[RESOLU] admin piratée, Merci à tous Options

[N.Serge]

Bonjour à tous

Je viens de m'apercevoir étant donné que je n'avais plus accès à mon admin, que celle ci avait été piratée, j'ai trouvé dans un dossier image 3 fichiers .php: a.php, b.php, et special.php qui ne viennent pas de moi, si je peux y inclure leur contenu ici, dites le, merci.

Comment puis je récupérer le mote de passe de mon admin car le mien ne focntionne plus et si ca tombe le nom d'utilisateur non plus et comment par après resécurisé mon admin

Grand merci urgent à tous

Serge

Ce message a été modifié par N.Serge - 24 Nov 2010, 15:45.

[N.Serge]

Problème résolu opur les mots de passe et nom d'utilisateur , j'ai utilisé un fichier reset.php qui m'a fait recréer un nouvel utilisateur pour l'admin. Dossier utilisé : Reset_Admin_V2

Par contre j'aimerais renommé le dossier Admin, qu'elle en est la procédure complète

Merci d'avance

Serge

[Gnidhal]

Simple :
1/ tu renommes par FTP
2/ tu modifies les lignes du configure.php de l'admin où le chemin de l'admin est inséré
3/ éventuellement tu renommes les chemins dans le .htaccess (que je te conseille très chaudement d'installer avec un .htpasswd)
Et ça roule. Inutile de nous mettre le contenu des fichiers a.php et suivants.
Ils doivent commencer par un eval(gzinflate(base_64decode('bidulemachin...
voire avec un str_rot13 en plus dans le décodage.
Si tu inflate le premier niveau tu auras peut-être encore un même genre de code ça de 5 à 15 fois. C'est un moyen de passer les détecteurs de code malicieux et aussi de paumer le chaland.

Si tu veux connaitre le fonctionnement, tu exécutes ce script sur un serveur local de test non branché au réseau.
Sinon tu peux aussi essayer de voir le contenu avec un script de ce genre :

Code

function dzingue($t){
  $t = str_replace("?"."><"."?", '', $t);
  $t = str_replace("?"."><"."?",'',$t);
  $t = trim($t);
  $t = str_replace("eval(gzinflate(str_rot13(base64_decode('", '', $t);
  $t = str_replace("'))));",'',$t);
  $t = gzinflate(str_rot13(base64_decode($t)));
  if ( preg_match('`eval\(gzinflate\(str_rot13\(base64_decode`', $t) ) $t= dzingue($t);
  if ( preg_match('`eval\(gzinflate\(base64_decode`', $t) ) $t= dzingue2($t);
  return $t;
}
function dzingue2($t){ // au cas où il y ait un str_rot13 dans la boucle
  $t = str_replace("?"."><"."?", '', $t);
  $t = str_replace("?"."><"."?",'',$t);
  $t = trim($t);
  $t = str_replace("eval(gzinflate(base64_decode('", '', $t);
  $t = str_replace("')));",'',$t);
  $t = gzinflate(base64_decode($t));
  if ( preg_match('`eval\(gzinflate\(base64_decode`', $t) ) $t= dzingue2($t);
  if ( preg_match('`eval\(gzinflate\(str_rot13\(base64_decode`', $t) ) $t= dzingue($t);
  return $t;
}
$code = gzinflate(str_rot13(base64_decode('LZvHDrN..... et la suite )));// là, c'est la première ligne de ton script de laquelle on vire le eval pour le remplacer par un code = ainsi on redirige le premier décodage dans la variable.
$result = dzingue($code);
file_put_contents('decode.txt', $result);// php5 uniquement pour avoir un script txt à relire
echo htmlentities($result);

Ce script a été vite écrit mais il m'a permis de déplier le script final.
Attention, certains de ces scripts peuvent te foutre un boxon monstre et transmettre tous les codes accessibles à un serveur en Europe de l'est, ou en Asie.
Donc ne jamais exécuter ce genre de script sur un serveur en production!
Si tu as ce genre de script sur ton site il est impératif de regarder partout s'il n'y en a pas un autre.

[N.Serge]

ok grand merci, en effet un des fichiers contenait un script semblable

pour le .htaccess , celui qui s'y trouve est celui d'origine mais je ne penses pas qu'il fait allusion à un chemin quelconque

Serge

[N.Serge]

Voici les codes de mon fichiers configure :

define('DIR_WS_ADMIN', '/catalog/admin/');
define('DIR_FS_ADMIN', '/var/www/vhosts/*********************************/httpsdocs/catalog/admin/');

Si je vbeux renommer mon admin par : nada, dois-je modifier tous les admin qui sont en rouge ?

Merci d'avance

Serge

[Quentin de Monta...]

Seulement ceux qui se trouvent dans les chemins "/httpsdocs/catalog/admin" (minuscules) et non les autres qui se trouvent dans les variables (Majuscules).

[N.Serge]

Ok grand merci j'ai modifié les deux qui étaient en minuscules et j'ai accès à mon admin nommée [edit modération] xxxx [/edit]

Serge