Site Hacké avec injection code PHP

[tchao57]

Bonjour à tous,

je viens vous voir aujourd'hui car j'ai un site qui a été hacké avec de l'injection de code PHP dans les pages.

J'ai pu remarqué que beaucoup de pages PHP avaient été touchées mais pas toutes. Le code injecté se situe toujours en haut du fichier PHP avec les balises <?php et ?> et le code à l'intérieur.

Ce que je souhaiterai faire c'est de supprimer tout ce code dans toutes les pages en une seule fois. J'ai pas regardé toutes les pages mais le code semble être similaire à chaque fois.

Pour cela j'ai téléchargé l'entièreté du fichier "www" sur mon ordinateur. Je fais une recherche Windows de tous les fichiers PHP en tapant *.php, et donc je me retrouve avec tous les fichiers avec extension PHP qu'il y a dans le dossier "www".

Maintenant il faudrait que je puisse faire en sorte de supprimer tout ce qui se trouve entre les balises PHP de ces fichiers, mais sans toucher au reste du code PHP bien sur.

Je ne sais pas trop si je poste dans le bon forum, si ce n'est pas le cas désolé je changerai.

Merci d'avance pour votre aide.

[Malekal_morte]

Salut,

Il y a plein de logiciels de ce type, ex: http://findandreplace.io/?z=codeplex
Par contre, le mieux serait de repartir sur un backup.
Il peut aussi y avoir des backdoor PHP qui ont été ajoutées, voir : viewtopic.php?t=51402
Ce n'est pas simple de les trouver parfois.

[tchao57]

Bonjour Malekal_morte,

merci pour la réponse.
Oui en effet, je pense que je vais repartir sur une clean Install et remettre l'ancienne base de donnée après avoir réinstallé tous les composants et modules.
Malheureusement la personne qui gérait le site n'avait pas fait de sauvegardes régulières donc la dernière sauvegarde est aussi vérolée...

[Malekal_morte]

Alors il faut essayer de désinfecter.
C'est un CSM ?
Tu as accès aux logs du serveur WEB ?

[tchao57]

Oui c'est un CMS, Joomla en très ancienne version 2.5.17

Ça dépend, de quels logs as-tu besoin?

[Malekal_morte]

J'ai besoin de rien, c'est juste qu'avec les logs tu peux voir des connexions sur des pages anormales, ça peut aider pour trouver des backdoor ou autres.
Le mieux serait de télécharger Joomla 2.5.17 officiel, injecter la base de données
puis tout mettre à jour.

[tchao57]

Oui c'est la solution que j'ai choisi effectivement. Je pense que c'est le plus propre.
Merci en tout cas pour le coup de main ;)

[Malekal_morte]

De rien =)