CA vous est deja arrive?
http://www.alliance-aeei.org/index.php
sur PostNuke-0.764
un moyen de reparer?
et comment eviter que cela ne se reproduise?

Pour t'aider il me faudrait différentes informations :
quels modules tournent sur ton site (liste des dossiers contenu dans le dossier modules).
As-tu des fonctionnalités spécifiques (ftp public, modules perso)
Va voir tes logs d'accès et d'erreur et essaie de regarder les accès frauduleux.

Fait des screenshoot, une sauvegarde des dossier et des logs si tu désires porter plainte pour hackage de ton site internet (je ne connais pas l'importance et le manque a gagner suite à cette attaque sur ton site)

Ensuite, tente d'abord de remettre en place un fichier index.php. Regarde la différence avec un fichier propre. C'est peutêtre lui.

S'il y a des informations sensibles que tu ne désires pas mettre à jour sur le site tu peux me contacter par mp ou par mail à gilles [at] pilloud [dot] fr

Bon courage!

---

Gilles  ><>°

JE ne sais pas si tu utilises tout mais un :

donne



si tu es admin du serveur et que tu n'utilises pas tous les services, je te conseille de les fermer !

---

Gilles  ><>°

Ca doit venir de là non ? http://community.postnuke.com/Article2908.htm
http://www.alliance-aeei.org/modules/PostSchedule/

ps : un index.html dans ce dossier ne ferait pas de mal !

---

Gilles  ><>°

J'ai pas mal de modules installes sur le site dont PNphpBB2, Postschedule, typetool, Updownload...
Je vais deja voir par le Trou de postschedule avec le fichier manquant.

Citation :

si tu es admin du serveur et que tu n'utilises pas tous les services, je te conseille de les fermer !

C un serveur mutualise donc je ne peux pas gerer l'ouverture des ports, enfin je crois.

Sinon j'ai deja essaye de remplacer le fichier index.php de la racine, ca ne change rien.

Bouh ils sont lourdingues!

En tout cas Merci Gilles de t'interesser a mon cas ^^

Si tu sais récupérer les logs de ton domaine, tu pourrais peut-être en apprendre un peu plus sur l'origine du problème.

-------------------------------------------
...n'oubliez pas que l'outil Recherche est votre ami !
...bien souvent il répond à nos questions avant même que l'on ne se les pose ! ^^

En fait j'ai recu via le PnSecurity Alert plusieurs mails dont le plus complet est ce qui suit.
Ou et comment a-til pu ecrire ca?



modifié par : shintch, 29 Avr 2008 - 09:53

Si tu sais toujours accéder à l'administration, pourrais-tu regarder si l'utilisateur "tche" fait partie du groupe admin, si tu ne sais pas accéder à l'administration regarde directement dans la bdd.

-------------------------------------------
...n'oubliez pas que l'outil Recherche est votre ami !
...bien souvent il répond à nos questions avant même que l'on ne se les pose ! ^^

En fait le module effectue une insertion dans sa base de donnée sans nettoyer et protéger la valeur. Typiquement Il manquait une fonction qui nettoyait les valeurs donc si dans un parametre d'une url tu as &id=55 et que tu ne valide pas que c'est bien un nombre qui corresponde à certains critères et qu'a la place tu mettes autre chose ca peut poser probleme. Typiquement :

&id=55 renvoie par exemple :
SELECT * FROM tt WHERE pn_id=55

mais s'il n'y a pas de nettoyage et que dans l'url tu met ca :
&id=66;DELETE * FROM pn_users;

ca renvoie 2 requetes :
SELECT * FROM tt WHERE pn_id=55;DELETE * FROM pn_users;

et tu te retrouves avec un site avec plus d'utilisateurs...

C'est un peu tribal comme exemple mais c'est le principe des injections sql.

As-tu un backup récent de tes fichiers et de la bdd.

Remet en place la bdd, met le hack du module PostSchedule

bon courage !

---

Gilles  ><>°

Tche c moi, je suis l'administrateur du site.
Ca fait longtemps que je n'ai pas fait de sauvegarde TT
avec la restauration d'une ancienne sauvegarde sql le site reste bugged.

Mais si j'ai bien compris, c ds la BDD qu'il y a eu des modifs?
Ou alors c aussi ds les fichiers?

Ou peut se trouver le code que j'ai recu via Pnsecurity?
Comme il y a qqs 4000 fichiers dans l'install de postnuke, je ne sais pas trop comment le retrouver.

Oui les modifications ont été faites dans la bdd principalement, logiquement les fichiers n'ont pas du être altérés...

Visiblement le hacker a mis ton site en mode "maintenance" et a indiqué dans le champ de maintenance son code.

C'est pas un hacker bien méchant c'est déjà ça! Par contre il s'est amusé à se prendre la tête à changer le type de balise html autorisée ou non par postnuke pour que son texte html à lui apparaisse correctement.

-------------------------------------------
...n'oubliez pas que l'outil Recherche est votre ami !
...bien souvent il répond à nos questions avant même que l'on ne se les pose ! ^^