[RÉGLÉ] Erreur 500 - namespace - librairies / joomla 3.9

[Pierre débutant]

Bonjour,

Je possède un site internet sous joomla 3.9.
Suite à une migration de la part de ovh vers leur nouvel espace de Gravelines, j'ai un message d'erreur "http error 500" qui apparait.
J'ai contacté ovh, qui m'a mis en mode développeur, ce qui a fait apparaître un message d'erreur sur la page d'administration : "Fatal error: Namespace declaration statement has to be the very first statement or after any declare call in the script in /home/monsite/www/libraries/src/MVC/Controller/BaseController.phpon line 9"

Ovh m'indique que le problème vient du code de mon site, et qu'il me faut trouver la "variable d'ajustement" pour la modifier (extraire le fichier corrompu via ftp, le télécharger sous bloc-note, effectuer le petit changement technique, l'enregistrer, le remettre sur mon site en écrasant l'ancien fichier, le tout via ftp).

Cependant, je ne comprends pas ce que je dois faire, car je n'ai aucune connaissance en "programmation". Que dois je changer à cette fameuse "line 9" ?
Egalement, jusqu'à 24h avant le message d'erreur, ma console d'administration n'avait détécté aucune mise à jour à réaliser...

[cavo789]

Bonjour

Vérifie ta version de PHP; sois certain d'être en PHP 7.

Ensuite, peux-tu ouvrir avec un éditeur de texte ce fichier précis ? (pour faire cela, tu dois te connecter sur ton FTP; aller dans le dossier du fichier incriminé et l'ouvrir avec Notepad ou un autre éditeur).

Ensuite regarde le début du fichier (les dix premières lignes) et compare avec celui natif de Joomla : https://github.com/joomla/joomla-cms...Controller.php

As-tu la même chose ? Si pas, remets une version propre de Joomla pour voir si cela solutionne le souci.

Bonne journée.

[Pierre débutant]

Bonjour,
Merci pour votre réponse rapide. En réponse à votre mode opératoire :

1) Je suis bien PHP 7.1 (depuis près de 8 à 10 mois environ si mes souvenirs sont bons).
2) J'ai réussi à enregistrer le fichier incriminté "BaseController.php" sur mon ordinateur pour le comparer au "natif de joomla". Mon fichier possède tout un tas de codes entre crochet entre la ligne 1 et 2, du type : $l19de[$l19de['x4978'][78].$l19de['x4978'], etc pendant 12 lignes.
3) Ensuite, concernant la ligne 9 mise en évidence par le message d'erreur : j'ai exactement le même texte que sur le natif, avec les mêmes majuscules, espacement, point virgule à la fin....
Quelle suite dois-je donner à ce problème ? Effacer l'ensemble des codes entre la ligne 1 et 2 du code de ce fichier, et l'enregistrer à la place de l'existant ? (je conserverais tout de même l'existant au cas où je doive revenir en arrière, sait-on jamais)
Remerciements pour votre aide précieuse. Bonne journée

[pmleconte]

Bonjour,

Cela ne sent pas bien bon....

Christophe (alias Cavo789) a mis à disposition pas mal d'informations sur la détection des virus : https://www.avonture.be/

Voir Aesecure_quickscan et, dans votre cas, le point 3 : AESecure_Slides_Hacked

Pascal

[Pierre débutant]

Bonjour,
Comment puis-je faire un scan avec Aesecure (module présent sur mon site), puisque je n'ai pas accès à la console d'administration du site ? Puis-je réaliser ce type de scan depuis le serveur d'ovh ?

[cavo789]

Bonjour

Tu as donc des virus sur ton site.

Remettre les fichiers propres de Joomla est déjà un point de départ; tu vas alors supprimer les virus qui s'y trouvent puisque tu remettras en place des fichiers propres.
Ton erreur sera alors solutionnée.

Restera à nettoyer les virus qui sont ailleurs (composants, template, ... et fichier tels que /images/virus.php càd autonomes).

Si tu cherches sur mon site, tu trouveras un outil gratuit aeSecure QuickScan qui te permettra de trouver des virus. Cet outil n'est toutefois pas exhaustif; comme c'est expliqué.

