Comment tester l’écran de sécurité + incompréhension procédure mise à jour ?

David

Août 2009

Bonjour,

Je souhaite savoir comment tester l’écran de sécurité pour être sûr qu’il est bien installé.

D’autre part, ici http://www.spip.net/fr_article1318.html, il est dit comment mettre à jour SPIP mais en comparant les fichiers proposés avec ceux sur mon site, ce serait un vrai massacre que d’uploader sur le serveur la nouvelle version de SPIP comme il est dit : "...et en envoyant tous les fichiers par FTP chez votre hébergeur". Par exemple bcp de fichiers de squelette-dist serait détruits avec toute l’intégration... Ai-je mal compris qq chose ?

Merci à la communauté

Par note Par date Par date chronologique

Indiquez l’intérêt que vous portez à cette réponse

0

Gérard

Août 2009

Salut,

A priori, tu ferais une mise à jour de 2x à 209 !?.
Donc si tu as fait tes squelettes dans squelettes-dist, il suffit de sauvegarder tout ton dossier /squelettes-dist/ en local que tu rechargera une fois l’installation terminée.
Attention effectivement il y a beaucoup de fichiers qui ont changé .., donc avant de recharger ton dossier personnel qui s’appellera " /squellettes/ " et prendra le pas sur /squelettes-dist/, il faut que tu compares ceux qui n’existent plus ( à supprimer .. ), ou ceux qui serait nouveaux ( à ajouter .. ).
Voir surtout les dossiers formulaires et modèles notamment, où il y a beaucoup de changements ( !!! ) .. si tu en avais modifié .., à priori .. il faut surtout que tu élimines ceux qui n’existe plus ( il est possible qu’il soit dans /prive/ qui d’après mon analyse associent maintenant plus à la gestion générale ... ) et/ou ajoutes ceux qui manquent.

Exemple ton " squelettes/habillage.css " prend le pas sur sur " prive/habillage.css " ... Donc si il y des changements graphiques voir plutôt ton squelettes/habillages.css ...
Personnellement de 192d à 209 je n’ai eu que deux " bogs " à changer ( l’ancien : <a href="[(#ID_SYNDIC|generer_url_site)> et le nouveau : <a href="[(#ID_SYNDIC|generer_url_entite{site})]"> ), pour l’autre bog je ne sais plus.
Si bog, .. en général faire une comparaison entre le même fichier dans squelettes-dist et le tien /squelettes/ ... ).

Attention si tu avais créé des inclusions genre " in-rubriques-entete.htlm " ou " in-hadopi.html ", il faut les garder en place dans ton dossier /squelettes/, ne pas les jeter .. !

Voilà également une adresse qui doit pouvoir t’éclairer plus en détaille Mise à jour 1 .9 .x vers 2 .0 .9

Pour moi mon grand problème du passage 192d à 209, reste l’identification !..
Je ne dépasse pas le login en entrée dans la partie privée du site, voir éventuellement mon article Install, MàJ de 192d à 209 sur free et pour ecrire, je ne dépasse pas le login !!..

Voilà, j’espère avoir répondu à ton interrogation ...
Indiquez l’intérêt que vous portez à cette réponse

0

David

Août 2009

Merci énormément Gérard pour cette réponse détaillée !
Indiquez l’intérêt que vous portez à cette réponse

0

vitasoa

Novembre 2014

Bonjour,

1- Est-ce que cet l’écran de sécurité protège des piratage via injection SQL ?
2- Quels type de piratages seront défendu par cet Ecran ?

Cordialement.
Indiquez l’intérêt que vous portez à cette réponse

0

mfm59

Novembre 2014

Je viens de subir un piratage par le hacker "ikyz3r".
Si on recherche sur internet, on voit que ce hacker sévit principalement sur les sites SPIP.
Chez moi il a pu s’inscrire comme administrateur et a déposé un <iframe...
vers son site "steal-stesser"....comme adresse du site ce qui provoque un détournement de page dès le premier changement de page.
J’étais en SPI 3.05 avec écran-de sécurité 1.9.

