AcyMailing Securité

[poupy]

Voici mon message d'erreur donné par planet hoster

Nous venons d'activer le display_error deuis votre panneau World > langages > PHP > option et voici le message qui apparait sur votre site:
Parse error: syntax error, unexpected identifier "une" in /home/.../public_html/monndd/scan.php on line 149

Avec la version php8 car le site est en php 8 sur celui-là

[cavo789]

Merci pour cette importante précision. Peux-tu vérifier quelle est cette ligne 149 dans ton fichier scan.php ?
Va voir la version d'origine : https://github.com/cavo789/aesecure_...kscan.php#L149

Chez moi, en ligne 149, il n'y a pas présence de "une" tel que mentionné dans le message d'erreur que tu as posté ci-dessus.

[Lyr!C]

Pour OVH et Ionos, c'est effectivement assez inquiétant.
Le meilleur conseil serait sans doute de fuir au plus vite vers un hébergeur de qualité mais, si ce n'est pas possible, il y a peut-être moyen de s'en sortir via le .htaccess.
En principe, si le PHP dans le fichier test.php.txt est évalué, c'est parce que l'hébergeur a (mal) configuré le serveur en mettant dans la configuration d'Apache :

<FilesMatch [B]\.php[/B]>
SetHandler application/x-httpd-php
</FilesMatch>

Cela signifie que PHP va exécuter n'importe quel fichier contenant ".php", ce qui est permet le lancement de xxx.php.txt ou xxx.php.png !
La configuration correcte est :

<FilesMatch [B]\.php$[/B]>
SetHandler application/x-httpd-php
</FilesMatch>

La différence est minime mais cela signifie que PHP va exécuter n'importe quel fichier se terminant par .php. Donc ici xxx.php.txt et xxx.php.png seront ignorés. La seule possibilité de les lancer est d'utiliser un "include" dans un autre fichier (ça explique probablement la présence des fichiers xxx.php dans les autres sous-répertoires).

Je n'ai pas la possibilité de tester mais peut-être que placer la directive FilesMatch correcte au début du fichier .htaccess (à la racine du site) dans les sites se trouvant sur les serveurs qui ont échoué au test peut les protéger malgré tout. Ce serait un test intéressant à faire.

Je viens d'essayer sur l'hébergement OVH de ma cliente, en régénérant le htaccess via admin tools Pro (plus simple), et cela n'a aucun effet.
Si j'essaye :

<FilesMatch \.php$>
SetHandler application/x-httpd-php
</FilesMatch>​

ça plante en affichant le code php du fichier index.php...

Il va falloir que je m'améliore sur les htaccess, si on ne peut compter sur les hébergeurs pour des paramétrages par défaut qui soient sécurisés...

Car le site de ma client, avec Admin Tools Pro et un hébergement OVH n'a pas bloqué les fichiers dans thumbnails de s'exécuter...

[jfque]

C'est étonnant qu'avec le "htaccess Maker" d'Admin Tools Pro vous n'arriviez pas à bloquer l'exécution des "php.txt" parce que le .htaccess généré contient les bonnes instructions. Peut-être que le réglage du serveur lui-même a la préséance.
Dans ce cas, il faudrait envisager de changer d'hébergeur. Plusieurs personnes sur ce fil ont rapporté des prestataires sérieux.

[woluweb]

Pour info : depuis quelques mois, la version Starter utilise bien le Joomla Update Manager nous dit maintenant Acymailing: https://twitter.com/acymailingoff/st...54006480134607

Ben oui, sauf que donc on n'a jamais vu qu'il y avait cette mise à jour utilisant le Joomla Update Manager... puisque les versions précédentes ne l'utilisaient pas.
Et aucune communication pour dire "pensez à installer cette version manuellement et dorénavant vous serez notifié automatiquement des màj via le Joomla Update Manager"

[RobertG]

J'ai migré pour des clients des versions starter de 5 à 8.5 ces derniers mois, et comme je crois l'avoir dit plus haut, je n'ai jamais eu d'autre info de nouvelle version que sur la page d'accueil d'Acymailing, jamais dans la page des mises à jour de Joomla!
Jamais une version 8.5 ou plus récente n'a proposé de mise à jour classique.
Et sur la page en question, la version, en rouge, mène non pas à la page de mise à jour des extensions mais au site Acymailing avec nécessité de s'identifier pour télécharger la version starter, et faute de me souvenir de mes infos d'accès, je suis passé par l'installation "depuis le web".

[poupy]

Merci pour cette importante précision. Peux-tu vérifier quelle est cette ligne 149 dans ton fichier scan.php ?
Va voir la version d'origine : https://github.com/cavo789/aesecure_...kscan.php#L149

Chez moi, en ligne 149, il n'y a pas présence de "une" tel que mentionné dans le message d'erreur que tu as posté ci-dessus.

