Failles de Pixelpost - Attaques récurrentes

[elpabar]

Mon site construit avec le script Pixelpost est attaqué depuis plusieurs semaines par des robots. Il y a des failles visiblement récentes, et ce d'autant plus qu'aucune version de pixelpost n'a été mise en ligne depuis septembre 2009.
On a fait déjà plusieurs reprises des nettoyages de script malveillants qui vont se nicher absolument partout. Et c'est à recommencer quelques jours plus tard.

Alors que faire? Existe-t-il une façon de sécuriser pixelpost?

Quel script simple, paramétrable, faut-il utiliser en remplacement?...

Merci d'avance aux avis éclairés

[Cildydd]

Qu'entends-tu par attaques ? C'est du vulgaire spamming via la zone "commentaires" ou c'est plus complexe ?

[sledof]

Salut,

Sans savoir comment est "rentré" l'intrus et quels types de scripts malicieux sont installés sur ton site, difficile de dire comment protéger => voir les logs du serveur...

Attention, il existe des véroles qui permettent de capturer les mots de passes enregistrés dans les clients ftp (ne pas enregistrer les mots de passes !). C'est arrivé à une connaissance : vol de mot de passe ftp, site contaminé (ajout de code JS dans les fichiers index.php, index.html, ...). Après examen des logs ftp, plus de 200 connexions ftp en 1/2 heure venant d'une trentaine de machines.

Au sujet des applis, prendre soin de choisir un projet ne reposant pas sur les épaules d'une seule personne mais ayant une communauté de dev. suffisamment nombreuse . Au bout de 3-5 ans, le projet est en général mort par manque de repreneurs ...

Stéphane

[elpabar]

Il s'agit en effet de script dans le fichier index.html par exemple.

On avait déjà supprimé il y a quelques semaines lors des premiers problèmes la possibilité de laisser des commentaires.

Hier soir j'ai changé le mot de passe de la console d'admin et du ftp. C'était un mot usuel sans caractère spéciaux, sans majuscule et sans chiffre. Là c'est quasi inviolable par brutforce et par méthode dico, sans y passer quelques siècles... Et à la base le mot de passe n'est pas retenu sur mon pc. J'ai pas demandé à mon admin si lui le faisait retenir à son OS mais le connaissant j'en doute.

[sledof]

Il faudrait vérifier les logs du serveur ftp pour voir si il y a eu des connexions réussies autres que les tienne.

Stef

[plegall]

Au sujet des applis, prendre soin de choisir un projet ne reposant pas sur les épaules d'une seule personne mais ayant une communauté de dev. suffisamment nombreuse . Au bout de 3-5 ans, le projet est en général mort par manque de repreneurs ...

Pas facile de prendre la "viabilité long terme" d'un projet quand on fait le choix initial. C'est difficile de se rendre compte qu'un projet n'est activement supporté que par une ou deux personnes. En général, le choix initial se fait selon les fonctionnalités disponibles et non sur la viabilité du projet.

Malheureusement dans le cas de Pixelpost, le développeur principal (et plus ou moins unique encore actif si je comprends bien son topic) abandonne les évolutions et la maintenance. Lire What is up with Pixelpost........ C'est bien dommage car c'est une application apparemment bien appréciée des utilisateurs, à mi-chemin entre la galerie photo et le blog.

[elpabar]

Il faudrait vérifier les logs du serveur ftp pour voir si il y a eu des connexions réussies autres que les tienne.

Stef

En effet, on a constaté une connexion lors de la dernière infection et depuis la Finlande.