Bonne journée.

[Pierre débutant]

Bonjour,
Il se passe quelque chose que je ne comprends plus : lorsque j'ouvre le fichier BaseController.php avec Bloc-notes, j'ai en effet des chiffres entre crochets type "$l19de[$l19de['x4978'][78].$l19de['x4978']"
Par contre, j'ai voulu, pour plus de clarté de lecture, ouvrir le même fichier avec NotePad++ : résultat je n'ai plus aucun crochet qui s'affiche, la page est identique au natif joomla.
Qu'est-ce qui se passe là : c'est normal ou pas ?
Remerciements pour vos lumières.

[Pierre débutant]

Et en plus, lorsque je souhaite visualiser le fichier en question direct via FTP par le biais de mon espace client chez OVH (en dur), le fichier ne fait apparaître rien d'anormal (il est alors comme le natif joomla)... Qu'est-ce qu'il faut en conclure ... ?

[cavo789]

Bonjour,
Il se passe quelque chose que je ne comprends plus : lorsque j'ouvre le fichier BaseController.php avec Bloc-notes, j'ai en effet des chiffres entre crochets type "$l19de[$l19de['x4978'][78].$l19de['x4978']"
Par contre, j'ai voulu, pour plus de clarté de lecture, ouvrir le même fichier avec NotePad++ : résultat je n'ai plus aucun crochet qui s'affiche, la page est identique au natif joomla.
Qu'est-ce qui se passe là : c'est normal ou pas ?
Remerciements pour vos lumières.

Facile... Scrolle sur ta droite... Oui oui c'est bête

[Pierre débutant]

Bonjour,
En effet, j'ai "scrollé" et découvert à nouveau ce code malveillant. J'ai alors transféré le natif joomla du fichier BaseController.php sur mon site via SFTP, et le site est réapparu comme d'habitude : j'ai parcouru le site, et pour l'instant tout à l'air "normal". Un grand merci d'ores et déjà pour cette première étape "franchie"
Je vais tout de même effectuer le scan : j'ai donc téléchargé et extrait le dossier zippé de ae secure quick scan.
Pour que je comprenne bien : ma version joomla est 3.9.6, donc je prend le fichier ae secure quick scan "J!3.9.2" (qui est le plus "approchant" en terme de version) ?
Ensuite, je prend aussi tous les fichiers ".json", et enfin le fichier "aesecure_quickscan.php" ?
Puis je place tout cela dans le dossier "www" de mon site pour qu'il scanne l'ensemble du site (à la racine, en utilisant ensuite l'url dans mon navigateur), sans créer un dossier à part pour tout mettre dedans ?
Mais dois-je aussi mettre dans "www" les fichiers type "LICENSE", "octocat.tmp", etc... ?

[RobertG]

Bonjour,

Comme le précise Christophe sur la page Github :

aeSecure QuickScan will automatically download the files he needs, so the only thing you need to do is get a copy of the file aesecure_quickscan.php and nothing else

[Pierre débutant]

D'accord, je place seulement aesecure_quickscan.php, et au moment du transfert, ce fichier va de lui même prendre avec lui ce qu'il a besoin. Merci beaucoup de vous mettre à mon niveau, car je pars de très bas....

[RobertG]

Quand tu vas saisir l'adresse "mondomaine.tld/aesecure_quickscan.php" (où mondomaine.tld est à remplacer par l'adresse de ton site), le script va lui-même récupérer les fichiers nécessaires à son fonctionnement

[Pierre débutant]

En effet, je viens de faire cette manipulation, puis j'ai lancé et terminé le scan. Il a trouvé des fichiers potentiellement infectés, mais il semblerait qu'il s'agisse peut-être d'écritures propres à des programmes existants sans virus.
Comment puis-je récupérer la liste complète de ces fichiers potentiellement touchés, pour ensuite passer à une potentielle vérification ? Lorsque je suis à la racine du site, je ne vois que la "white list", mais aucune "blacklist" ? L'emplacement est ailleurs ?

[cavo789]

Ce soir je prendrai le temps de générer les fichiers de liste blanche pour les dernières versions de joomla. Je te propose d'attendre jusqu'alors.