mon site HS depuis hier soir

[yoyo910]

Bonjour ,
hier soir aux alentours de 20 h mon site est tombé HS , ce message d'erreur s'affiche "Fatal error: Namespace declaration statement has to be the very first statement in the script in /home/www/960e3b684db37/web/libraries/vendor/ircmaxell/password-compat/lib/password.php on line 10"

Le problème est venu tout seul, je n'ai pas touché à mon site de la journée, j'ai contacté mon hébergeur (infomaniak ils me disent que c'est problème de développement qu’ils ne peuvent rien y faire) .

J'ai fait une recherche sur le forum concernant ce message d'erreur et j'ai rien trouvé , personne semble avoir eu le même problème que moi .
Merci pour votre aide

[jisse03]

Re : mon site HS depuis hier soir

Bonjour,

Vérifier que les 10 premières lignes du fichier /libraries/vendor/ircmaxell/password-compat/lib/password.php soient EXACTEMENT

<?php
/**
 * A Compatibility library with PHP 5.5's simplified password hashing API.
 *
 * @author Anthony Ferrara <ircmaxell@php.net>
 * @license http://www.opensource.org/licenses/mit-license.html MIT License
 * @copyright 2012 The Authors
 */

namespace {

Si ce n'est pas le cas, il y a eu soit une altération accidentelle du fichier, soit le site a été piraté.

[yoyo910]

Re : mon site HS depuis hier soir

merci beaucoup en effet le début du fichier n'affichaient pas ça , il y avait un code en plus . Du coup j'ai réctifié et le site remarche . Merci encore .

[jisse03]

Re : mon site HS depuis hier soir

Hum, là c'est du rafistolage, bien vérifier ce qui avait été modifié, il est possible que ce soit le résultat d'une intrusion.

[yoyo910]

Re : mon site HS depuis hier soir

la première ligne du fichier affichait ce code

<?php eval(base64_decode('aW............................ .................fQ=='));

je ne sais pas du tout à quoi ça peut correspondre

[modo] Inutile de diffuser complètement sur le forum un code qui semble plus que douteux. Ça pourrait donner des idées à certains.[/modo]

[jisse03]

Re : mon site HS depuis hier soir

en tout cas, ça sent très fort un piratage par injection LFI, ce qui indiquerait que ce ne doit pas être le seul fichier infecté.

[yoyo910]

Re : mon site HS depuis hier soir

connaissez-vous svp une solution pour connaitre les fichiers infectés et pour les désinfecter ?

[jisse03]

Re : mon site HS depuis hier soir

http://www.aesecure.com/fr/blog/site-hacke.html

[cavo789]

Re : mon site HS depuis hier soir

Bonjour

Zéro doute; ton site a été hacké; eval(base64_decode( permet l'exécution de commandes sur ton site comme par exemple l'envoi de spam; tout dépend de l'instruction codée.

Et aucun doute non plus si tu as cette ligne de code dans ce fichier, tu devrais trouver bien d'autres fichiers vérolés sur ton site.

Essaie aeSecure QuickScan pour trouver d'autres bestioles; l'article repris par Jisse en parle.

[yoyo910]

Re : mon site HS depuis hier soir

Merci pour votre aide .
impossible de mettre le fichier aesecure_quick_scan.php à la racine de mon site , mon hébergeur me dit que c'est un fichier malveillant . Je suis en train de les contacter là .

[webcrea]

Re : mon site HS depuis hier soir

Merci pour votre aide .
impossible de mettre le fichier aesecure_quick_scan.php à la racine de mon site , mon hébergeur me dit que c'est un fichier malveillant . Je suis en train de les contacter là .[ATTACH=CONFIG]31305[/ATTACH]

lol niak niak

[cavo789]

Re : mon site HS depuis hier soir

Bonjour

Ils sont pénibles chez Niak niak... Oui, contacte-les et, comme d'autres l'ont fait avant toi (moi aussi), dis-leur que ce script est un scanner et que par définition il contient des "patterns" qui sont à rechercher pour trouver des virus.

De la même manière que le scan de Niak fonctionne (il cherche lui aussi des patterns); il considère que mon script est malveillant tout comme il se considérerait lui-même malveillant s'il devait s'auto-scanner.

aeSecure QuickScan est sain, j'en réponds. Si Niak souhaite me contacter, qu'ils n'hésitent pas. Il leur suffit toutefois de lire le code source qui est accessible et non crypté pour comprendre que le script est sain.

Mode sarcastique : amusant que leur super scanner bloque mon script mais ne bloque pas les vrais virus.

[yoyo910]

Re : mon site HS depuis hier soir

bon ben j'ai réussis a mettre un ancien backup clean , plusieurs fichiers étaient infectés . Du côté de mon hébergeur j'ai reçu aucune réponse à mes messages .

[yoyo910]

Re : mon site HS depuis hier soir

la réponse de niak niak : "Le problème de votre fichier aesecure_quick_scan.php est qu'il contient des signatures de virus. Cela alerte notre anti-virus. C'est pour ce type de cas qu'il est déconseillé d'utiliser plusieurs anti-virus en même temps sur un ordinateur.
"

[cavo789]

Re : mon site HS depuis hier soir

Te voilà bien avancé. Chouette réponse; fortement utile

[Mode sarcastique bis] Quel antivirus proposent-ils ? Le leur n'ayant pas permis à l'attaque d'être bloquée. [/Mode]

Pour aller un peu plus loin : tu pourrais télécharger ton site en local et le scan avec QuickScan. Tu ne seras alors plus bloqué par l'hébergeur et, en outre, c'est toujours mieux de faire ainsi, le scan est plus rapide et moins limité par les contraintes du serveur (timeout, nombre de fichiers à la fois, ...)