Bande de farceurs...

  Bonjour,

  Je viens solliciter votre aide face à un problème de hacking. En effet depuis quelques temps, mon serveur en carton installé par mmo est la proie de vilains garnements, qui utilisent mes formulaires d'upload pour installer leurs scripts sur le serveur et modifier de plus en plus régulièrement tous mes javascripts et mes css externes pour qu'ils chargent un fichier malveillant sur l'ordinateur de mes visiteurs.

  Bien sûr les individus en question changent d'ip comme de chaussettes, impossible de les bannir donc.

  Voilà ma question : Comment est-il possible que leurs fichiers php soient uploadés et arrivent dans le dossier normal, alors que  le move_uploaded_flie n'arrive qu'après un test de type MIME (jpeg, gi et png) et d'extension (pareil). Quand je tente moi même d'uploader un fichier php, il ne passe pas, mais les leurs si. J'ajouterai pour finir  que le script renomme le fichier en ajoutant un long préfixe généra aléatoirement. Les premières fois j'ai pu le constanter sur les scripts uploadés, maintenant plus rien...

  Merci par avance de l'aide que, je ne doute pas, vous m'apporterez si vous le pouvez

Nitruk

Hello,

c'est parce qu'il ne faut absolument pas se fier au type mime, les pirates peuvent mettre ce qu'ils veulent dedans, pas en forcément en rapport avec le fichier lui-même.
utilise getimagesize pour vérifier le type des images, et vérifie au moins l'extension pour les autres fichiers.
à+

Comme je l'ai écrit, je teste aussi l'extension...

Nitruk

Après vérification, un vrai png dont je change l'extension en .php ne passe pas.

Nitruk

un fichier doit avoir une extension d'un fichier qui s'exécute, pour pouvoir être exécuté, à ma connaissance en tt cas ! donc vérifie qu'il n'y a plus rien de mailicieux sur ton serveur, mets en place les vérifs que j'ai dite (et n'autorise que certaines extensions bien définies), et je pense que ça devrait être bon.
à+

mais puisque je t'ai dit que c'est fait...

bien sûr que mon fichier n'est aps éxécutable, le but était de savoir si un fichier passerait avec un type mime correct mais pas l'extension, ce qui n'est pas le cas.

Nitruk

on peut voir ton script ?

/**
* @author coucou747 <coucou747@hotmail.com>
* @see irc://cominweb.uni-irc.net/#programmation
*/

Bien entendu, le voilà :

if(is_uploaded_file($_FILES['photo']['tmp_name']) && $_FILES['photo']['error'] == 0){
     $tab1 = explode('/',$_FILES['photo']['type']);
     $tab2 = explode('.',$_FILES['photo']['name']);
  $n = count($tab2) - 1;
  $tab3 = getimagesize($_FILES['photo']['tmp_name']);
     if($tab1[0] == 'image' && ($tab2[$n] == 'jpg' ||  $tab2[$n] == 'jpeg' ||  $tab2[$n] == 'gif' ||  $tab2[$n] == 'png' ||  $tab2[$n] == 'bmp') && $tab3[2] != ''){
    if($photo != 'blason.jpg') unlink('images\\avatars\\'.$photo);
    $photo = md5(uniqid(rand())).$_FILES['photo']['name'];
          move_uploaded_file($_FILES['photo']['tmp_name'],'images/avatars/'.$photo);
    }

Nitruk

Ah oui, après coup je me dis que ce serait bien de préciser que la variable $photo contient au départ l'ancienne photo d'un membre existant, ou blason.jpg pour un nouveau membre. ^^

Nitruk

Ce n'est pas avec ce bout de code que tu vas te faire pirater, ou alors ce serait une grande première et tout le monde aurait de quoi s'inquiéter. Tu n'as qu'à faire un listing de tous les fichiers qui transitent par ce biais et tu seras fixé. La faille doit être ailleurs. Si ça se trouve tu t'es fait prendre tes accès ftp et tu ne le sais même pas.
à+