Email spammer par un site SPIP hacker via livre d’or.

Casp

Juin 2011

Bonjour je viens demander de l’aide ici en espérant trouver quelqun qui aura plus de connaissance que moi sur les questions de serveurs, php ou autre.

Je vous explique mon problème.
J’avais installé sur un de mes site un livre d’or. Apparement ce fut une erreur il comporte apparement une faille, bref.
j’ai depuis effacer le plugin livre d’or, et reinstaller SPIP.

mais je suis toujours confronté au probème.
Mon propre site me spam l’adresse mail que j’ai comme admin spip, avec des mails remplis de lien stupide style pillulesonline et autres...

j’aimerai faire cesser cette envoi de mail depuis mon propre site.

je suis chez OVH, mais je pense que cela viens plustot de ma base de donnée MySQl ?

je suis allez dans phpmyadmin pour voir, j’ai vider la table livre_d’or qui restait, mais sans plus de succès...

Quelqun à une idée de ce que je dois supprimer ou changer, pour que mon site cesse de servir de platforme pour spammer ?

J’éspère qu’il ne spam que moi...

Cordialement,
Casp.

Par note Par date Par date chronologique

Indiquez l’intérêt que vous portez à cette réponse

0

Suske

Juin 2011

Version SPIP ? S’il y avait une faille as-tu nettoyé le ftp? Sur que les mails partent de ton site ? Y a-t-il une indication dans les fichiers log (tmp/*.log)
Indiquez l’intérêt que vous portez à cette réponse

0

Casp

Juin 2011

Version SPIP 2.0.5
Le ftp j’ai conservé mon dossier squelettes et IMG sinon j’ai tout remis.

Pour les logs ; oui il ya mail.log ou l’on vois les spam envoyé.
Mais je ne sais pas ce que je peux en faire ?

Je donnes un liens de download pour voir ce fichier log defois que cela puisses vous permettre de m’aiguiller. Moi cela ne me parle pas vraiment.
http://dl.dropbox.com/u/2018014/mails.log

Sinon il y a tout un tas d’autre fichier log.
des
prive_dbdumb.log
prive_invalidateur.log
prive_genie.log
prive_mysql.log
etc...
plusieurs : spip.log
un veilles_defs.log.
Indiquez l’intérêt que vous portez à cette réponse

0

Casp

Juin 2011

J’ai toujours mon souci...
je ne comprend pas ou se trouve le code malveillant permettant d’utiliser mon site pour envoyer leur spam.

Dans les log je vois que c’est toujours la même IP est ce que je ne saurai pas y remedier en bloquant l’envoi de mail via cet ip d’une façon ou d’une autre ?

Jun 25 04:51:34 91.224.160.146 (pid 13875) mail pipol@cas-p.net
etc..blabla..
X-Originating-IP : 91.224.160.146
From : email@gmail.com (email at gmail.com)
Reply-To : email@gmail.com (email at gmail.com)

Merci
Indiquez l’intérêt que vous portez à cette réponse

0
Juin 2011
Bonjour,

effectivement, il faut vérifier d’où les mails sont envoyés

Question 1 : dans l’entete du mail reçu y a t il une trace de la machine qui a envoyé le mail
Return-Path : ??????
Received : from ?????????
Return-Receipt-To : ??????
Est ce que tu retrouves le nom de ton serveur au niveau des ???

Question 2, dans les journaux d’activité du serveur « piraté » existe il des traces de l’envoi ?
sur un serveur linux, dans /var/log/mail.log
tu doit trouver des enregistrements comme celui la
Jun 27 15:25:33 nsxxxx.ovh.net postfix/smtp[10024]: D60331BC19: to=<paul.dupont@gmail.com>, relay=gmail-smtp-in.l.google.com[209.85.229.27]:25, delay=1.6, delays=0.02/0/0.11/1.5, dsn=2.0.0, status=sent (250 2.0.0 OK 1309181062 i19si2004993wed.142) Jun 27 15:25:33 ns37802 postfix/qmgr[20839]: D60331BC19: removed
dans l’exemple, le serveur a bien envoyé un mail à dupont
aujourd’hui à 15h30. Comme tout était ok pour lui, il a supprimé le message de la file d’attente.

exemple de commande pour chercher dans tous les logs :
root@nsxxxxx : # grep -R "paul.dupont@gmail.com" /var/log/*

Cordialement
Indiquez l’intérêt que vous portez à cette réponse

0

Casp

Juin 2011

Dans l’entete de mail il n’y a que :
de email@gmail.com

Puis en fin de mail la signature de mon site.
Les forum étaient encore ouvert, je viens de les fermer dans l’admin SPIP vu que je n’en ai pas l’usage. Peux être cela suffira à arrêter ces envois de mail.

