour il y a deux semaines.

Voilà ce que me dit Crawlprotect :
CrawlProtect a bloqué depuis le 6/09/2013
0 Tentatives d'injection SQL
1 Tentatives d'injection de code
0 Tentatives de cross-site scripting (xss)
0 Tentatives de hack par commandes shell
0 Tentatives d'accès à une url interdite
37 Aspirateurs de sites ou robots indésirables
0 Tentatives de spam de referer
0 Tentatives de spam
0 Utilisations de vos images par hotlinking

Deux IP
38.111.147.84 ==> 37 tentatives
196.20.107.183 ==> 1 tentatives

En ce qui concerne ma machine, je fais régulièrement des nettoyages spybot, antimalware, adaware.. J'ai peut-être un truc mais bon, je serais surpris.
J'ai changé les mdp fin août après les premières attaques.
Merci pour la réponse en tout cas.

[toffffe]

Re : Site piraté malgré les protections

Salut
Le problème dans ton cas c'est que tu as mis des barrières à ton site avec admintools et ... mais tu as surement mal nettoyé ton site qui avait été piraté. Donc le pirate est déjà à l'intérieur.

[avanti]

Re : Site piraté malgré les protections

Bonjour,

As tu regardé le code de tes pages ? Souvent, une suite de caractères apparaît en début de page (côté code).

Parfois, et pour ma part c'est ce que j'ai rencontré dernièrement, il y a eu un truc qui commence par "eval(base64_decode".

Il faut tout enlever si c'est le cas, et supprimer un fichier post.php.

Et bien sur changer tous les mots de passe (mysql + ftp)

J'utilise également crawl qui est très intéressant et protège quand même pas mal déjà... mais bon parfois ça passe. Et c'est souvent quand une extension est à risque ou que joomla n'est pas à jour apparemment.

Et vérifie aussi tes chmod

avanti -

[Joe31]

Re : Site piraté malgré les protections

Salut
Le problème dans ton cas c'est que tu as mis des barrières à ton site avec admintools et ... mais tu as surement mal nettoyé ton site qui avait été piraté. Donc le pirate est déjà à l'intérieur.

J'avais fait une restauration complète à une date largement antérieure puis changé tous les mots de passe.

Ce n'est pas possible qu'ils passent par les fichiers du template sinon ?
Car ça effectivement, je n'y ai pas touché ou mis à jour.
Merci pour ton aide.

- - - Mise à jour - - -

Bonjour,

As tu regardé le code de tes pages ? Souvent, une suite de caractères apparaît en début de page (côté code).

Parfois, et pour ma part c'est ce que j'ai rencontré dernièrement, il y a eu un truc qui commence par "eval(base64_decode".

Il faut tout enlever si c'est le cas, et supprimer un fichier post.php.

Et bien sur changer tous les mots de passe (mysql + ftp)

J'utilise également crawl qui est très intéressant et protège quand même pas mal déjà... mais bon parfois ça passe. Et c'est souvent quand une extension est à risque ou que joomla n'est pas à jour apparemment.

Et vérifie aussi tes chmod

avanti -

Je vais regarder ça et vous dire ça. Merci !

[SimonG]

Re : Site piraté malgré les protections

Ce n'est pas possible qu'ils passent par les fichiers du template sinon ?

Bien sur que si, le template est une extension comme les autres.
Il faut donc le mettre à jour.
Attention, si des modifications ont été apportées à ce template sans utiliser les surcharges, elles seront écrasées.

[toffffe]

Re : Site piraté malgré les protections

Même ton dossier images peut contenir des fichiers malveillants

[Joe31]

Re : Site piraté malgré les protections

Même ton dossier images peut contenir des fichiers malveillants

Ah oui ? Ce sont quels types de fichiers ? Je vais tout passer au peigne fin.

- - - Mise à jour - - -

Bien sur que si, le template est une extension comme les autres.
Il faut donc le mettre à jour.
Attention, si des modifications ont été apportées à ce template sans utiliser les surcharges, elles seront écrasées.

Ok alors il est probable que cela vienne de là.. merci !

[toffffe]

Re : Site piraté malgré les protections

Ah oui ? Ce sont quels types de fichiers ? Je vais tout passer au peigne fin.

Ca peut être des gif mais en fait qui sont du code php et non des images ou tout simplement du code php

[Joe31]

Re : Site piraté malgré les protections

Visiblement c'est bien le template qui contient la faille. J'ai simplement remis les fichiers sauvegarde de mon template, et le décalage de mon image et le jsquery ont disparu.
Le problème c'est que mon template est juste compatible avec joomla 1.7. Est-ce que je pourrais faire des modifs moi-même pour l'amener au 3.0 ? Ou vaut-il mieux que j'en change ?
Mon template est le suivant :

http://www.joomla24.com/gallery/album11/halloween

[toffffe]

Re : Site piraté malgré les protections

Le template est aussi compatible avec joomla 2.5
Pour la version joomla 3 le plus simple est de contacter le développeur
Mais sinon de ce que j'ai vu de ce template tu devrais facilement retrouver l'équivalent compatible joomla 3

[cavo789]

Re : Site piraté malgré les protections

Salut

Si tu en as la possibilité, essaie le script "JAMSS - Joomla! Anti-Malware Scan Script" : http://forum.joomla.org/viewtopic.ph...75a260e732475a

Il va scanner ton site à la recherche de malware. Ne prends pas tout pour argent comptant; le nombre de faux-positifs sont très nom breux.

Je rejoins les autres : quand on restaure un site, il faut le faire complètement, la bestiole pouvant se loger à différents endroits.

Concernant le template, pas sûr que joomla24.com soit un site absolument exempt de bestioles. Ce n'est que mon avis perso mais on trouve tout et n'importe quoi sur ce site; y-a-t'il réellement un contrôle de qualité (poser la question, c'est y répondre) lorsqu'un template y est déposé ?

Le template étant vraiment la vitrine de ton site, perso, je ne cherche pas midi à quatorze heures : je casse ma tirelire et j'achète un template d'un éditeur réputé. Note que tu as également des templates de tels éditeurs pour pas un kopeck. Je pense ici à Gantry qui met un template basique à disposition.

Bonne dératisation.

[afigiboto]

Re : Site piraté malgré les protections

Bonjour,

Je galère à me débarrasser de eval base 64.
Petite question : peut-il loger dans la base de donnée ?

Merci et spécial remerciement à cavo789 pour le tuyau jamss

[manu93fr]

Re : Site piraté malgré les protections

Salut

Si tu en as la possibilité, essaie le script "JAMSS - Joomla! Anti-Malware Scan Script" : http://forum.joomla.org/viewtopic.ph...75a260e732475a

Il va scanner ton site à la recherche de malware. Ne prends pas tout pour argent comptant; le nombre de faux-positifs sont très nom breux.

Pas mal le script Cavo
Merci pour le partage ...