Dans cette partie,je suppose qu'il n'ont pas obtenu de compte root et qu'il s'agit d'un serveur dédié/virtualisé (donc avec accés aux logs)
As-tu accés aux logs de cette machine ?
Si tel est le cas, quelles sont les différentes IPs qui se sont connectées à ta machine (logs d'Apache,du serveur FTP,ssh aussi pour vérifier qui tentait des connections) . A ce sujet, les mots de passes d'admin pouvaient-ils être considérés comme fiables.
Comme ta page est ancienne (dernière MAJ 2000), il faut aussi envisager des failles niveau serveur (PHP par exemple).
Si on etudie le code, je pense qu'un bon principe est de désactiver les register_globals (qui sont activés par défault jusqu'à PHP 4.2) surtout pour du code simple,verifier que chaque fois que l'on fait un include,system_exec et autre commande de ce genre les variables sont sures (à ce sujet, désactiver fopen_url (je sais plus le nom exact) peut aussi être une bonne idée .
S'ils ont obtenu le compte root, là c'est plus dur surtout s'il ont mis un rootkit.Il existe chkrootkit et rkhunter qui sont utiles mais à démarrer à partir du livecd (au cas ou les appels read/write ont été corrompus). Je suis d'accord qu'en cas de serveur hébergé, c'est plus difficile de faire la solution livecd
# 2-3 pistes
Posté par digits . En réponse au journal Au secours ! Site défacé !. Évalué à 3.
Dans cette partie,je suppose qu'il n'ont pas obtenu de compte root et qu'il s'agit d'un serveur dédié/virtualisé (donc avec accés aux logs)
As-tu accés aux logs de cette machine ?
Si tel est le cas, quelles sont les différentes IPs qui se sont connectées à ta machine (logs d'Apache,du serveur FTP,ssh aussi pour vérifier qui tentait des connections) . A ce sujet, les mots de passes d'admin pouvaient-ils être considérés comme fiables.
Comme ta page est ancienne (dernière MAJ 2000), il faut aussi envisager des failles niveau serveur (PHP par exemple).
Si on etudie le code, je pense qu'un bon principe est de désactiver les register_globals (qui sont activés par défault jusqu'à PHP 4.2) surtout pour du code simple,verifier que chaque fois que l'on fait un include,system_exec et autre commande de ce genre les variables sont sures (à ce sujet, désactiver fopen_url (je sais plus le nom exact) peut aussi être une bonne idée .
S'ils ont obtenu le compte root, là c'est plus dur surtout s'il ont mis un rootkit.Il existe chkrootkit et rkhunter qui sont utiles mais à démarrer à partir du livecd (au cas ou les appels read/write ont été corrompus). Je suis d'accord qu'en cas de serveur hébergé, c'est plus difficile de faire la solution livecd