Les sites de Djetdail Hors service

[Pascal]

- changer le port de connexion SSH et fermer le port 22

Je vais le faire, l'accès au serveur est t'il toujours valide sans modif supplémentaires ?

Il faut juste penser à ouvrir le port qui sera utilisé avant de changer la config, à relancer le service SSH (service ssh restart ou équivalent) puis de dire au terminal SSH (PuTTY chez moi) d'utiliser ce nouveau port.

- vérifier la config du firewall (et n'autoriser que les ports réellement utiles)

A faire, il faut que je liste tous les ports utilisé, http 80, ftp 21, ssh 21ou22, .....

Les principaux sont listés là : http://docs.zpanelcp.com/?node=40

- renommer le dossier phpMyAdmin

Cela ne gène pas l'accès aux bases ? et à l’accès à l'administration ?

Pas le mois du monde. L'accès aux bases pour les sites est effectué par le service mysql. phpmyadmin est une interface utilisateur (la plus connue) écrite en PHP qui interagit avec les bases de façon complètement indépendante, comme n'importe quel autre site.

Mes dossiers sont en 555
Mes fichiers sont en 444

Ce n'est pas critique sauf si d'autres utilisateurs (externes) peuvent se connecter sur ta machine. Le seul point important est que les services aient bien accès aux dossiers qui lui sont utiles ! Apache n'a besoin pour la plupart que d'un accès en lecture, FTP a besoin de l'accès libre, etc... Mais étant pleinement sous Linux tu connais ça sûrement mieux que moi.


Ah, quelques autres tuyaux :
- la directive PHP open_basedir permet de restreindre les accès PHP aux seuls dossiers utiles et d'interdire toute tentative d'accès aux fichiers système en cas d'intrusion par upload d'un fichier php véreux.
- certains considèrent que mettre expose_php à 0 (php.ini) est plus sécurisant, d'autres que c'est sans importance.
- l'extension php suhosin permet d'interdire des commandes PHP, sur la base d'une liste. (J'avais même eu des pb avec le wiki car la liste était trop restrictive par défaut !)
- la directive mysql secure-file-priv (dans /etc/mysql/my.cnf) permet de limiter les dossiers accessibles par les commandes mysql LOAD_FILE, LOAD_DATA et surtout OUTFILE, et donc de sécuriser le reste du serveur en cas d'intrusion mysql (injection SQL ou hack de phpmyadmin) Lire http://capttofu.livejournal.com/29040.html

[djetdail]

Merci Pascal d'apporter de l'eau à mon moulin, je vais point par point étudier toutes tes remarques et propositions.

Sur le httpdocs de virtuel-pilote.fr j'ai créé un htaccess qui redirige djetdail.virtuel-pilote.fr vers la nouvelle adresse des tutos .

j'ai installé Crawlprotect, pour un amateur comme moi, c'est une solution facile à mettre en place.

Hervé

[Telmo]

Sympa la nouvelle présentation Hervé,
Tu peux peut-être rajouter la DOC sur l'explication des METAR que tu as posté ici-même, très bien faite ;-)
Condensé du METAR je crois.

[djetdail]

Merci

J'apprends le Drupal .. :-)

J'ai rajouté l'image memo METAR dans la colonne outils.

Hervé

[PhM]

Il faut juste penser à ouvrir le port ...

J'ai fait ça une fois en Normandie à la ferme, c'est du boulot une fois ouvert de tout nettoyer, découper, mettre tout ça au congélo etc.



PhM

[djetdail]

J'ai fait ça une fois en Normandie à la ferme, c'est du boulot une fois ouvert de tout nettoyer, découper, mettre tout ça au congélo etc.



PhM

..... et inviter les ami(e)s et et les voisins pour manger le boudin, puis la vaisselle, le ménage, surveiller le saucisson dans la cendre, sécher les jambons.
Chez nous, ils mangent des châtaignes, çà leurs donnent du gout .... :-)
D'ailleurs le temps des rôties de châtaigne arrive bientôt, précédé de la sortie du primeur ..... que du bonheur.

Hervé

[djetdail]

Bonjour;

@ message à mes potes de tuto vidéo , j'ai réactivé l'agora forum, nous allons pouvoir redémarrer la création des tutos vidéo .

Le service VPI de carnet de pilote reste encore à l'arrêt; il faut que je rafraichisse les scripts .

Hervé

[Ypsos]

Bonjour;

@ message à mes potes de tuto vidéo , j'ai réactivé l'agora forum, nous allons pouvoir redémarrer la création des tutos vidéo .

Le service VPI de carnet de pilote reste encore à l'arrêt; il faut que je rafraichisse les scripts .

