aeSecure - QuickScan - Projet OpenSource en recherche d'un repreneur

[cavo789]

Bonjour à tous

En 2018 je publiais le script OpenSource aeSecure QuickScan sur base de l'expérience que j'avais acquise alors que je nettoyais des sites web ayant été hackés (dans le cadre d'une activité d'auto-entrepreneur que j'avais).

Il s'agissait de donner à la communauté un outil gratuit et que je maintenais à jour en suivant chaque nouvelle version de Joomla et cela depuis la version 1.0.13 (https://github.com/cavo789/aesecure_.../hashes/joomla).

Depuis l'arrêt de mon activité, je ne fais plus vraiment le suivi de QuickScan qui est compatible PHP 8.2 et Joomla 1.0.13 jusqu'à 5.2.2. Il manque donc les fichiers nommés "hash" qui sont les empreintes des fichiers natifs d'un Joomla tout juste décompressé.

Ce suivi de version n'est pas un travail gigantesque (il est expliqué ici) mais il se fait que je ne le fais plus réellement.

Est-ce qu'une figure réputée dans la communauté Joomla serait intéressée par la reprise du script ou juste pour "pousser" les hashes des versions sur la page Github du projet ?

En l'état, le script est absolument fonctionnel sauf que, ne reconnaissant pas les nouvelles versions du CMS, il ne peut pas exclure les fichiers "sains" et donc le processus de scan est plus lent puisque devant scanner davantage de fichiers.

Si quelqu'un est intéressé, n'hésitez pas à réagir ci-dessous.

Merci pour la communauté.

[daneel]

Bonjour,

Je suis intéressé par la reprise de la mise à jour des fichiers de hachage pour aeSecure QuickScan. Cependant, je compte le faire de manière automatisée. Le package complet de Joomla en version française est déjà intégré dans un processus d'automatisation presque complet de mon côté. Je réalise régulièrement des empreintes des fichiers afin de contrôler ceux installés sur mes sites.

Cela ne me demandera donc pas plus de temps que ce que je consacre déjà à ces vérifications.
Et bien sûr, cela restera entièrement dédié à la communauté !

Je vais regarder comment intégrer cela dans mon workflow et je reviendrai ici avec plus de détails.

À bientôt !

[daneel]

Bonjour,

Je suis intéressé par la reprise de la mise à jour des fichiers de hachage pour aeSecure QuickScan. Cependant, je compte le faire de manière automatisée. Le package complet de Joomla en version française est déjà intégré dans un processus d'automatisation presque complet de mon côté. Je réalise régulièrement des empreintes des fichiers afin de contrôler ceux installés sur mes sites.

Cela ne me demandera donc pas plus de temps que ce que je consacre déjà à ces vérifications.
Et bien sûr, cela restera entièrement dédié à la communauté !

Je vais regarder comment intégrer cela dans mon workflow et je reviendrai ici avec plus de détails.

À bientôt !

[cavo789]

Bonjour Yann

Tu fais déjà tellement, tant, immensément beaucoup pour la communauté...

Il est vrai que la création des fichiers de hachage est déjà automatisé en ce sens qu'il suffit d'avoir les fichiers décompressés de Joomla dans un dossier et de lancer un simple écrit php qui s'occupe alors de tout.

Merci pour ta proposition et reviens vers moi quand cela t'arrange.

Concernant github.com, on pourrait imaginer un fork sur la page de l'AFUJ et je ferais alors une redirection de telle manière que le script soir chez toi de manière officielle.

Merci.

[daneel]

Concernant github.com, on pourrait imaginer un fork sur la page de l'AFUJ et je ferais alors une redirection de telle manière que le script soir chez toi de manière officielle.

C'est fait !

[cavo789]

De mon côté itou càd que j'ai mis le projet en archive et j'ai mentionné le fork fait par l'AFUJ

https://github.com/cavo789/aesecure_quickscan

[schott0200]

C'est génial merci beaucoup daneel !

[pmleconte]

Bonjour,

Sur le nouveau projet AFUJ quickscan https://github.com/AFUJ/quickscan , j'ai mis un PR qui permet d'utiliser un répertoire des extensions utilisés afin de limiter le nombre de faux positifs.

Il suffit de mettre le zip d'une extension dans le répertoire J!extensions (s'il s'agit d'une extension Joomla chargé à partir d'une source fiable), make_hashes.php va générer le/les fichiers .json associés. Ces fichiers sont ensuite utilisés dans quickscan.

Note : pour les nouvelles versions Joomla, il suffit de mettre, dans le répertoire Joomla, le zip en le renommant <version>.zip (par exemple 5.2.4.zip) et, là encore, make_hashes.php génére le fichier json qui va bien.

Dans ce PR, j'ai aussi modifier la procédure de nettoyage finale qui, dans la précédente version, laissait plusieurs fichiers/répertoires.

Pascal

[cavo789]

Mais quels hommes ! (Yann et Pascal)

J'avais prévu un folder "other" pour ça à l'époque et un tel fichier json est alors téléchargé en même temps que le fichier de signature de Joomla.