Je suis passé en SPIP 3.17 et écran 1.2.0
Cela suffira-t-il ?
merci de votre réponse
Indiquez l’intérêt que vous portez à cette réponse

0
erational

Novembre 2014
Le passage de SPIP 3.0.17 et l’écran 1.20 devrait suffire à avoir un site sécurisé à condition que :
- des fichiers et base de données soient propres
- que la faille ne vienne pas de ton hébergement, d’un compte utilisateur défaillant ou d’une application tierce
deux articles à lire absolument sur le sujet :
- http://blog.spip.net/Lecon-de-Hack-et-mises-a-jour-de.html
- http://contrib.spip.net/SPIP-hacke-que-faire
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Novembre 2014

L’écran de sécurité NE PROTEGE PAS DE toutes les attaques !!
Mettez à jour SPIP, c’est un règle de base pour tous les logiciels et SPIP n’y échappe pas !
Indiquez l’intérêt que vous portez à cette réponse

0

IkyZ3R

Novembre 2014

Bonjours je suis Ikyz3r , je deface juste les sites qui ne sont pas protégé et souvent j’envoie des mail au créateur des siteweb en leur disant : Failles ....
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Novembre 2014

Tu ferais mieux de les défacer en mettant une bannière de type "votre site est victime d’une faille qui est corrigée dans les dernières versions de SPIP. Veuillez mettre votre site à jour." ;-)

Côté légalité, ton action est possible dans un cadre bien précis de test et d’audit. Mais pas si tu déteriores le site.. Tu ne dois donc ne faire ce type d’action qu’avec l’accord préalable des propriétaires des sites.

Il y a des sites qui enregistrent les sites défacés je crois, pour faire un top 10 des meilleurs hackers c’est exact ?
Indiquez l’intérêt que vous portez à cette réponse

0

IkyZ3R

Novembre 2014

J’allais le faire ;)

"Il y a des sites qui enregistrent les sites défacés je crois, pour faire un top 10 des meilleurs hackers c’est exact ?" Non :)
Indiquez l’intérêt que vous portez à cette réponse

0

chtrouss

Novembre 2014

Bonjour, je suis professeur de sport dans un collège et je viens de remarquer que mon site ,dédié à l’EPS pour mes élèves, était piraté par IkyZ3R. Je voulais juste comprendre pourquoi et comment faire pour permettre à mes jeunes de bien pouvoir utiliser leur site.

merci de m’aider dans mes démarches.

Cordialement.
Indiquez l’intérêt que vous portez à cette réponse

0
Gilles

Novembre 2014
Bonjour,

le seul "pourquoi" que j’ai trouvé encore c’est qu’une faille de sécurité ancienne existe chez SPIP, et qu’un script permettant de l’exploiter circule. Donc les "hackers" prennent des vieux sites SPIP qui ne sont pas protégés. C’est facile et ça leur fait un peu de pub.

Dans votre cas, il faut au moins commencer par :
1. supprimer le compte admin qui a été créé par le hacker
2. nettoyer le contenu modifié. En espérant qu’il n’y en ait pas trop. Si vous avez des sauvegardes c’est l’idéal. Sinon une partie du contenue peut être récupérée sur http://archive.org
3. mettre à jour les plugins
4. mettre à jour l’écran de sécurité
5. vider le cache
6. mettre à jour le site à la dernière version stable (en restant dans la même branche pour ne pas avoir de problème de compatibilité). C’est donc les versions 2.1.26 ou 3.0.17 (récupérables sur http://files.spip.org/spip/archives/)
Est-ce que ces infos vous suffiront pour remettre votre site d’aplomb ?

Il existe une documentation générale qui couvre d’autres types d’attaque et qui peut vous intéresser : http://contrib.spip.net/SPIP-hacke-que-faire
Indiquez l’intérêt que vous portez à cette réponse

0

chtrouss

Novembre 2014

Bonjour Gilles,

plusieures questions.

Comment effacer le compte admin créer par le hacker ?
Comment mettre a jour les plugins de slip si on ne peut pas y accéder ?
Comment mettre a jour le slip....?
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Novembre 2014

slip ? lol
SPIP :-)

il faut commencer par réinstaller SPIP car le hacker aura probablement changé vos identifiants. Il suffit pour cela de supprimer le fichier config/connect.php et de relancer l’installation sur la même base de données, avec les mêmes préfixe des tables. La dernière étape vous permet de recréer un nouveau compte admin ou de réinitialiser le mot de passe et l’email de votre ancien login

Le compte admin créé par le hacker est le dernier compte créé, il est facile à repérer.