Je reviens pour te présenter toutes mes excuses.
En fait j'ai la traduction automatique, et ça avait traduit ton code en Français
Maintenant ça fonctionne beaucoup mieux :-)

[cavo789]

Noooon... :-)

Vraiment pas de souci, tu as fait l'essentiel en trouvant (grâce à PH) l'erreur.

Bonne chasse aux morpions.

[poupy]

Là par contre j'ai cette erreur

An error has occured :
Internal status: error
HTTP Status: 502 (error)
XHR ReadyState: 4
Raw server response: Proxy Error
The proxy server received an invalid response from an upstream server.
The proxy server could not handle the request

Reason: Error reading from remote server
​

[cavo789]

Bon pas très parlant...

Si c'est immédiatement au lancement de QuickScan, je dirais qu'il y aurait trop de connexions sur github.com (un nombre réduit est autorisé par heure).

QuickScan doit y chercher ses fichiers de configuration. Toutefois ce n'est qu'une piste de réflexion....

Si c'est à l'exécution d'une analyse sur ton serveur alors là c'est ton propre serveur qui est trop lent et retourne une erreur. En haut en gauche dans l'interface tu as un menu hamburger. Tu peux choisir le nombre de fichiers à scanner par lot. 500 par défaut si je ne m'abuse. Il te faut réduire cette limite (par exemple à 300).

C'est pour cette raison que j'explique dans ma documentation que l'idéal est de lancer le scan en local, c'est plus rapide et moins restrictif.

[Lyr!C]

C'est étonnant qu'avec le "htaccess Maker" d'Admin Tools Pro vous n'arriviez pas à bloquer l'exécution des "php.txt" parce que le .htaccess généré contient les bonnes instructions. Peut-être que le réglage du serveur lui-même a la préséance.
Dans ce cas, il faudrait envisager de changer d'hébergeur. Plusieurs personnes sur ce fil ont rapporté des prestataires sérieux.

C'est le cas!

OVH en mutualisé (même en "performance"), ce n'est clairement pas à la hauteur... Voir même la préhistoire de l'hébergement web.

Et je trouve cela honteux vu la popularité de ce dernier !

D'autres chez OVH constate le même problème ?

[pmleconte]

Petite blague du jour : après une semaine d'un beau délire, je viens de recevoir un mail acymailing de Jean-Baptiste essayant de me vendre une mise à niveau vers la version payante....
Au fait Jean Baptiste, je suis en France et un mail en français serait tout de même bienvenue, même si je n'y donnerai pas suite....
Pascal

[woluweb]

Pour info : j'ai pas testé, mais Tom van der laan (aka TLWebdesign) vient de sortir un script bash permettant d'identifier les fichiers concernés par la faille Acymailing:

https://gist.github.com/TLWebdesign/30790676628ee053c9a0ec300b7a7c38

Je cite son message, en anglais dans le texte :

Ok i've finished writing my script to search for files matching the common patterns used in this hack. I've tried adding in scanning for files but that lead me to nowhere. But at least it is a very easy job to search and clean for the files as mentioned by the community before. I've created a gist with the bash script. I'm quite the noob when it comes to bash scripting so i used chatGPT 4 and a couple hours of trial and error to come up with the final result. Any input is appreciated and can be commented on in the gist. Hope someone can benefit from this.

[poupy]

Bon pas très parlant...

Si c'est immédiatement au lancement de QuickScan, je dirais qu'il y aurait trop de connexions sur github.com (un nombre réduit est autorisé par heure).

QuickScan doit y chercher ses fichiers de configuration. Toutefois ce n'est qu'une piste de réflexion....

Si c'est à l'exécution d'une analyse sur ton serveur alors là c'est ton propre serveur qui est trop lent et retourne une erreur. En haut en gauche dans l'interface tu as un menu hamburger. Tu peux choisir le nombre de fichiers à scanner par lot. 500 par défaut si je ne m'abuse. Il te faut réduire cette limite (par exemple à 300).

C'est pour cette raison que j'explique dans ma documentation que l'idéal est de lancer le scan en local, c'est plus rapide et moins restrictif.

Je viens d'avoir la réponse de PH

Bonjour,

Malheureusement le script tombe sur un timeout entre le proxy et le service web, le timeout de ce proxy ne peu pas être modifié

Avez-vous un autre façons de pouvoir le lancer ?

Exemple en php-cli ?

Merci

[cavo789]

Hello

Je ne disais pas autre chose ;-)

As-tu tenté ce que je donnais comme solution ?