a-prods Posted August 24, 2011 Share Posted August 24, 2011 A quand un prestashop Lite sans toutes "ces c........." Revenir aux sources de l open source et arrêter le matraquage commercial ( que se soit dans la solution même ou dans les mails newsletter ou autre)! V++ Atch je suis bien d'accord, le fait de distribuer un solution gratuite n'autorise pas a récolter des infos sur ceux qui l'utilisent et encore moins laisser la possibilité de modification a distance. Open source ne laisse pas la porte ouverte au bon vouloir des développeur. PS: Atch fais gaffe, a mon souvenir, la dernière fois qu'un modo a pris parti ça c'est mal terminé ... 4 Link to comment Share on other sites More sharing options...
pasko Posted August 24, 2011 Share Posted August 24, 2011 Bonjour, Ma boutique à été touchée. J'ai suivis les instructions et utilisé le fix herfix.php, cela semble ok. Un client m'a indiqué que des fichiers que j'offre en téléchargement sont infectés de Trojan, doit t'on remplacer les fichiers téléchargeables? Merci à la communauté et l'équipe Prestashop. Cordialement 1 Link to comment Share on other sites More sharing options...
Oron Posted August 24, 2011 Share Posted August 24, 2011 (edited) Ci-join copie d'écran sur la page d'accueil de cette alerte de awast et malwarebytes. Prestasimo Il est préférable de les changer. Déjà pour la satisfaction du client. Edited August 24, 2011 by Oron (see edit history) Link to comment Share on other sites More sharing options...
jeckyl Posted August 24, 2011 Share Posted August 24, 2011 Quelle violence dans tous ces propos ! Vous vous dites tous commerçants, vous parlez de perte de chiffre et autres clients et vous reprochez aux membres de la Team de vous offrir un produit gratuit qui devrait être parfait et qui ne l'est pas encore! L’équipe de Prestashop "impose" une pub dans le BO (mais n'importe qui peut facilement supprimer quelques lignes dans le fichier ajax.php du répertoire admin pour ne plus se sentir sous le réseau Echelon...) pour elle aussi vivre de son produit. Elle ne vous impose pas un bandeau publicitaire sur votre page d'accueil comme le font certains prestataires gratuits que je sache. Je trouve déplorable de voir qu'une poignée de créateurs qui ONT RAISON d'être fier d'avoir permis la création de + de 80 000 boutiques GRATUITEMENT se voient critiqués pour un problème de faille sécuritaire (pas évident à trouver par ailleurs). Je suis dans une entreprise où travaillent en permanence une équipe de surveillance informatique pour tracker et contrer toutes les attaques, virus et autres trojans et je vous assure que ce n'est pas gratuit ni reposant! C'est en continuant ce genre de posts ni constructifs, ni encourageants que vous arriverez à faire disparaitre l'Open Source. Pourquoi continuer à se fatiguer pour des commerçants qui exigent de pouvoir gagner de l'argent avec un produit qu'il n'ont pas payé et qui ne supportent pas la moindre erreur ? Je reste admiratif devant le travail de la Team, sa rapidité à gérer le problème et ses nouvelles versions toujours plus innovantes. Mesdames et Messieurs de la PrestaTeam : MERCI Eolia Bonjour, le sujet est malheureusement un peut plus complexe que cela. Bien entendu que Prestashop doit réussir à vivre de son produit et nous n’allons pas remettre cela en cause loin de là le propos général. Ici, ce qui peut être reprocher c'est que l'arrivée de la 1.4 a apporté tout un lot de pub, traker, backdoor, stats qui, cela devient une évidence, ne peuvent être bénéfique à l'utilisateur puisque cela génère plusieurs choses comme de la bande passante utilisée pour de la pub, des données personnelles transmise à une entreprise tierce sans informations préalable, et bien d'autres choses puisque l'on constate qu'ils pouvaient, si il le désiraient envoyer des fichiers directement sur les boutiques. Après il y a aussi un ressenti de la communauté sur le fait que la communication sur ce problème arrive tardivement, car un premier mail aurait pu permettre de mettre au courant en précisant qu'une solution allait être proposée par la team rapidement, suivi du second mai avec la solution. Après il y a les relation des prestataires développeurs de module avec le store. Car ceux ci ont l'interdiction formel de mettre en place le moindre contrôle d'installation ou d'utilisation des modules sans action des acheteur, ainsi Prestashop fait ce qu'il interdit aux autre en justifiant cela comme une contrainte sécuritaire et nous sommes d'accord sur ce point. Prestashop n'est plus une gentille société avec des petits gars dans un garage voulant se faire connaitre en faisant de l'open source. Prestashop est une belle SA avec des partenaires financiers et un avenir prometteur et nous encourageons tous cela en participant, critiquant, corrigeant, améliorant l'outil chacun à notre niveau. Et je ne crois pas que l'intervention de quelque membres déçus et angoissés pourra faire chavirer la barque. 1 Link to comment Share on other sites More sharing options...
