Spams provenant de mon site site 2.0.10

Janvier 2013

Bonjour
Je suis inondé de spams (exemple ci-dessous) provenant de mon site SPIP (http://www.christophecontent.com / hébergement mutualisé OVH / Spip 2.0.10). Je n’ai pas de formulaire de contact et les forums sont désactivés sur mon site (pas volontaire en tout cas). J’ai regardé s’il y avait eu des modifications de mes squelettes SPIP depuis leur création mais n’en vois pas. Quelle procédure utiliser pour voir d’où provient cette infection ?
La réponse d’OVH est de dire que c’est dû à une faille de sécurité de SPIP.
Merci pour vos lumières
Christophe

Mail type reçu :

To: christophe_content@hotmail.com
Subject: 0,  <a =?UTF-8?Q?href=3D=22http=3A//wandereldorado=2Ecom/=22=3Ecialis=20k?=  =?UTF-8?Q?aufen=3C/a=3E=2C=20?=
From: uyugytkk [CHEZ] ysmidsxu [POINT] com (uyugytkk at ysmidsxu.com)
Reply-To: uyugytkk [POINT] ysmidsxu [POINT] com (uyugytkk at ysmidsxu [POINT] com)
Content-Type: text/plain; charset=utf-8
Content-Transfer-Encoding: 8bit
MIME-Version: 1.0
Message-Id: <20130111030725.1D1E44299@60gp.ovh.net>
Date: Fri, 11 Jan 2013 04:07:25 +0100 (CET)

0,  <a href="http://domaine.com/">cialis kaufen</a>, 

-- Envoi via le site  Christophe Content - RandonnÃ©es
(http://www.christophecontent.com/) --

Résolu

Par note Par date Par date chronologique

Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

Bonjour,

Est-ce que des messages sont envoyés à d’autres personnes que les auteurs de SPIP ?
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Je n’ai pas eu d’autres plaintes et suis le seul auteur.
Auriez-vous des pistes que je pourrais vérifier ?
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

Regardez si il n’y a pas un visiteur avec le mail uyugytkk AT ysmidsxu POINT com : il se peut qu’il simule le formulaire de contact - forum ou interne (même si la page est désactivée sur votre site, ça n’empêche pas les envois directs comme c’est le cas ici).
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Bonjour,
Les tables spip_visites et spip_visites_articles ne contiennent pas les adresses emails des visiteurs ? Où dois-je aller chercher les emails des visiteurs ?
Désolé pour cette question de base
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

Non, pas d’adresse email.
A toi de les collecter lors de leur connexion.
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Tous les emails de spam que je reçois dans ma boîte laissent une trace dans le fichier mails.log. Je ne sais pas si c’est une bonne indication ou pas pour avancer dans le diagnostic et comprendre d’où vient le problème ?
Dans le détail, que dois-je faire ?

Christ0phe

Janvier 2013

Voici un exemple d’entrée de mon mails.log :

Jan 11 04:30:55 91.201.64.27 (pid 26806) mail [mon adresse email]
2,  a =?UTF-8?Q?href=3D=22 site internet spam
X-Originating-IP: 91.201.64.27
From: (nnjqfudv at dzyuzvrd.com)
Reply-To: (nnjqfudv at dzyuzvrd.com)
Content-Type: text/plain; charset=utf-8
Content-Transfer-Encoding: 8bit
MIME-Version: 1.0

Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Personne n’a d’idées ?
Les spams contuinuent de pleuvoir... et OVH me dit que c’est un problème Spip... Comment en déterminer la source ?
Merci d’avance
Christophe
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

Le formulaire de contact est désactivé, je me trompe ?
Effectivement s’il y a des entrées dans mail.log, c’est que ça passe par SPIP : tu dois avoir un formulaire de contact qui traine.

Il faut dire aussi que tu as une vieille version de SPIP et une vieille version d’Eva.
Perso je commencerais pas tout mettre à jour (version 2.1.19), si ça se trouve ça suffirait.

Bon courage !

