Se connecter
Se connecter

ou
Créer un compte

ou
FR
EN

Comportement bizarre d'un "invité" sur mon website : dois-je m'inquiéter ?

  • 24 réponses
  • 8 participants
  • 2 018 vues
  • 8 followers
Sujet de la discussion Comportement bizarre d'un "invité" sur mon website : dois-je m'inquiéter ?
:??: bon, je vous raconte çà, c'est par ce que je ne sais pas si je dois m'inquiéter ou pas ??? et si je dois m'inquiéter, que dois-je faire ???

j'ai remarqué hier un visiteur sur le forum associé au site web de mon groupe ... au début j'ai pas vraiment fait attention, mais, vu qu'il y a très peu de fréquentation, à chaque fois que je passais par le panneau d'administration réservé au webmaitres, j'ai vite repéré cet IP, et puis
:8O: je me suis rendu compte que le gars y était encore plusieurs heures après ...

j'ai regardé un peu plus et j'ai vu
:???: qu'il essayait d'ouvrir systématiquement les parties privées du site,
:???: qu'il essayait de poster (reservé aux membres) une à deux fois par minutes,
:???: qu'il essayait de se connecter sans compte ...
:?!: en plus c'est genre une page par minute ...
:???: on dirait une machine qui essaye d'ouvrir des pages au hasard ...
:noidea: au début j'ai pensais à qq qui faisait connaisance avec le groupe et je m'attendais à une demande d'inscription sur le forum (ça ne donne rien de plus que le droit d'écrire) ... mais le gars continut d'ouvrir les pages au hasard et d'essayer de poster
:8O: ce matin, il y est encore ???
:((( j'ai essayé de tracer son IP et j'obtient "Query error: No whois server known for the given domain" ce qui est assez bizzare également ... généralement tu obtiens le provider du visiteur ???

:??: donc, es-ce grave ? que faire ?
2
:up: 13h, l'invité continu de se réchainer "automatqiuement" tel un robot à essayer d'ouvrir toutes les pages ... ça fait 28h que j'ai aperçu pour la première fois cet IP ...

:??: je savais qu'il y avait des programmes qu'on appelait des snakes qui permette "d'aspirer" automatiquement le contenu d'un site pour le recopier ...
:??: je sais qu'il y en a qui utilisent des progammes en automatique pour repérer des adresses email ...
:???: mais si c'est une machine, pourquoi c'est si long ??? le site est vraiement tout petit ...
3
Pourquoi ne contactes-tu pas ton fournisseur d'accès ou d'espace à ce propos ?

C'est peut-être à lui de te prémunir contre ce genre d'intrusion...
4
:??: à oui, tient ?? bonne idée ... je vais essayer ça ...



ps: ceci dit, la dernière fois que j'ai envoyé un message à la hotline de free pour une panne sur leur service mysql, ils m'ont répondu une semaine après de les excuser mais qu'ils avaient un probleme temporaire et qu'il fallait que je sois patient ... ça faisait qq jours que ça remarchait ...
5
:zzz: 16h : il est toujours là ... et je pense à un truc tout bête ...

:eek2: la machine, elle est pas tout simplement en train d'essayer toutes les combinaisons des codes d'accès pour les cracker :surpris:
6
Tout ça pour qu'on aille jeter un oeil sur ton site !!!

Quel magnifique coup de pub !!! :bravo:

Je plaisante..... :8)

Tu as contacté free ?
7
:roll: tu parles d'une pub !!

:((( ben oui, je suis webmaitre amateur et ce truc me file un peu la pétoche ... je ne sais pas si je dois m'inquiéter ou pas ? quels sont les conséquences éventuelles ? que faire ?




sinon, oui, j'ai contacté free ...
8
Ca ressemble à une tentative de hack. Mais s'il n'y aucune donnée sensible sur ton site, je n'en vois pas l'intérêt (si toutefois il y a un intérêt au hacking) ... Un concurrent jaloux peut être ? :bravo:
9
Tu n'as pas moyen d'interdire l'accès à cette adresse IP ?

