Bonjour,
j'ai constaté des accès très étranges sur mon site depuis quelques jours.
Par exemple ce matin, des dizaines de logs:
"GET /color-v2.php?image=coloriages-football-g-09.jpg&lang=de&repertoire=coloriages%2F516%2Fg%2F%2F%2A%2A%2F%27%2F%2A%2A%2FUNION%2F%2A%2A%2FALL%2F%2A%2A%2FSELECT%2F%2A%2A%2F%28SELECT%2F%2A%2A%2FCONCAT%280x6556444f%2C%28SELECT%2F%2A%2A%2F%28ELT%282836%3D2836%2C1%29%29%29%2C0x4a65384c%29%29%2F%2A%2A%2F%2F%2A%2A%2F–%2F%2A%2A%2FsiGE&theme=Fussball&theme-id=516 HTTP/1.1" 200 20605 "-" "Mozilla/5.0 (Linux; Android 9; CPH1859) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.143 Mobile Safari/537.36"
Pour cette page l'url normale est:
/color-v2.php?lang=de&theme-id=516&theme=Fussball&repertoire=coloriages/516/g/&image=coloriages-football-g-09.jpg
De quoi s'agit-il? Avez-vous une idée?
Merci pour votre aide
Annick
Bonjour,
Tentative de SQL INJECTION (vu le code 200, tentative peut-être réussie)
>coloriages/516/g///'//UNION//ALL//SELECT//(SELECT//CONCAT(0x6556444f,(SELECT//(ELT(2836=2836,1))),0x4a65384c))////–//siGE
Merci. Oui effectivement c'est réussi, ça met le bazarre dans une de mes tables c'est comme ça que je m'en suis apercue… J'ai modifié le code de la page pour contrôler les paramètres reçues.
Pour contrer les INJECTIONS SQL d'une manière plus générale, j'ai vu qu'il est possible d'ajouter dans l'htaccess:
RewriteCond %{QUERY_STRING} ^a-z[^a-z] [NC]
RewriteRule (.*) - [F]
Qu'en pensez-vous?
Dans ce cas , le firewall OVH pourrait vous protéger.
(c'est mod_security de Apache)
En premier lieu, qui est l'auteur de color-v2.php troué comme une passoire ?
C'est moi! Je vous rassure je n'ai payé personne pour faire ça, je suis amateur du dimanche…
Bonjour Fritz2cat, je viens d'activer le firewall. Merci beaucoup.
Le firewall est activé mais les urls avec injonction SQL passent encore!
Plus précisément, j'ai activé le firewall sur les différents domaines et sous-domaines mais je ne peux pas sur le domaine de type "cluster002.ovh.net" ("une erreur est survenue lors de la modification du ou des domaines de votre hébergement mutualisé"). Est-ce que ça pourrait expliquer pourquoi j'ai toujours les injonctions SQL?
Bonjour,
Le firewall n'est pas un outil magique, il faut corriger vôtre code pour éviter que les injections passent.
Cordialement, janus57