Pour la question 2 je ne sais pas ou trouver cela. j’ai bien trouvé dans le répertoire spip les mail.log
Mais sur le serveur même je ne sais pas je suis sur ovh, je ne vois rien de tel sur mon ftp en tout cas.
Peux être je dois me connecter à mon admin OVH pour voir ce genre de chose.
Indiquez l’intérêt que vous portez à cette réponse

0

Antoine

Juin 2011

il faut arriver à lire le code du mail.
Par exemple sous thunderbird, ctrl + u (afficher le code source du message) te permettra de retrouver ces infos

Pour la question 2, quel est le type de machine ? mutualisée ? rps ? dédié ?

Casp

Juin 2011

cela donne ceci :

Return-Path: <bounce-id=d178=u146985.start.ovh.net=1309185843347121671@88.mail-out.ovh.net>
Delivered-To: xxx@cas-p.net
Received: from b0.ovh.net (HELO queue) (213.186.33.50)
	by b0.ovh.net with SMTP; 27 Jun 2011 16:44:20 +0200
Received: from 88.mail-out.ovh.net (178.32.115.44)
  by mx1.ovh.net with SMTP; 27 Jun 2011 16:44:16 +0200
Received: (qmail 12196 invoked by uid 0); 27 Jun 2011 14:44:06 -0000
Received: from gw4.ovh.net (HELO start.ovh.net) (213.251.189.204)
  by 88.mail-out.ovh.net with SMTP; 27 Jun 2011 14:44:03 -0000
Received: from localhost.localdomain (localhost.localdomain [127.0.0.1])
	by localhost.domain.tld (Postfix) with ESMTP id CE73D6D919
	for <xxx@cas-p.net>; Mon, 27 Jun 2011 16:44:12 +0200 (CEST)
Received: by start.ovh.net (Postfix, from userid 146985)
	id B84196D91A; Mon, 27 Jun 2011 16:44:12 +0200 (CEST)
To: xxx@cas-p.net
Subject: 
Le spam en question.. Je vais pas faire de pub pour leur lien en plus ;-)
X-Originating-IP: 91.224.160.146
From: email@gmail.com (email at gmail.com)
Reply-To: email@gmail.com (email at gmail.com)
Content-Type: text/plain; charset=utf-8
Content-Transfer-Encoding: 8bit
MIME-Version: 1.0
Message-Id: <20110627144412.B84196D91A@start.ovh.net>
Date: Mon, 27 Jun 2011 16:44:12 +0200 (CEST)
X-Ovh-Tracer-Id: 10895051924336707982
X-Ovh-Tracer-Id: 10898711100343067534
X-Ovh-Remote: 178.32.115.44 (88.mail-out.ovh.net)
X-Ovh-Local: 213.186.33.29 (mx1.ovh.net)
X-Spam-Check: DONE|U 0.5/N


Le spam en question.. Je vais pas faire de pub pour leur lien en plus ;-)

Cela t’indiques quelquechose d’utile ?
En tout cas merci pour les réponses.
Cordialment.
Paul.

Indiquez l’intérêt que vous portez à cette réponse

0

Antoine

Juin 2011

Voici 2 exemples :

si c’est un mail envoyé par un programme shell depuis une machine dédiée de chez ovh :

Return-Path :
Delivered-To : antoine@xxxxx.net
Received : from b0.ovh.net (HELO queue) ....
Received : from ns37xxx.ovh.net (adresse ip) by mx3.ovh.net with SMTP ; 26 Jun 2011 20:06:14 +0200
Et le nom et l’adresse ip sont correctes

si c’est un mail envoyé depuis spip : (par la fonction php mail)
c’est presque pareil, sauf que l’envoyeur est www-data, cad l’utilisateur spécial d’Apache sur un serveur DEBIAN/UBUNTU

Return-Path :
Delivered-To :.... idem ci dessus

Donc la question est : est ce que tu retrouves bien le nom et l’ip de ton serveur la dedans ?
A vu de nez j’ai l’impression que oui ?

