Piratage du site de mon association

[Waldham]

Bonjour, j'aurais besoin d'aide.

Comment faire pour trouver ou tracer quelqu'un ayant tenté de pirater ?

Problème rencontré : Hidden PERL script

Commande apparente : lynx

Exécutable utilisé : /usr/bin/perl

Horodatage: Mon Feb 4 15:21:57 CET 2008

Ceci n'est pas autorisé sur nos installations,

car c'est une tentative potentielle de piratage.

Si ce n'est pas vous qui avez lancé ce script, cela signifie

qu'il y a une faille sur votre site et qu'un hacker s'en

est servi pour réaliser cette opération.

Nous avons désactivé l'accès web temporairement pour éviter tout

risque de nouveau piratage.

Dans les logs à cette date et heure là, ce serait :

lj512225.crawl.yahoo.net

Voici un exemple :

65.39.172.139 est sans doute l'ardresse IP de l'attaquant. Cette adresse n'a pas de reverse (nom de machine) associé, mais le SOA donne :

172.39.65.in-addr.arpa. 10800 IN SOA ns1.peer1.net

Le contact administratif correspondant à peer1.net est :

Administrative Contact:

Administrator, Domain domains@peer1.net

1600-555 West Hastings Street

Vancouver, BC V6B 4N5

CA

(604) 683-7747

comment puis je faire la même chose pour avoir des infos sur l'attaquant ?

si je veux créer un fichier nommé .htaccess ou .htpasswd, je dois le nommer par exemple : test.htaccess ou .htacess seulement ?

Une fois le problème résolu, vous pouvez rouvrir votre site

en remettant les bons droits sur le répertoire "www" (chmod 705 www).

comment je fais pour modifier les droits du répertoire "www" via un ftp et quels droits dois je lui remettre ?

[theocrite]

Dans l'ordre : lj512225.crawl.yahoo.net ça ressemble à un bot de yahoo, pas de quoi s'affoler apparemment.

Pour les infos sur l'attaquant, il existe tout un tas d'utilitaires faits pour (tracepath, whois, nmap, ...).

Pour le .htaccess, c'est sans rien devant. C'est ce qui caractérise les fichiers cachés sous Unix : un point au début.

Les droits du répertoires, ça se met avec ton client ftp. Il faut regarder dans la doc.

[Waldham]

c'est bizarre car ovh me dit de regarder dans les logs à la date et heure du mail reçu et ça semblait correspondre.

88.232.152.144 apparait 4 fois de 15 h 21 à 15 h 38, c'est peut être lui.