[Problème] Visiblement hacké ?

[alex33]

Bonjour,

voila en voulant accéder a mon site web je tombe sur la page que vous allez voir en cliquant sur le lien avec un lien tweeter en plein milieu.....
Assez surpris je dois penser que je me suis fait hacker ? (première fois que çà m'arrive un truc comme ça !)

J'ai regardé si je pouvais accéder au back office pas de souci j'y arrive et en regardant dans ma liste des personnes enregistrés j'ai aperçu cet utilisateur sous le speudo Cassanova404.....qui s’était mis les droits d'administrateur encore heureux qui n'avait pas enlever mes droits ! donc je l'ai supprimer de suite et j'ai rectifié les paramètres sur la gestion sur l’enregistrement des utilisateurs (j'avais laisser l'option enregistrement automatique sans l'aval de l'administrateur !)

Voila que dois je faire maintenant pour virer cette page qui s'affiche a la place de mon site ?

Pour info je suis sur joomla 1,7 mon template c'est all rounders

Merci d'avance

[SimonG]

Re : Visiblement hacké ?

Bonjour,

Voila que dois je faire maintenant pour virer cette page qui s'affiche a la place de mon site ?

Le plus simple serait de remonter une sauvegarde saine.

Pour info je suis sur joomla 1,7 mon template c'est all rounders

Cette version de Joomla! a été abandonnée il y a bientôt 2 ans, il est donc normal de rencontrer ce genre de problème. Il est important de suivre les mises à jour aussi bien de Joomla! lui-même, mais également des extensions installées sur le site.

[alex33]

Re : Visiblement hacké ?

j'avais prévu de le faire mais je pensais que c’était encore suffisamment fiable dans le temps...

ILn'y a pas la possibilité d'arranger le problème sans faire remonter une sauvegarde ? car la dernière remonte a quelques temps je vais perdre quelques articles....

J'ai accès a mon back office normalement, il doit y avoir un moyen de virer cette page qui s'affiche ?

Personne n'a une petite piste ?

Merci d'avance

[klin34970]

Re : Visiblement hacké ?

Regarde si par hasard il n'ont pas mis un fichier index.html à la racine.

[jisse03]

Re : Visiblement hacké ?

Bonjour,

j'avais prévu de le faire mais je pensais que c’était encore suffisamment fiable dans le temps...

Beaucoup pensent qu el'urgent peut attendre, en particulier les mises à jour de sécurité, jusqu'à ce qu'un problème de ce type survienne.

ILn'y a pas la possibilité d'arranger le problème sans faire remonter une sauvegarde ? car la dernière remonte a quelques temps je vais perdre quelques articles....

J'ai accès a mon back office normalement, il doit y avoir un moyen de virer cette page qui s'affiche ?

Avec de très bonnes compétences en PHP, et du temps, on peut toujours nettoyer...
Mais si on insiste lourdement sur le besoin de sauvegarde srégulières, etc, il y a des raisons, la première étant de pouvoir revenir à un état connu en cas de problème.

Là, soit tu apprends à comparer tous les fichiers du site par rapport à une version saine, à traquer les injections de code (les fausses images avec vrai code PHP entre autres), soit tu remonte sta sauvegarde quitte à devoir refaire les quelques articles perdus.

Ou tu récupères ta sauvegarde saine en local, tu extrais localement, puis tu spprimes tout le code du site et tu renvoies les fichiers sains, et là, tes articles ne seront pas perdus.

Ensuite, mettre impérativement à jour vers 2.5, c'est le plus urgent.

[lomart]

Re : Visiblement hacké ?

Bonjour,

Pour vérifier les fichiers modifiés, tu peux t'aider du fichier dont je parle dans ce post

[jisse03]

Re : Visiblement hacké ?

En ayant le code de la sauvegarde saine + le code du site hacké, Windiff (ou simplement diff sous Unix) permet de tracer rapidement et avec précision les injections de code http://www.grigsoft.com/download-windiff.htm

[alex33]

Re : Visiblement hacké ?

Non je ne vois pas de fichier index.html a la racine

[alex33]

Re : Visiblement hacké ?

C'est sur que j'y prêterai plus attention maintenant

Pour la résolution je ne suis pas spécialiste PHP je pensais que ce genre d'attaque est facilement localisable (pour des spécialistes) Il doive placer un code dans un fichier spécifique? pour que la page prenne la place de ma page d'accueil ?

[jisse03]

Re : Visiblement hacké ?

Il doive placer un code dans un fichier spécifique? pour que la page prenne la place de ma page d'accueil ?

Chaque attaque a ses propres variantes: remplacement du index.php de Joomla! ou des templates, inclusion de code JavaScript via les image sou medias, etc. Il n'y a donc aucune méthode infaillible pour te dire à coup sûr que uniquement tel ou tel fichier est infecté.

[manu93fr]

Re : Visiblement hacké ?

Il doive placer un code dans un fichier spécifique? pour que la page prenne la place de ma page d'accueil ?

Bonjour
et c'est bien ça le problème !!!
Du code, ça se cache très bien au milieu de plus de 4000 fichiers pour un Joomla standart (je ne compte même pas les extensions)

le seul moyen de "nettoyer" rapidement a l'arrache, c'est de comparer avec une sauvegarde saine. Et même comme ça, on est sur de rien ...

Regarde quand même tes fichiers index.php (le code écrit dedans)
Regarde ton fichier .htaccess (si activé)
Change momentanément de template pour voir si c'est toujours actif

et
scanne ton PC (celui ou tu administre ton site)
change ton mot de passe FTP et BDD (corrige les accès dans ton fichier configuration.php)
change ton mot de passe administrator + protection a ce dossier sensible

[alex33]

Re : Visiblement hacké ?

Chaque attaque a ses propres variantes: remplacement du index.php de Joomla! ou des templates, inclusion de code JavaScript via les image sou medias, etc. Il n'y a donc aucune méthode infaillible pour te dire à coup sûr que uniquement tel ou tel fichier est infecté.

Ok problème résolu ! super ...

je vous confirme les pistes donnés par manue 93 et jlisse en suivant le lien de lomart dans un des post l'utilisateur jhautier avait détecter son problème avec le fichier index.php de son template donc ça m'a mis la puce à l'oreille je suis aller voir et bingo ce fichier avait été changé hier peu de temps après que le hacker s’était enregistré sur mon site
il avait mis le fichier avec que des droits en lecture 0444

le temps de changer les droits et de le remplacer et hop ma page d'accueil de retour !

Ouf ça m a pris moins de temps que prévu grâce a vous tous donc je vous remercie !

Bon je vais migrer vers la vesion 2.5

[lesoutier]

Re : Visiblement hacké ?

Et n'oublie pas les sauvegardes ! Commence par en faire une avant de passer de 1.7 à 2.5, et ensuite fais-les de manière régulière, selon la fréquence des mises à jour de ton site, mais au strict minimum une fois par semaine.

[alex33]

Re : Visiblement hacké ?

Et n'oublie pas les sauvegardes ! Commence par en faire une avant de passer de 1.7 à 2.5, et ensuite fais-les de manière régulière, selon la fréquence des mises à jour de ton site, mais au strict minimum une fois par semaine.

Oui c'est sur une bonne sauvegarde de la base et des fichiers avant et âpres je migre il doit y avoir un post a ce sujet je pense ? car j'ai jamais fait de migration joomla pour l'instant

[webcrea]

Re : Visiblement hacké ?

Bein ne t'inquiète c'est comme un gros supo une fois passé tout est bon