Le risque que tu peux avoir concerne ta base de donnée d'adresse mail des inscrits si il y en a une.

Pour le reste, je ne pense pas que tu aies des informations ultraconfidentielles qui nuisent à quelconque sécurité.

Donc attaque normale : virus, base de donnée, et idiot mais pourquoi pas modification du code de ton site.
10

Citation : Ca ressemble à une tentative de hack

:oops: :oops: dsl, es-ce que tu veux dire, tentative de crackage de code ??
11
Non je dirais tentative d'intrusion. Mais je vois mal le but ... c'est peut être tout simplement un bot (qui peut au choix : choper toutes les infos du site login/mot de passe, balancer un virus, etc) qui scanne le site et qui reste bloqué dessus ... Sans vouloir faire le rabat-joie, demander à Free de bannir cette adresse me parait optimiste ...
Laisse faire, tant que cela ne bloque ni ne détériore le site ... c'est comme faire un ping constant sur une machine, au pire ca bouffe un peu de bande passante c'est tout ...
12
:noidea: effectivement, je vois pas ce que ça va lui apporter ... j'ai pas de données hyper confidentielles ...
par contre le virus, ça va être plus chiant ??? mais free devrait nettoyer le disque tout seul ??

ok, je laisse courir alors ??? merci pour les infos :bravo:


ps : "bot" = robot ?
13
Oui bot = robot :lol:
14
:oops: dsl ... pas un pro du truc, moi ;)


ps: sinon, je viens de me rappeller qu'il y avait une possibilité de banissement d'IP dans phpBB ... j'ai essayé ... et les intrusions, semblent avoir cessées ...
15
Et voilà !
Banni soit qui mal y pense :8)
16
;)




en espérant ne pas avoir banni un pov ricain qui s'intéressait tout simplement à not'music ... ce dont je doute quand même vu le comportement des accès ...
17
Il parait que Georges Bush fait un stage en informatique en ce moment ... mais nom de diou Georges, tu ne sais pas clicker !
18
Plutôt que de bloquer l'ip, il peut être intéressant de mettre un fichier robot.txt avant toute chose, de faire un lookup sur l'IP pour vérifier si ce n'est pas un moteur de recherche, ...

Et puis, si c'est un bot qui ne respecte pas les règles du robots.txt, placer un Tar Pit qui va générer des pages web bidons avec des adresses mail bidon dessus, histoire de remplir une éventuelle db d'emails pour le spam avec des crasses...
19
En tout cas, sauvegarde obligatoire de ta base sql et ton ftp.
Mise à jour de phbb si besoin
et si t'as le courage, change tes mots de passe !
J'ai eu quelques soucis ces derniers mois avec un site en joomla. Un Hacker avait réussi à trouver une faille, et profitait gentiment de mon espace disque pour déposer des pages ressemblant à un site d'une banque américaine. Après, il spamme plein de gens, en envoyant un mail du style "nous avons modifié la gestion internet de votre compte, veuillez cliquer sur ce lien et rentrer vos coordonnées...
Un petit script pour récupérer les coordonnées, t'imagines la suite...
Les hackers aiment bien les scripts tout fait (phbb, cms blogs...). Ils profitent que les mises à jour ne soient pas toujours faites pour s'introduire dans le code !
A priori, là, il a pas réussi... Mais prends 1/2 heure de ton temps pour les sauvegardes, mises à jours etc... Ca t'éviteras une journée à refaire ton site en entier, ou négocier avec free la remise en ligne de ton espace le jour ou tu te feras hacker !

Mais si, mais si, on va y arriver...

20
Banale attaque. tu en es victime, tu la vois, or, quasi t...ous les pc familiaux en sont... Je ne sais sous quel systeme d'exploitation tu es, mais, chez les pingouins il existe un soft dont je ne me souviens pas le nom... sa traduction en moliere est "pot de miel", en fait, c'est un soft de couche supperieure, qui simule un gros serveur avec bcp, bcp de pc connectés, ca permet au regisseur du site, d'envoyer le "bot" vers une destination tout a fait anodine, le temps de trouver le moyen de le neutraliser.
Il existe 10 sortes de gens. Ceux qui savent compter en binaire, et les autres
21
On est même pas sûr qu'il s'agisse effectivement d'une attaque... une première étape serait de déterminer l'origine du trafic avant de se faire un film...

