J'ai été hacké ... :-(

[rituel]

Les magic quotes protègent très bien des injections SQL "alpha" étant donné qu'en injectant des chiffres dans des variables numériques on pourra pas détourner une requête.

Cependant je conseille 2 choses en plus :

- Désactivez le débugage détaillé des erreurs.
- Utilisez des noms de tables atypiques

Sait on jamais

[cyberghostjp]

Quel manque de professionnalisme

Bah .... oui, excuse moi, j'ai 20 ans, je fais ce site pour un ami ... j'ai mes études, ma petite amie et mes pages étaient à priori en html ... à part pour le forum phpbb que je viens d'installer ...

On peut pas être parfait partout

[Americas]

Quel manque de professionnalisme

Bah .... oui, excuse moi, j'ai 20 ans, je fais ce site pour un ami ... j'ai mes études, ma petite amie et mes pages étaient à priori en html ... à part pour le forum phpbb que je viens d'installer ...

On peut pas être parfait partout

Je pense que n'importe quel site peut se faire hacké... même en faisant preuve de "professionalisme"... il y a certes des scripts plus "hackables" que d'autres... mais si on consulte la liste des failles des programmes qui tournent sur un serveur... on n'a plus qu'a passer son temps à patcher

[cyberghostjp]

Merci americas de ton soutien ...

C'est vrai que microsoft manque aussi de professionnalisme alors

[easy_zik]

moi je me suis fait hacké aussi. J'était chez OVH également, et les hackeurs sont entrés grace à une faille include.
J'ai du lire tous mes fichiers de log pour retrouver leur manip. J'avais éffectivement laissé cette faille de débutant. OVH ne m'a apporté aucun secours. Quand ca se passe bien, ils repondent vite, mais au moindre problème, je trouve qu'ils ne deviennent plus tres professionnel.

Bref, heureusement, les hackeurs étaient gentils. Ils n'ont rien éffacé. Juste remplacé ma page d'accueil. J'ai quand même porté plainte pour la forme, en donnant toutes leurs adresses IP utilisées.
Ca renvoyait en chine, en italie et dans des pays exotiques. Au final, ca n'a jamais rien donné, car les préjudices envers mon site n'étaient pas assez importants pour le deploiement de moyens que cela aurait representé pour les retrouver.

Une chose est sûr, maintenant, je fais tres attention à mon code qd je programme, et je ne me dit plus "je vois pas qui aurait interet à hacker un pauvre site comme le mien" !!

Pour ceux que ca interesse, j'ai completement décortiqué leur méthode, et il faut se dire, que des robots scrutent le web en permanence pour essayer de détecter des failles. Ces robots tournent en général sur des sites eux-même hackés pour brouiller les pistes et pour qu'on ne puisse pas remonter jusqu'aux hackeurs. Dès qu'une faille est détéctée, on est référencé dans un fichier, et ensuite la manipulation est manuelle. (pour moi en tous les cas)
Dites vous que votre site est épluché de fond en comble, que tous les paramètres de vos moindres pages web sont modifiés et remplacés par des valeurs qui peuvent faire planter un site ou engendrer de graves disfonctionnements. Il vaut donc mieux le savoir....

[itsme]

moi je me suis fait hacké aussi. J'était chez OVH également

Les serveur OVH sont souvent des passoires (on y sous-estime les erreurs des webmasters). Sur ces serveurs - en tout cas quelques uns, lorsqu'il y a une faille sur un site, elle donne acces a tout le serveur...

Pour ceux que ca interesse, j'ai completement décortiqué leur méthode

Il s'agit plutot de leurs methodes...

des robots scrutent le web en permanence pour essayer de détecter des faille

Vrai

Ces robots tournent en général sur des sites eux-même hacké

Re Vrai

Outre le fait de programmer proprement (je suis comme tout le monde, j'en fais des erreurs), je vous invite fortement a:
- Parser toutes les variables en entrees

Code: Tout sélectionner

// SCAN et NETTOYAGE des variables en reception REQUEST
if (is_array($_REQUEST)) {
  while (list ($k,$v) = each ($_REQUEST)) {
    $v = @mon_nettoyage($v);
    ${$k}=$v ;
  }
}


- Parser tous les ordres sql
- prevoir un envoi de mail lors d'erreurs sql avec l'ordre sql, la page en cause et le code d'erreur.

Code: Tout sélectionner

$result = @mysql_query($monsql) or die (alerte_mail($monsql));

L'evolution et l'imagination etant sans limites, la base est de se tenir informe et en alerte.

Le dernier point (envoi de mail lors d'erreurs sql) pouvant s'averer etre un outil tres utile. Ainsi, lorsque quelqu'un vous titille le site, vous etes averti et cette agression se transforme en ... auto formation

[easy_zik]

L'envoi d'un mail lors d'une erreur SQL est en effet un bon moyen de prévenir des attaque mais ATTENTION !!! :

Si jamais le serveur Sql est indisponible pour une raison quelconque chez votre hebergeur (et ca arrive plus souvent qu'on ne le crois...) Cette fonction d'alerte va vite se transformer en mail-bomber sur votre propre boite au lettre

c'est a considérer lorsqu'on va coder cette fonction...

[itsme]

Si jamais le serveur Sql est indisponible pour une raison quelconque

Oui mais... Si il y a le serveur sql HS, la connexion a la base a echouee et en principe on le gere: on ne devrait meme pas essayer de passer des requettes dans ce cas la.

Enfin, comme le je rabache souvent, il faut aussi avoir un code propre

[squawk]

Citation:
Quel manque de professionnalisme


Bah .... oui, excuse moi, j'ai 20 ans, je fais ce site pour un ami ... j'ai mes études, ma petite amie et mes pages étaient à priori en html ... à part pour le forum phpbb que je viens d'installer ...

On peut pas être parfait partout

Si ça peut te rassurer même le pentagone ils se sont fait hackés Ah aussi ils se sont fait indexer des documents confidentiels en pdf par google Pourtant c'est des pros hein

[cyberghostjp]

Bah t'inquiète, j'ai pas mal pris sa remarque.

C'est juste que personne n'est à l'abris contrairement à ce que l'on croit et que le jour où ca lui arrivera il aura l'air moins malin.

Parce que pensez quo'n peut être plus fort qu'eux ... . Ils ont souvent une longueur d'avance (pour les bons hackeurs)

[Kounte]

La meilleure parade contre les hackers, est la sauvegarde régulière !

[cdpdf]

La meilleure parade contre les hackers, est la sauvegarde régulière !

c'est vrai mais ils peuvent prendre toutes les informations qui se trouve sur ton site ce qui n'est pas toujours chouette

[cyberghostjp]

Il n'y a pas grand chose à faire ... si ce n'est sauvegarder, ce que j'avais fait 4 ou 5 jours avant l'attaque. Il n'ont pas touché à la bdd ... heureusement pour mon forum.

Ils avaient supprimé tous les fichiers "uniquement"