Le matin, vous ouvrez le site officiel de votre entreprise et découvrez que la page d'accueil redirige vers un site de paris, et que le cache de Baidu est rempli de mots sans queue ni tête — quand cela arrive, la première réaction du patron est généralement « supprimez ça tout de suite », tandis que le responsable technique doit faire face à la question « est-ce que ça reviendra après suppression ? ». Un site web piraté, mal géré, c'est un piratage à répétition, une perte de référencement auprès des moteurs de recherche et une remise en question par les clients. Cet article clarifie l'ordre de traitement et ce que les tests de sécurité peuvent faire.
Ne vous précipitez pas sur la réinstallation, comprenez d'abord ce qui a été piraté
Le piratage n'est pas un problème unique, il en existe plusieurs types courants :
- Falsification de pages : la page d'accueil ou les pages de rubriques sont injectées avec des liens cachés ou des scripts de redirection, amenant l'utilisateur hors du site.
- Fichiers de porte dérobée : l'attaquant laisse un webshell, peut revenir à tout moment, supprimer la page ne sert à rien.
- Injection dans la base de données : les tables de contenu sont remplies de liens indésirables, invisibles depuis l'interface d'administration normale.
- Détournement au niveau du serveur : la configuration Nginx ou Apache est modifiée, ou un script de téléchargement est caché dans les tâches planifiées.
Un cas réel : le site d'une entreprise de location d'équipements a été piraté trois mois après sa refonte. Le technicien a seulement supprimé le code de redirection de la page d'accueil, mais le piratage est réapparu une semaine plus tard. L'enquête a révélé que l'attaquant avait téléchargé une porte dérobée via une ancienne interface d'upload d'éditeur, et que les répertoires historiques n'avaient pas été nettoyés lors de la refonte. Traiter seulement les symptômes sans traiter l'entrée, c'est comme ne rien faire.
Donc la première étape n'est pas de supprimer, mais de préserver les preuves et localiser : sauvegardez d'abord les fichiers falsifiés, les logs et la base de données, puis déterminez où se trouve l'entrée.
Ordre de traitement : isolation, collecte de preuves, nettoyage, renforcement
Après un piratage, il est recommandé de suivre cet ordre :
1. Isolation : mettez d'abord le site hors ligne ou basculez vers une page de maintenance, pour éviter que les moteurs de recherche continuent d'indexer le contenu malveillant et que les utilisateurs soient piégés.
2. Collecte de preuves : conservez les logs d'accès, les logs d'erreurs et les horodatages des fichiers modifiés. Ce sont les éléments qui permettront de déterminer l'entrée.
3. Nettoyage : supprimez les portes dérobées, restaurez les fichiers modifiés, nettoyez le contenu injecté dans la base de données. Attention à ne pas utiliser une restauration « par écrasement » qui écraserait aussi les logs.
4. Renforcement : changez tous les mots de passe d'administration, les mots de passe de base de données, les clés SSH du serveur, désactivez les interfaces d'upload inutilisées et les permissions d'exécution des répertoires.
5. Contrôle post-incident : surveillez pendant une à deux semaines pour confirmer l'absence de récidive.
Rappel pour éviter les pièges : ne vous contentez pas de changer le mot de passe d'administration. Si la porte dérobée est toujours là, changer le mot de passe ne fait que gagner du temps. De plus, de nombreux sites d'entreprise sont réalisés en sous-traitance, et lors des refontes, la passation est incomplète : répertoires historiques, fichiers de test, fichiers de sauvegarde restent sur le serveur, et ce sont des entrées courantes.
Ce que les tests de sécurité peuvent réellement détecter
Beaucoup pensent que les tests de sécurité se résument à « scanner les vulnérabilités ». En réalité, pour un site déjà piraté, la valeur des tests de sécurité réside dans la recherche de l'entrée et des résidus.
