Désactivation de certains plugins

[JM]

Pour tenter de résoudre un problème que je n'arrive pas à expliquer, je désactive aujourd'hui un certain nombre de plugins qui pourraient peut-être en être la cause.

Le problème:
Depuis le 20 mai exactement, le taux de rebond est subitement passé de 10% (très bon) à 75% environ (mauvais) ce qui créé une perte énorme de trafic. Or je n'ai pas fait de modification majeure à cette date sur le site (à part l'ajout de plusieurs articles, mais je doute que les netsuke aient effrayé tant que ça les visiteurs)
Le plus curieux est que ce bond s'est produit en 1 coup et pour tous les types d'accès (moteurs de recherche ou accès directs ou encore liens référents).

Plusieurs pistes déjà explorées:
- code G analytics qui ne serait pas présent partout (vérifié)
- mauvais code dans un .htaccess qui provoquerait une redirection (vérifié)
- piratage (exploit de redirection qui a déjà sévit ailleurs). En cours de vérification...
- exploration des logs...
- plugin vérolé (d'où la désactivation aujourd'hui)

La désactivation des plugins ne devrait pas procurer de gêne, sauf pour ceux qui utilisent Tapatalk que je désactive aussi pour voir...

[skydiver]

Merci pour ces précisions et bon courage pour la résolution du problème.
Encore un coup des Chinois ça...

[JM]

Encore un coup des Chinois ça..

Tu ne crois pas si bien dire... mais faut pas se fier aux apparences!
Beaucoup d'IPs chinoises qui essaient de pirater le serveur. (en plus en ciblant particulièrement ce site vu les noms d'utilisateurs testés en ssh - toujours les mêmes).
La tentative semble venir de la même personne qui essaye systématiquement les mêmes logins avec des IPs différentes (pas forcément chinoises).
C'est du brute force de password qui peut durer longtemps...

[Akeru]

La tentative semble venir de la même personne qui essaye systématiquement les mêmes logins avec des IPs différentes (pas forcément chinoises). C'est du brute force de password qui peut durer longtemps...

Ou du même script ayant pénétré avec succès d'autres systèmes, un classique malheureusement. Si tu ne fais pas déjà tourner fail2ban, je te conseillerais de le faire, ça peut t'éviter de drôles de surprises.

[JM]

Sur ce serveur je n'utilise pas failtoban mais un autre firewall qui bloque les IPs des tentatives infructueuses et m'envoie des logs détaillés à chaque fois par mail.
Mieux vaut ne pas donner trop de détail là-dessus...

[skydiver]

Trouve le pirate chinois et donne son adresse sur le site...Il est mort koi!

[Akeru]

Mieux vaut ne pas donner trop de détail là-dessus...

En effet, bon courage pour le problème initial.

[JM]

Mauvaise nouvelle!

J'ai reçu un mail d'OVH me signalant une activité anormale sur le serveur liée à un trojan (cheval de troie) nommé Ebury.
En faisant quelques vérifs sur le serveur, j'ai trouvé que les modifications ont été faite le 20 mai à 8h11'34"... comme par hasard c'est justement le jour ou le taux de rebond est monté à 80%.
Je ne sais pas si OVH va me couper le serveur mais de toute façon il va falloir tout ré-installer (serveur, cpanel, les sites, les bdd, etc...) car les mots de passe FTP de tous les sites ont probablement été piraté aussi.

Un énorme boulot en perspective même si tout est déjà sauvegardé, alors s'il n'y a plus de site pendant quelques temps, ne vous étonnez pas!
C'est valable pour tous les sites hébergés ici (karatejapon , info-sumo , lebujutsu, etc...)
Je ferai peut-être ça demain.

[KoYuBi]

Un énorme boulot en perspective même si tout est déjà sauvegardé, alors s'il n'y a plus de site pendant quelques temps, ne vous étonnez pas!
C'est valable pour tous les sites hébergés ici (karatejapon , info-sumo , lebujutsu, etc...)
Je ferai peut-être ça demain.

Ah lala! Bon courage. S'il y a quelque chose à faire qui pourrait t'aider, n'hésite pas.

[Gnurou]

Mmm et ça arrive pile au moment où OVH découvrent qu'ils ont eux-mêmes été piratés... Étrange coïncidence non?