Le "pot de miel" (honeypot) désigne une machine simulée destinée à faire croire à un hacker qu'il a effectivement hacké un serveur. En pratique, ça énerve les hackers, les plus aguerris se rendant vite compte qu'on essaye de les mener en bateau, ce qui augmente leur intérêt pour le hacking du site et augmente le risque d'actes de vandalisme.

Le "puits de goudron" (tar pit) est un système servant des pages bidons aux robots afin de leur faire ingurgiter des tonnes d'informations inutiles au ralentis. Un tar pit judicieusement placé peut provoquer l'abandon du parcours du site par un robot.
22
:coucou: merci dnpro, ragoutoudou, Bertrant pour vos nouveaux conseils
en tout cas pas de traces visibles d'attaques sur mon forum depuis la semaine dernière ...

Citation : avant toute chose, de faire un lookup sur l'IP pour vérifier si ce n'est pas un moteur de recherche

ok, ça j'ai fait et le traceroute ne donnait rien, c'est même ça qui m'a inquiété dès mon premier post ...

Citation : Plutôt que de bloquer l'ip, il peut être intéressant de mettre un fichier robot.txt

:noidea: tu peux m'expliquer un peu plus ??

Citation : Et puis, si c'est un bot qui ne respecte pas les règles du robots.txt, placer un Tar Pit qui va générer des pages web bidons avec des adresses mail bidon dessus, histoire de remplir une éventuelle db d'emails pour le spam avec des crasses

Citation : Un tar pit judicieusement placé peut provoquer l'abandon du parcours du site par un robot

pareil, tu fais comment en pratique pour avoir un brapittbull ;)

Citation : En tout cas, sauvegarde obligatoire de ta base sql et ton ftp

:aime: ah, oui ... ça peut servir et surtout ça mange pas de pain !!

Citation : Un Hacker avait réussi à trouver une faille, et profitait gentiment de mon espace disque pour déposer des pages ressemblant à un site d'une banque américaine. Après, il spamme plein de gens, en envoyant un mail du style "nous avons modifié la gestion internet de votre compte, veuillez cliquer sur ce lien et rentrer vos coordonnées... Un petit script pour récupérer les coordonnées, t'imagines la suite

:oo: p***** craignos ça !!! et en cas de délits, c'est ton site, donc c'est toi qui est responsable ??
23
Tiens bizarre, j'ai toujours cru qu'un tar pit était juste le delai de la réponse précisant que l'accès n'était pas autorisé...réponse en http access forbidden de préférence (ce qui peut resetter la connexion et ralentir tellement le bot qu'il passe à autre chose).

http://soundcloud.com/bat-manson

24

Citation : Tiens bizarre, j'ai toujours cru qu'un tar pit était juste le delai de la réponse précisant que l'accès n'était pas autorisé...réponse en http access forbidden de préférence



Ben le principe du tar pit, c'est de faire perdre du temps au bot, de l'engluer... donc avant tout l'aspect "on file les réponses lentement". Il existe des approches tarpit pour smtp, pour TCP, pour HTTP...

Maintenant de plus en plus d'implémentations pour le HTTP essayent de garder le bot captif le plus longtemps possible en générant des pages bidons, énormes, contenant des données générées aléatoirement et se téléchargeant très lentement.
25

Hors sujet :
Ok, intéressant. J'y connais rien en sécu, mais je regarde de plus en plus ces systèmes pour fournir des fonctionnalités basiques de sécu applicative sur un framework php qu'on développe. Si t'as quelques pistes à me donner pour me faire gagner quelques heures (fais du name dropping te casse pas le cul je chercherais), je prends !

http://soundcloud.com/bat-manson