Cela comprend généralement :
- Scan de vulnérabilités : vérification des injections SQL, XSS, upload de fichiers, mots de passe faibles, etc.
- Recherche de portes dérobées : comparaison des hachages de fichiers, recherche de webshells anormaux, vérification des tâches planifiées et des éléments de démarrage.
- Vérification des permissions : permissions des répertoires, permissions des comptes de base de données, pertinence de l'authentification des interfaces d'administration.
- Tests logiques : par exemple, dans un mini-programme de réservation, peut-on contourner le front-end pour soumettre des données illégales ; dans un système de gestion, un compte ordinaire peut-il accéder aux interfaces administrateur par élévation de privilèges.
Il faut préciser un point : les tests de sécurité ne sont pas « une fois pour toutes ». Le développement web, le développement de mini-programmes, le développement d'App — dès qu'une nouvelle fonctionnalité est mise en ligne, de nouveaux risques peuvent apparaître. L'approche pragmatique est de faire un test avant la mise en ligne, et un autre après une refonte majeure.
Comment protéger un site d'entreprise au quotidien pour ne pas être pris au dépourvu
Plutôt que d'attendre d'être piraté, il vaut mieux consolider les actions quotidiennes :
- Maintenir les versions à jour : les anciennes versions de CMS, frameworks et plugins sont les zones les plus touchées.
- Restreindre l'accès à l'administration : modifier le chemin par défaut, ajouter une double authentification, limiter les IP de connexion.
- Interdire l'exécution de scripts dans les répertoires d'upload : cette mesure bloque une bonne partie des portes dérobées liées à l'upload.
- Sauvegardes régulières et stockage hors site : les sauvegardes doivent être restaurables, pas seulement stockées sur le même serveur.
- Conservation des logs : en cas d'incident, sans logs, c'est pratiquement une enquête à l'aveugle.
Pour un site d'entreprise, on peut aussi envisager de séparer les ressources statiques du site principal, afin de réduire l'impact en cas de falsification.
Dans quels cas faire appel à MIC Studio
Tous les cas ne nécessitent pas de faire appel à une équipe externe. S'il s'agit simplement de quelques lignes de code insérées dans une page, que vous pouvez localiser l'entrée vous-même et confirmer l'absence de porte dérobée, vous pouvez gérer cela en interne.
Mais dans les situations suivantes, faire appel à une équipe professionnelle sera plus efficace :
- Piratage à répétition, impossible de trouver l'entrée par vous-même ;
- Le site implique des données utilisateurs, des commandes, des paiements, et vous craignez une fuite de données ;
- Vous préparez une refonte de site ou un développement de mini-programme et souhaitez effectuer un test de sécurité avant la mise en ligne ;
- Le système de gestion a des permissions complexes et vous souhaitez vérifier les élévations de privilèges et les failles logiques.
MIC Studio réalise du développement web, du développement de mini-programmes, du développement d'App et du développement de scripts, ainsi que des tests de sécurité web et des tests inversés. Notre approche consiste généralement à localiser d'abord le problème, puis à fournir des recommandations de traitement, sans vous demander de refaire tout le site dès le départ.
Conclusion : trois actions à faire immédiatement
1. Sauvegardez dès aujourd'hui : conservez une copie des fichiers du site, de la base de données et des logs dans des emplacements différents.
2. Vérifiez les répertoires d'upload et l'accès à l'administration : assurez-vous que le répertoire d'upload ne peut pas exécuter de scripts et que l'administration n'a pas de mots de passe faibles par défaut.
3. Planifiez un test de sécurité : surtout pour les sites d'entreprise récemment refondus ou mis en ligne, n'attendez pas qu'un incident survienne pour agir.
Un site piraté n'est pas effrayant en soi ; ce qui est effrayant, c'est de ne pas savoir où se trouve l'entrée et de ne pas savoir si cela reviendra après traitement. Bien ordonner les étapes est bien plus utile que de se précipiter pour supprimer des pages.