Hervé

au taf les garcs


merci Hervé super boulot

[djetdail]

Ca commence à me fatiguer le monde de la communication ;

"Dear site owner or webmaster of virtuel-pilote.fr,

We recently discovered that some pages on your site look like a possible phishing attack, in which users are encouraged to give up sensitive information such as login credentials or banking information. We have removed the suspicious URLs from Google.com search results and have begun showing a warning page to users who visit these URLs in certain browsers that receive anti-phishing data from Google.

Below are one or more example URLs on your site which may be part of a phishing attack:

http://www.virtuel-pilote .fr/carnet_vpi/phpvms/##############
Here is a link to a sample warning page:

http://www.google.com/interstitial?url=http%3A//www.virtuel-pilote.fr/carnet_vpi/phpvms/##########

We strongly encourage you to investigate this immediately to protect users who are being directed to a suspected phishing attack being hosted on your web site. Although some sites intentionally host such attacks, in many cases the webmaster is unaware because:

1) the site was compromised
2) the site doesn't monitor for malicious user-contributed content

If your site was compromised, it's important to not only remove the content involved in the phishing attack, but to also identify and fix the vulnerability that enabled such content to be placed on your site. We suggest contacting your hosting provider if you are unsure of how to proceed.

Once you've secured your site, and removed the content involved in the suspected phishing attack, or if you believe we have made an error and this is not actually a phishing attack, you can request that the warning be removed by visiting

http://www.google.com/safebrowsing/report_error/?tpl=emailer

and reporting an "incorrect forgery alert." We will review this request and take the appropriate actions.

Sincerely,
Google Search Quality Team

Note: if you have an account in Google's Webmaster Tools, you can verify the authenticity of this message by logging into https://www.google.com/webmasters/tools/siteoverview and going to the Message Center, where a warning will appear shortly.
"

[Ypsos]

Salut

pénible

@+

[djetdail]

Bonjour;

Toujours dans la recherche de solutions de sécurisation / controle, j"ai trouvé ce script
Que pensent les pros de ce script ?
Si il ne présente pas de problème, je vais le lancer via cron, il me faudrai rajouter des lignes qui stock le résultat dans un txt et me l'expédie via mail.

Hervé

<?php
/*
Donne la liste des derniers fichiers créés ET modifiés.
Très utile en cas de piratage pour savoir quels fichiers sont ajoutés et ceux qui ont été modifiés. Utile pour comprendre le comportement d'un script ou d'un CMS et voir quels fichiers ont été manipulés.

Mettez ce script dans votre hébergement, ouvrez-le avec votre navigateur web, donnez le nombre de jours représentant la période à vérifier, puis le nom du dossier à analyser.
Ce script ne va donner la liste que des dossiers à partir du chemin /home/votreloginftp/www/ de votre hébergement mutualisé chez OVH.

Crédits: Les 4/5 du code sont l'oeuvre de Linda MacPhee-Cobb (http://timestocome.com)
*/

    $go_back = 0;                        // affiche résultat ou non
    $i = 0;                                // compteur de boucle
    $dir_count = 0;                        // initialisation de la boucle
    $date = time();                        // date et heure actuelle
    $one_day = 86400;                    // nombre de secondes pour une journée
    $days = preg_replace("/[^0-9]/i",'', $_POST["jours"]);    // nombre de jours à vérifier
    $path = preg_replace("/[^_A-Za-z0-9-\.%\/]/i",'', $_POST["chemin"]);    // chemin de fichier absolu (avec nettoyage contre piratage)
    $path = preg_replace("/\.\.\//",'', $path);    // on interdit la commande ../
    define('ABSPATH', dirname(__FILE__));
    $path = ABSPATH.$path;    // chemin de fichier absolu de votre compte OVH du genre /home/loginftp/www/ etc.
    $directories_to_read[$dir_count] = $path;
    
    // Formulaire pour remonter le temps
    print "<html><body><h3>Contr&ocirc;le des derniers fichiers modifi&eacute;s <br />dans votre h&eacute;bergement mutualis&eacute; chez OVH.</h3>";
    print "<table><tr><td>";
    print "<form method=\"post\">";
    print "<tr><td>Nombre de jours &agrave; v&eacute;rifier 1-99: </td>";
    print "<td>&nbsp;&nbsp;<input type=\"text\" name=\"jours\" maxlength=\"2\" size=\"2\"></td></tr>";
    print "<tr><td>Nom du r&eacute;pertoire &agrave; contr&ocirc;ler: </td>";
    print "<td>".ABSPATH." <input type=\"text\" name=\"chemin\" maxlength=\"80\" size=\"30\" value=\"/\" > (mettre un / &agrave; la fin)</td></tr>";
    print "<tr><td> </td><td><input type=\"submit\" value=\" V&eacute;rifier Fichiers \">";
    print "</form>";
    print "</td></tr></table>";
    // Affichage du résultat
    $go_back = $one_day * $days;
    print "<br /> Retour sur les <strong>" . ($go_back/$one_day) ."</strong> derniers jours. <br /><br />";

    if ( $go_back > 0 ){
        print "<table><tr><th>Nom du Fichier</th><th>Date de modification</th></tr>";
        $diff = $date - $go_back;
        
        while ( $i <= $dir_count ){
            $current_directory = $directories_to_read[$i];
        