Christ0phe

Janvier 2013

Bonjour et merci de t'intéresser à mon cas:
Comme déjà dit plus haut, je n'ai pas de formulaire volontaire sur mon site, comment faire pour voir d'où provient la faille? Dans quel dossier de Spip puis-je aller vérifier que tout est conforme?
Je ne sais pas si la migration 2.0.10 vers 2.1.19 est transparente et sans conséquence sur le reste de mon site (Eva 4, FCK Editor 2.6.3b, Babbibel Dropdown (2009), Statistiques Visiteurs 0.2)

Merci pour les conseils

Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

Pour savoir s’il y a un formulaire à l’origine des envois, il "suffit" de rechercher la chaine de caractère "</form>" dans tout le site.

Pour cela, si tu as un accès ssh, il suffit de se placer à la racine et des saisir la commande suivante :
fgrep -R '</form>' *
Par FTP le seul moyen que je vois est de télécharger tous les fichier et de chercher dedans. Des éditeurs comme Notepad++, textMate et autre permettent de chercher dans des dossiers (ça devrait aussi être possible avec Windows ;) ).
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Je suis un peu inquiet : j’ai donc fait ce que tu me conseillais et effectué une recherche sur tout mon site.
La chaîne de caractères "Envoi_via" que je retrouve en fin de tous les spams n’est appelée que par ecrire_auteur.php (et dans les lexiques du dossier /lang).
ecrire_auteur.php est appelé par les css de Eva et par urls.php (qui lui n’est pas appelé)
J’ai fait une petite modification dans ecrire_auteur.php (dans la chaîne envoi via...) mais au spam suivant, pas de trace de la modification en question, comme si on n’était pas passé par ecrire_auteur.php.
J’ai fait une autre modification : changé le nom de mon site dans la configuration de SPIP, et là la modification est apparue au spam suivant.

Quant à la recherche de /form, j’en ai 150 occurences, notamment dans :
\phpMyAdmin-3.4.3.1-english
\compteur_graphique
\eva
\cfg\inc\cfg.php
\fckeditor-spip-2
\menu_babbibel
\prive
\squelettes-dist
\ecrire\inc
\ecrire\public\vertebrer.php
Je ne sais pas ce que je dois davantage investiguer concernant /form...

Je suis perdu quant au mécanisme des robots spammeurs. Quelqu’un a une idée de ce que je dois maintenant faire ?
Merci d’avance
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

si tu es certain que le fichier ecrire_auteur n’est pas utilisé ailleurs, tu peux le désactiver complètement en rajoutant un
die();
dans la première ligne de la fonction
function formulaires_ecrire_auteur_traiter_dist($id_auteur, $id_article, $mail){
(trouvée ici chez moi : squelettes-dist/formulaires/ecrire_auteur.php)

— il faudrait chercher un #FORMULAIRE_ECRIRE_AUTEUR sur le site pour savoir comment ce script peut être appelé —
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Ce que je disais c’est que j’avais modifié le texte du mail dans \squelettes-dist\formulaires\ecrire_auteur.php et que les spams suivants ne montraient pas mes modifications, comme si on ne passait pas dans ecrire_auteur.php.

Pour répondre à tes questions :

formulaire_ecrire_auteur : appelé par \squelettes-dist\formulaires\ecrire_auteur.html (qui contient un piège à robots spammeurs --- dont le fonctionnement m’échappe)

FORMULAIRE_ECRIRE_AUTEUR : appelé par :
\spip\ecrire\balise\formulaire_ecrire_auteur.php
\auto\eva_squelettes_pour_spip_2_0\noisettes\auteur\auteur_contenu.html
\spip\squelettes-dist\auteur.html

Encore merci pour ton aide...... mais je ne vois toujours pas plus clair, snif...
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

Et si tu modifies le texte dans le fichier de langue ?
Le die(); ne fonctionne pas ? (il arrete le script à l’endroit où il est placé)

