web-dev-qa-db-fra.com

Un script suspect est chargé UNIQUEMENT lors de la navigation sur le site via les moteurs de recherche

Je ne trouve nulle part sur notre site où ce code est référencé. Plus important encore, il n'apparaît pas lorsque vous accédez directement à notre URL, il n'apparaît que lorsqu'il provient d'un moteur de recherche (y compris Google et Yahoo, mais qu'il ne s'agit pas d'une recherche anonyme, comme celle de duckduckgo).

Dans IE avec des paramètres de sécurité élevés, l'utilisateur reçoit une invite indiquant que le contenu est bloqué. Firefox et Chrome affichent également des avertissements.

L'erreur apparaît comme ceci dans les outils de développement: "Contenu mixte: la page sur [supprimée] a été chargée via HTTPS, mais a demandé un script non sécurisé ' http://ariadnnakiss.pw/m/zLZlP-SXnQrHhT_q_ywsOKj-.js ? QB2M = 6w5Q7T2e2a & P-0mA5Ga = cd99J0t91 & _ = 12-1d-13-6 & DyfkA = as426S9Uy3e & h = t7 '. Cette demande a été bloquée; le contenu doit être diffusé via HTTPS. "

L'URL en question est ariadnnakiss, pour lequel je ne trouve pas beaucoup d'informations au-delà d'une recherche whois.

Des idées pourquoi cela se produirait seulement lorsque vous atteignez le site via une recherche?

javascriptsecurityjoomlahacking
2
tyler lauw

Votre serveur Web contient un fichier de configuration avec une configuration qui dirige le trafic de certaines sources vers les pages contenant le script suspect.

Si vous utilisez Apache, commencez par les fichiers .htaccess du dossier racine de votre document et tous les dossiers qu'il contient de manière récursive.

Recherchez les lignes contenant "user_agent" ou "remote_addr" ou même google ou d'autres noms de moteurs de recherche. Consultez également une liste d'adresses IP spécifiques. Essayer de les commenter puis de relancer votre site peut être tout ce que vous avez à faire.

Si cela ne fonctionne pas, vous pouvez également consulter le fichier de configuration par défaut d'Apache (httpd.conf) pour trouver des références aux mots que j'ai mentionnés ci-dessus.

Voici un exemple de la façon de reproduire votre situation sur n’importe quel serveur Web sur lequel Apache est installé:

  1. Créez une page index.htm normale ou équivalente avec un contenu visible à tous et sauvegardez-la dans le dossier racine du document.

  2. Créez la même page mais ajoutez le script suspect et enregistrez-le sous codewithsuspiciousscript.htm et chargez-le au même emplacement qu'index.htm.

  3. Créez un fichier nommé .htaccess avec le contenu suivant:

    RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} ^googlebot$
RewriteRule ^(.*)$ /codewithsuspiciousscript.htm

Ensuite, téléchargez-le dans le dossier racine de votre document.

Désormais, lorsque Google visite une page, il voit le code suspect, car codewithsuspiciousscript.htm est chargé à la suite de la correspondance entre l'agent utilisateur et Google. Lorsque tout le monde visite la page, il voit la page normale.

3
Mike