AcyMailing Securité

[herve]

Bonsoir
bon quelques heures plus tard

1/ test.php.txt dans le dossier images
Merci pour cette astuce
Planete hoster et Gandi bien configuré
A priori problème avec Ionos !!

2/ test avec php_grep.php
rien trouvé après les fichiers supprimés sur plusieurs sites sous rep. "/media/com_acym/images/thumbnails"

3/ aeSecure-QuickScan.php
merci pour la nouvelle version qui a fonctionné sauf sur site ionos !


Après j'ai l'impression qu'il y a beaucoup de faux positifs (plusieurs dizaines), suite à lecture approfondie et longue sur 2 sites


Sinon bonne nouvelle, l'éditeur va produit son propre test et l'intégrera nativement dans la prochaine version
Voir le fil initié https://forum.acymailing.com/d/5720-...erability/3

[cavo789]

Sur ta dernière image

... 72 déjà identifiés comme virus, là ce ne sont pas des faux positifs mais des vrais virus que j'ai rencontrés lors de mon activité de nettoyage de sites il y a plusieurs années.

[jfque]

Pour OVH et Ionos, c'est effectivement assez inquiétant.
Le meilleur conseil serait sans doute de fuir au plus vite vers un hébergeur de qualité mais, si ce n'est pas possible, il y a peut-être moyen de s'en sortir via le .htaccess.
En principe, si le PHP dans le fichier test.php.txt est évalué, c'est parce que l'hébergeur a (mal) configuré le serveur en mettant dans la configuration d'Apache :

<FilesMatch [B]\.php[/B]>
SetHandler application/x-httpd-php
</FilesMatch>

Cela signifie que PHP va exécuter n'importe quel fichier contenant ".php", ce qui est permet le lancement de xxx.php.txt ou xxx.php.png !
La configuration correcte est :

<FilesMatch [B]\.php$[/B]>
SetHandler application/x-httpd-php
</FilesMatch>

La différence est minime mais cela signifie que PHP va exécuter n'importe quel fichier se terminant par .php. Donc ici xxx.php.txt et xxx.php.png seront ignorés. La seule possibilité de les lancer est d'utiliser un "include" dans un autre fichier (ça explique probablement la présence des fichiers xxx.php dans les autres sous-répertoires).

Je n'ai pas la possibilité de tester mais peut-être que placer la directive FilesMatch correcte au début du fichier .htaccess (à la racine du site) dans les sites se trouvant sur les serveurs qui ont échoué au test peut les protéger malgré tout. Ce serait un test intéressant à faire.

[cavo789]

Pour info je viens d'ajouter toutes les versions de Joomla à QuickScan càd que les fichiers core de Joomla, si et seulement si non modifiés, sont sur liste blanche.

Cela va très grandement accélérer le scan et fortement réduire le nombre de faux positifs.

[herve]

Bonjour
Merci pour cette version 2.0.2
J'ai le même nombre de "virus" trouvé mais je trouve étrange; j'ai déjà vu pas mal d'infection surtout sur les sites wordpress et ils étaient facilement identifiables avec le nom ou le masquage de leur contenu. Dans ce cas, je me concentre sur les dangers potentiels*

Sinon je revois plus globalement mes actions de sécurité. je n'ai pas repris d'extension de sécu mais pour infos, j'avai déjà pas mal avancé sur
* paramétrage HTSTS-CSP https://forum.joomla.fr/forum/joomla...02#post2050202
* je vais repartir sur la dernière version htaccess 4.3.4 car pas sûr d'avoir à chaque fois appliqué les conseils de joomla lors de mise à jour
@+

*

[poupy]

Bonjour à tous en recherchant les fichiers j'ai trouvé des fichiers
thumbnail_99.php.png et thumbnail_99.png?.php
Je dois supprimer les 2 fichiers ?
Merci d'avance

[cavo789]

@Herve: ton image n'est pas très lisible mais de ce qu'on peut voir, le mot $_COOKIES est présent à chaque fois dans une zone de commentaire PHP ==> faux positif en l'occurence.

poupy : oui, ce sont des virus. Maintenant sache que si tu as deux virus; d'autres se cachent probablement ailleurs.

[herve]

@Herve: ton image n'est pas très lisible mais de ce qu'on peut voir, le mot $_COOKIES est présent à chaque fois dans une zone de commentaire PHP ==> faux positif en l'occurence.

poupy : oui, ce sont des virus. Maintenant sache que si tu as deux virus; d'autres se cachent probablement ailleurs.

ok merci. je continue en faisant les 2 points mentionnés
Super fil instructif pour la sécurisation

[poupy]

poupy : oui, ce sont des virus. Maintenant sache que si tu as deux virus; d'autres se cachent probablement ailleurs.

Merci beaucoup je vais tester ton petit outil

[poupy]

Désolé je reviens car je n'arrive pas à faire fonctionner le script
J'ai testé sur Planethoster et sur o2switch
J'ai mis le fichier à la racine de mon site c'est à dire au même niveau que le dossier administrator ... et quand je le lance j'ai une erreur 500
J'ai pourtant bien pris la version qui correspond à ma version de php
j'ai tapé l'url du site ndd/aesecure_quickscan.php
Merci pour votre aide

[RobertG]

Bonjour,

Je viens de tester sur deux serveurs PlanetHoster, fichier placé à la racine (à côté de configuration.php) et je n'ai pas d'erreur.

[poupy]

Merci pour tes tests
Sur ce site j'ai toujours aesecure d'installé, est-ce que cela peut poser problème ?
Faut-il changer les droits sur ce fichier ?

[cavo789]

Non, le parefeu d'aeSecure ne va pas bloquer son petit frère QuickScan ;-)

Les droits d'accès doivent être 644 mais c'est sûrement déjà le cas. Si tu as une erreur 500 et que tu es certain d'avoir pris la bonne version du script (https://github.com/cavo789/aesecure_quickscan#install), je ne peux que tu suggérer d'aller voir, sur ton hébergement, le log des erreurs afin d'apprendre plus sur le pourquoi de l'erreur 500.

[toffffe]

Bonjour à tous Dans planet hoster on trouve où ces logs s'il vous plait

[RobertG]

Bonjour,

Bonne question ! Sur un serveur de client, plus de données depuis longtemps dans les dossier logs et access-logs du ftp
Sur mon serveur, idem pour le dossier logs.
Dans le gestionnaire N0C, je n'ai pas trouvé d'accès à ces logs.