problème d'injection : aidez moi

[decalko]

Bonjour,

Je réalise de nombreux sites internet depuis de nombreuses années et je n'ai jamais rencontre un tel problème.

Mon site "perso" hébergé chez OVH est la cible d'une attaque qui insère le code suivant (ou un code similaire , c'est à dire une succession d'URL en bas de page).

J'ai fait de nombreuses recherches et je n'arrive pas à comprendre comment cette attaque peut avoir lieu. J'ai supprimé les pages PHP du serveur, et retiré le seul formulaire qui était présent mais l'attaque revient à intervalle régulier (2 semaines environ).

Ce site héberge 2 autres sites en "multi domaines OVH" mais ces sites ne comportent pas de formulaires.

J'ai également changer le mot de passe FTP. J'ai également poensé que cela venait d'un script google analytics obsolète et je les ai upgradé mais sans succès.


Voici la dernière attaque.

<script language="javascript">document.write('</div>');</script>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=64">achat adobe lightroom</a>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=224">autosketch kaufen</a>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=332">preis windows 7 ultimate upgrade</a>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=190">windows xp pro telecharger</a>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=268">nero 9 kaufen</a>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=345">word 2007 vollversion download</a>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=174">telecharger illustrator cs3 fr</a>
<a href="http://www.runningroom.com/survey/english.inc.php?inc=39">telecharger autocad 2009 français</a>

ETC ... ETC ...

<script language="javascript">document.write('</div>');</script>





Cela peut il venir des balises DIV ? dans le doute je les ai remplaçé par des tableaux.


J'avoue être totalement perdu et inapte à trouver une solution au problème. Quelqu'un aurait il une piste ?

[j2c]

Quel rapport avec spam-rbl ?

[decalko]

discussion générale sur le spam

Ca me semble être le forum le plus approprié. Merci pour ta non-aide.

[j2c]

Mais c'est pas du spam (= message éléctroniques non solicités ! ) ce que tu as :)
c'est carrément du hacking.. donc tu es carrément HS là..

Tu as vérifié les connections SSH sur ta machine ?

Tes logs FTP ?

Tes logs apache ?

Tu peux tenter de mettre en place un script cron qui tourne toutes les minutes et qui fait un diff sur les pages .. et qui t'envoie un mail si ton diff sort une différence.

ça te donnera un indice sur "l'heure du crime" ..

Si ce que je te racconte ne te parle pas.. tu es sans doute sur un hébergement mutualisé (non précisé dans ton message).. il serait préférable de reposter là bas pour avoir plus d'aide :)

Voilà pour ma participation de "non aide.. " justifiée