Merci Pascal pour ton intervention et PR.

[daneel]

Bonjour,

J'ai ajouté Pascal au projet et validé ses propositions.

Vous pouvez (re)découvrir Quickscan sur :

https://kb.joomla.fr/actualites/quickscan-analysez-et-securisez-votre-site-joomla-en-quelques-clics.html

[jps0302]

Bonjour

J'ai testé votre outil sur un site et voici les résultats sur les 500 premiers fichiers :
37 sont détectés comme potentiellement dangereux.

dont ce genre de signalement :

1 -Ce mot est un mot ayant été encodé en base64 et correspondant à une mot réservé de php comme p.ex. $_SERVER ou $_COOKIES.
Il y a de fortes chances qu'il s'agisse d'un code malsain.
Signature : _cookieTrouvé en position 303 du fichier;

2 - Il ne s'agit pas forcément d'un virus, le mot clef utilisé est néanmoins suspect.
Signature : base64_decodeTrouvé en position 921 du fichier;

.....

C'est un outl très utile, mais que faire ensuite de tous ces signalements ?

Merci de votre éclairage

[pmleconte]

Bonjour JP,

Il faut vérifier si le fichier signalé ressemble à un fichier standard ou pas.

S'il semble normal (il s'agit d'un faux positif), cliquez sur le cœur bleu (en fin du fichier signalé) pour mettre ce fichier dans la liste blanche. Cela permet, si vous refaites une vérification, de ne pas revérifier ce fichier.

Depuis la version 2.1.0 de quickscan, vous avez la possibilité de réduire le nombre de "faux positifs" en générant des fichiers "hash" pour les extensions installées sur votre site.

Quickscan a déjà une liste d'extensions habituelles (dernière version) pour les sites Joomla (telle que Akeeba Backup, JCE, ...).

Pour créer vos fichiers hash, il suffit de copier le fichier zip de vos extensions (à partir de sources sûres) dans le répertoire hashes/J!extensions et de lancer make_hashes.php à partir de votre site.

Ensuite, quand vous relancez quickscan, il devrait y avoir beaucoup moins de faux positifs qu'il faut tout de même analyser.

Pascal

[jps0302]

../..

Effectivement quand j'ai voulu accéder à mon site --> J'avais un message site inacessible en front-end et back end.
J'a supprimé les caches et j'ai retrouvé un accés au site
Ouf !!

Merci pour cette réponse que je vais tenter de suivre..
La difficulté c'est de vérifier si le fichier signalé ressemble à un fichier standard ou pas.

Quand je regarde le code :

class CKFof {
static $keepMessages = false;
static protected $environment = 'com_cookiesck'; // for joomla only
static protected $input;
public static function loadHelper($name) {

j'avoue humblement que je ne sais pas vérifier si ce fichier ressemble à un fichier standard ou pas ...
Quelle est la méthode ?

Autre question:
Faut il traiter les fichiers considérés comme des dangers uniquement ou faut-il traiter aussi les fichiers en warning (couleur orange) ?


merci

[cavo789]

Re,

Faut il traiter les fichiers considérés comme des dangers uniquement ou faut-il traiter aussi les fichiers en warning (couleur orange) ?

Quand QuickScan est certain d'être face à un virus, il le dit explicitement.

S'il y a potentiellement un risque, il affiche le fichier et la portion de code qui doit être interprétée par l'utilisateur.

En fonction de certains paramètres, le risque (potentiel !! ) est orange ou rouge.

Il n'est pas possible de te donner une réponse autre que de lire et de comprendre.

En cela l'utilisation de QuickScan requiert des compétences en programmation php car il faut lire le code et estimer de la vraisemblance du risque.

C'est pour cela que la notion de hashes (fichiers dont l'empreinte est ajoutée à la liste blanche) est tellement importante car elle va drastiquement réduire les faux positifs.

[cavo789]

Bonjour

Et pour rappel, il est vraiment préférable d'utiliser ce type d'outils externes à Joomla en localhost (càd une copie de votre site sur votre ordinateur).

Déjà pour des raisons de performances (et d'absence de timeout) mais aussi parce que, peut-être, l'outil pourrait générer des dysfonctionnements (ce n'est pas le cas de QuickScan; je parle ici dans l'absolu), pourrait être identifié comme dangereux par votre hébergeur, pourrait rester en ligne (vous auriez oublié de le supprimer), ...

Il y a plein de raisons qui font qu'il n'est jamais "sain" d'utiliser de tels outils sur votre site en ligne. Préférez de prendre une sauvegarde en local et de travailler à partir de là.

[jps0302]

Bonjour

Effectivement l'interprétation des résultats de quickscan nécessite des compétences en PHP pour estimer la vraisemblance du risque.

La nuance entre "Il y a de fortes chances qu'il s'agisse d'un code malsain" et "Il ne s'agit pas forcément d'un virus, le mot clef utilisé est néanmoins suspect". implique une connaisance du code php que j'avoue ne pas détenir.

Faut-il passer par la rubrique "demande de service" pour estimer le cout d'une analyse et éventuelle désinfection par un technicien PHP ?