Après, cela veut dire que le pirate a réussi a poser un fichier php quelque part dans ton arbo et que ce programme est lancé , soit par un scheduler comme cron, soit carrément à la main, en spécifiant l’url complète dans un navigateur ...

???
Indiquez l’intérêt que vous portez à cette réponse

0

Casp

Juin 2011

Je suis incapable de dire si je retrouve l’ip de mon serveur ; mais je pense bien que c’est envoyé via la fonction php mail depuis SPIP.
Sinon il n’y aurai pas je pense la signature de mon site dans les mails que je reçoit.

La question est ou pourrais se trouver ce fichier corrompu.
Et est ce que je peux le voir et l’effacer simplement par l’accès ftp à mon serveur ?

Il me semble avoir vérifier le squelette. Mais je devrais peux être encore tout checker une deuxième fois.

Quand à SPIP même je l’ai réinstaller il y a peu à cause de ce problème.
j’ai eu moins ou presque pas de spam pendant un temps mais voilà que cela recommence intensément ces derniers jours.

Je devrais peu être tout réinstaller une seconde fois...
Indiquez l’intérêt que vous portez à cette réponse

0
b_b

Juin 2011
Salut, avant de penser à un hack, j’ai l’impression qu’il s’agit plutôt d’un simple spam depuis une page auteur à l’aide du formulaire_ecrire_auteur qui y est présent (on m’a signalé des mails similaires envoyés depuis un SPIP 1.9.x hier).

Deux solutions :
- si tu utilises un SPIP récent, tu peux installer le plugin nospam qui protégera les formulaires de ton site des spammers (formulaires de forum et de contact).
- autre solution plus brutale, supprimer le formulaire_ecrire_auteur de tes pages auteur.
++
Indiquez l’intérêt que vous portez à cette réponse

0

Casp

Juin 2011

Je n’ai pas de formulaire dans mes squelettes.
Mais dans le doute je vais supprimer tous les fichiers du squelettes-dist.
Je vais voir si cela s’arrange ainsi.

Merci.
Indiquez l’intérêt que vous portez à cette réponse

0

b_b

Juin 2011

Si tu n’as pas de page auteur personnalisée tu as donc celle de spip disponible quelque part sur ton site (avec l’url de celui-ci on pourrait en savoir plus d’ailleurs ^^).

++
Indiquez l’intérêt que vous portez à cette réponse

0
Casp

Juin 2011
le site c’est http://www.pipolass.net

Oui surement ; mais je viens d’effacer tout le répertoir squelettes-dist donc a priori il n’y a désormais plus du tout de formulaire sur mon site.

Cependant j’ai un doute sur le fait que ce soit le formulaire ecrire auteur qui est en cause. Car il y a la signature du site à la fin des spam :
-- Envoi via le site Pipolass = hiphop turntablism music = (http://www.pipolass.net/) --
Si c’était ecrire_auteur elle n’apparaitrais pas si ?
Indiquez l’intérêt que vous portez à cette réponse

0

denisb

Juin 2011

déjà tu as une page de contact qui permet de t’envoyer un message (et pourquoi pas en boucle...)

l’accès au formulaire de contact par défaut de spip est aussi ouvert (en appelant la page de l’auteur x par eemple).

je viens ainsi de t’envoyer un message test sans passer par ’ton’ formulaire de contact (mon ip actuelle doit ressembler à 95.176....).
Indiquez l’intérêt que vous portez à cette réponse

0

Casp

Juin 2011

J’ai reçu ton mail test Denisb ;
mais je crois que tu t’es trompé de site. Tu me l’a envoyé via le site www.cas-p.net site qui ne pose pas de problème.

Alors que le spam proviens de
www.pipolass.net
Ou a priori il n’ya pas de formulaire disponible depuis que j’ai supprimer la dist tout à l’heure.

D’ailleurs peu être est ce suffisant pour arrêter le spam. Si je n’en reçoit plus d’ici demain je vous le dirai.