            // obtenir info fichier
            $read_path = opendir( $directories_to_read[$i] );
            while ( $file_name = readdir( $read_path)){
                if (( $file_name != '.' )&&( $file_name != '..' )){
                    if ( is_dir( $current_directory . "/"  . $file_name ) == "dir" ){
                        // besoin d'obtenir tous les fichiers d'un répertoire
                        $d_file_name = "$current_directory" . "$file_name";
                        $dir_count++;
                        $directories_to_read[$dir_count] = $d_file_name . "/";
                    }else{
                        $file_name = "$current_directory" . "$file_name";                                
                        // Si temps modifiés plus récent que x jours, affiche, sinon, passe
                        if ( (filemtime( $file_name)) > $diff  ){
                            print "<tr><td> $file_name </td>";
                            $date_changed = filemtime( $file_name );
                            $pretty_date = date("d/m/Y H:i:s", $date_changed);
                            print  "<td> ::: $pretty_date</td></tr>" ;
                        }
                    }
                }
            }
            closedir ( $read_path );
            $i++;    
        }
            print "</table>";    
            print "</body></html>";    
    } // if go_back > 0 )            
?>

[Pascal]

Salut !

Peux tu éditer ton message précédent et mettre le script entre des balises [ php ] et [ /php ] (mais sans espaces dans les crochets !) pour le rendre plus lisible, car sans l'indentation c'est vraiment difficile de suivre les parties conditionnelles. Merci !

A priori la routine affiche la liste des fichiers de l'arborescence dont la date de modif est postérieure à la date demandée.

Il n'est utilisable que si aucun fichier n'est généré par script dans l'arborescence, par exemple, des fichiers peuvent être ajoutés par les utilisateurs dans le wiki ou dans un forum.

En outre, je ne sais pas si c'est utilisé, mais un script malveillant peut très bien changer la date de modif d'un fichier pour remettre sa date originale.


Ce qui me gêne le plus est qu'un tel script ne peut que détecter à postériori qu'un intrusion a été faite, quand il est déjà trop tard...

Pour le même résultat, j'utilise une solution différente : pour chaque site je lance chaque mardi une comparaison des dossier distant avec ma copie locale (1). Elle me permet de récupérer les sauvegardes de BDD, mais aussi de voir toutes les modifs apportées au site distant.

(1) j'utilise depuis plusieurs années Beyond Compare3, produit commercial abordable. Il a sûrement des équivalents mais lors de mes recherches aucun de ceux que j'avais testé n'était arrivé à sa souplesse, puissance et ergonomie. (pub gratuite d'un usager satisfait, je n'ai aucun conflit d'intérêt !)

[djetdail]

Bonjour;

J'ai arrêté le conteneur (provisoirement ? ) chez mon fournisseur.

J'ai trouvé un script php sympa dessus, après avoir laissé ( par erreur ) un dossier en 755.

Voila la copie ecran du script ( sur une machine virtuelle )

Sympathique !!!

[Pascal]

salut !

Par "conteneur" tu veux dire "site" ? djetdail.fr ne répond plus. Dommage...

Note : je doute fort que le seul fait d'avoir laissé un dossier avec les droits 755 soit la cause du problème. Je pense plus à une faille dans un script php.

Quoiqu'il en soit, trouver l'origine n'est pas très difficile si tu as encore les éléments : regarde la date/heure de création du fichier script parasite, puis regarde dans les log d'accès apache les requêtes traitées à cette date/heure ou quelques fractions de seconde avant.
S'il n'y a rien dans les log apache, regarde dans les logs FTP ou SSH. Il y a forcément eu un accès qui a créé le fichier.
L'accès trouvé dénoncera la méthode utilisée et la faille de sécurité.

[djetdail]

Salut

Par conteneur je veut dire mon système linux virtualisé.

Je vais regarder pour l'accès de l'attaque, mais ce n'est pas évident pour moi ( compétence et temps ).

Je vais laisser une semaine passer ... d'autre chat à fouetter :-)

Hervé