La mise à jour de SPIP est standard : http://www.spip.net/1318
Pour éviter tout problème d’incompatibilité des plugins (qui doivent aussi être mis à jour), je conseille de rester sur la même branche (2.1 ou 3.0)
Indiquez l’intérêt que vous portez à cette réponse

0

iKyZ3R

Novembre 2014

chtrouss Passez moi le lien de votre siteweb
Indiquez l’intérêt que vous portez à cette réponse

0

chtrouss

Novembre 2014

eps-blaisepascal.fr
Indiquez l’intérêt que vous portez à cette réponse

0

IkyZ3R

Novembre 2014

Ce n’est pas sa pour vous connecté ? http://eps-blaisepascal.fr:2095/

– le siteweb remarche http://eps-blaisepascal.fr/

– ikyz3r.
Indiquez l’intérêt que vous portez à cette réponse

0

gilles

Novembre 2014

Le site actuel (provisoire ou pas) est sous WP, par SPIP
Indiquez l’intérêt que vous portez à cette réponse

0

chtrouss

Novembre 2014

je crois que j’ai fait la bêtise de revenir sur une sauvegarde de il y a 2 ans..... !

Je suis perdu dans le filezilla et mysql......

Help me please.

Le site sous WP c’est une tentative désespérée avant de voir les réponses de ikyz3r.......

Que faire pour retrouver le site SPIP comme la semaine dernière par exemple ??????

Je ne pense pas avoir de sauvegarde locale ou alors je ne sais pas.....?
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Novembre 2014

Si le hacker a été gentil et n’a pas écrasé toutes tes données, il te suffit de réinstaller une version SPIP à jour, sur l’ancienne base avec les mêmes paramètres. C’est la meilleure sauvegarde que tu peux avoir visiblement.
Ensuite il faut nettoyer ce que le hacker a changé (et s’il veut que son hack reste visible longtemps, il n’y a parfois pas grand chose de modifié)

Sinon l’autre option qui consiste à repartir de très vieilles archives et remettre ce qu’il y avait entre temps.. c’est chaud mais tu peux retrouver des traces.
Comme dans archive.org : https://web.archive.org/web/*/http://eps-blaisepascal.fr

Mais ça promet d’être beaucoup plus long. Pour ma part, je repartirai des données vérolées pour les nettoyer.
Indiquez l’intérêt que vous portez à cette réponse

0

Pascal Boulerie

Novembre 2014

Un hacker peut-il connaitre facilement la version du test de sécurité en tapant l’adresse publique du site et terminant par la chaîne adéquate, à savoir :
?test_ecran_securite=1

Faudrait-il ne permettre l’accès de cette page qu’en privé ?
Indiquez l’intérêt que vous portez à cette réponse

0

Pascal Boulerie

Novembre 2014

Je signale en tout cas que vu que la 3.0.5 permet l’inscription abusive d’un administrateur *, la mise à jour s’impose - comme erational l’a conseillé avec d’autres intervenants.

* c’est curieux de voir dans la liste des auteurs un compte d’auteur nommé spippy avec une adresse a4836576@drdrb.net , ça ne fait pas plaisir du tout !
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Novembre 2014

Effectivement on peut toujours trouver la version de l’écran de sécurité avec le paramètre ?test_ecran_securite=1
Tu peux customiser le résultat en changeant la ligne 8 du fichier (et en mettant n’important quoi). Si tu penses que c’est gênant de trop montrer, envoie un mail à spip-dev@rezo.net
Indiquez l’intérêt que vous portez à cette réponse

0

Ikyz3r

Décembre 2014

Je vais essayé de faire une truc pour prevenir qu’il faut remêtter a jour spip
Indiquez l’intérêt que vous portez à cette réponse

0

Suske

Décembre 2014

Euh... Spip est développé collégialement, on en cause sur spip-dev. Si c’est toi qui t’amuses à péter les sites des autres, contente toi de les nettoyer et fais-toi discret...