Christ0phe

Janvier 2013

Rebonjour
J'ai préféré attendre quelques jours avant de répondre, le temps que mes divers tests donnent des résultats.
J'ai donc modifié \spip\squelettes-dist\formulaires\ecrire_auteur.php
et ai donc la preuve que c'est ce code php qui est utilisé pour envoyer les spams. D'autre part, en mettant le die() en début de ecrire_auteur.php, les spams s'arrêtent (mais donc on ne peut plus m'écrire...).
Ma question est donc toujours: par quel mécanisme le robot arrive-t-il à ce ecrire_auteur.php? En regardant les liens sur mon site, ecrire_auteur.php est appelé par les css de Eva et par urls.php (qui lui n’est pas appelé). La faille serait dans les css de Eva? Je ne vois pas bien par quel principe.
Merci pour toute suggestion pour avancer dans le diagnostic...
Christophe

Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

où et-ce que tu vois que ecrire_auteur.php est appelé dans les css d’Eva ?
A quelle ligne de quel fichier ?
Indiquez l’intérêt que vous portez à cette réponse

0
Christ0phe

Janvier 2013
J’ai confondu avec ceci :
.formulaire_ecrire_auteur { text-align: left; } .formulaire_ecrire_auteur .forml { width: 98%; }
Donc finalement, ecrire_auteur.php n’est appelé nulle part dans mon site. Alors comment le robot y arrive-t-il ?
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

Il faut regarder les logs détaillés de Apache : comparer les heures d’envoi des messages avec les visites sur ton site
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Pour les visites sur mon site, c’est fichier mails.log ?
Pour le log détaillé Apache, comment j’accède à ça ? (site OVH mutualisé)
Merci encore.
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Janvier 2013

Que faire ?
Comment allez de l’avant pour résoudre ce problème d’infection ?
Merci d’avance.
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Janvier 2013

mails.log c’est pour l’envoi des mails.
Pour les logs d’accès au site, ce serait plus un apache.log.
Il faut voir avec ton hébergeur où sont placés ces fichiers
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Février 2013

Bonjour,
Voici un extrait de log OVH. Est-ce que cela aide ?
Merci d’avance (encore et encore !)
Christophe

«
POST /spip.php ?auteur1 HTTP/1.1
GET /spip.php ?rubrique6 HTTP/1.0
GET /spip.php ?page=forum&id_article=58&id_forum=23 HTTP/1.1
GET /spip.php ?article59 HTTP/1.1
GET /spip.php ?auteur1 HTTP/1.1
POST /spip.php ?auteur1#formulaire_ecrire_auteur_1 HTTP/1.1
GET /spip.php ?page=forum&id_article=69&id_forum=67 HTTP/1.1
GET /spip.php ?page=login&url=spip.php%3Fpage%3Dforum%26amp%3Bid_article%3D75%26amp%3Bid_forum%3D289&lang=fr HTTP/1.1 »
Indiquez l’intérêt que vous portez à cette réponse

0

Christ0phe

Février 2013

Est-ce que l’extrait que je donne aide à comprendre le mécanisme par lequel les spams arrivent ?
Merci d’avance
Christophe
Indiquez l’intérêt que vous portez à cette réponse

0

Gilles

Février 2013

Effectivement !
Et ça résout même le problème !

Le lien de tes logs :
http://www.christophecontent.com/spip.php?auteur1 contient un formulaire de contact

C’est la meme page que
http://www.christophecontent.com/spip.php?page=auteur&id_auteur=1 (logique)

Alors que ton lien "contact" en bas de page est
http://www.christophecontent.com/spip.php?page=auteur
(et n’a pas de formulaire de contact, ce qui est logique)

Donc tu n’as plus qu’à revoir le squelette de ta page auteur pour enlever pour de vrai cette fois le formulaire

Ce n’est donc pas une faille de SPIP, mais juste un formulaire qui était resté indexé dans les moteurs de recherche (à moins qu’un petit malin essaye toujours d’aller sur la page ?auteur1 qui a de fortes chances d’avoir un formulaire de contact)

« Précédent 1 2 Suivant »