Benoit62200 Posted August 24, 2011 Share Posted August 24, 2011 Quelle violence dans tous ces propos ! Vous vous dites tous commerçants, vous parlez de perte de chiffre et autres clients et vous reprochez aux membres de la Team de vous offrir un produit gratuit qui devrait être parfait et qui ne l'est pas encore! Je pense que tu n'as pas lu l'ensemble des postes.. ce qui pose problème c'est la facilité d'accès par Prestashop a des données qui sont confidentielles.. Il n'est pas question du travail remarquable qui a certainement permis a beaucoup d'entreprise d'avoir une présence sur la toile à moindre frais.. mais de déontologie et de confiance 2 Link to comment Share on other sites More sharing options...
a-prods Posted August 24, 2011 Share Posted August 24, 2011 Quelle violence dans tous ces propos ! Vous vous dites tous commerçants, vous parlez de perte de chiffre et autres clients et vous reprochez aux membres de la Team de vous offrir un produit gratuit qui devrait être parfait et qui ne l'est pas encore! L’équipe de Prestashop "impose" une pub dans le BO (mais n'importe qui peut facilement supprimer quelques lignes dans le fichier ajax.php du répertoire admin pour ne plus se sentir sous le réseau Echelon...) pour elle aussi vivre de son produit. Elle ne vous impose pas un bandeau publicitaire sur votre page d'accueil comme le font certains prestataires gratuits que je sache. Je trouve déplorable de voir qu'une poignée de créateurs qui ONT RAISON d'être fier d'avoir permis la création de + de 80 000 boutiques GRATUITEMENT se voient critiqués pour un problème de faille sécuritaire (pas évident à trouver par ailleurs). Je suis dans une entreprise où travaillent en permanence une équipe de surveillance informatique pour tracker et contrer toutes les attaques, virus et autres trojans et je vous assure que ce n'est pas gratuit ni reposant! C'est en continuant ce genre de posts ni constructifs, ni encourageants que vous arriverez à faire disparaitre l'Open Source. Pourquoi continuer à se fatiguer pour des commerçants qui exigent de pouvoir gagner de l'argent avec un produit qu'il n'ont pas payé et qui ne supportent pas la moindre erreur ? Je reste admiratif devant le travail de la Team, sa rapidité à gérer le problème et ses nouvelles versions toujours plus innovantes. Mesdames et Messieurs de la PrestaTeam : MERCI Eolia Il faut bien faire la différence entre la solution proposée qui en réjoui plus d'un (moi le premier) et j'en remercie prestashop et le fait que cette solution récupère des infos confidentielles. Mais la on parle d'autre chose, on parle du fait que une personne / société / organisation se permette de récolter des infos sans le consentement de l’intéressé ni même le prévenir. En plus ça donne accès à la modification. Erreur j'en concoi, et toute erreur est humaine, mais ca ne serait pas arrivé si il n'y avait ces interactions consente entre PS et les boutiques. Il faut arrêter cela et vite. Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 24, 2011 Share Posted August 24, 2011 La question s'était déjà posée avec la 1.2.x qui avait instauré la vérification de la version installée et qui proposait, le cas échéant, une mise à jour. Le tout accompagné d'infos sur les mises à jour. Une polémique avait vu le jour, autour de la demande faite par des utilisateurs de pouvoir désactiver les fonctions de track incluses dans la solution. Ma 1.2.4 précédente avait été totalement nettoyée de tous les appels. J'ai fait l'erreur de penser que la team PS avait pris conscience du problème et porté une attention toute particulière à ce problème et je n'ai pas entamé ce travail sur la 1.4.3. Malheureusement mon optimisme a été mal placé. Et même si mon serveur n'est pas touché, je vais lister dès demain tous les appels vers des urls externes depuis le FO et le BO via un pare-feu afin d'isoler les scripts touchés et les nettoyer. Je persiste à demander une possibilité de désactivation de TOUTES les fonctions faisant des appels vers des scripts externes au serveur, par nature impossibles à contrôler. C'est un soucis MAJEUR de la solution à l'heure actuelle et le fait de ne pas vouloir communiquer "pour éviter de donner des idées" en dit long sur la situation de vulnérabilité découlant de ces appels. Link to comment Share on other sites More sharing options...
Benoit62200 Posted August 24, 2011 Share Posted August 24, 2011 Désolé du doublon Jeckyl a tres bien expliqué la chose.. Link to comment Share on other sites More sharing options...
le-lutin31 Posted August 24, 2011 Share Posted August 24, 2011 Quelle violence dans tous ces propos ! Vous vous dites tous commerçants, vous parlez de perte de chiffre et autres clients et vous reprochez aux membres de la Team de vous offrir un produit gratuit qui devrait être parfait et qui ne l'est pas encore! L’équipe de Prestashop "impose" une pub dans le BO (mais n'importe qui peut facilement supprimer quelques lignes dans le fichier ajax.php du répertoire admin pour ne plus se sentir sous le réseau Echelon...) pour elle aussi vivre de son produit. Elle ne vous impose pas un bandeau publicitaire sur votre page d'accueil comme le font certains prestataires gratuits que je sache. Je trouve déplorable de voir qu'une poignée de créateurs qui ONT RAISON d'être fier d'avoir permis la création de + de 80 000 boutiques GRATUITEMENT se voient critiqués pour un problème de faille sécuritaire (pas évident à trouver par ailleurs). Je suis dans une entreprise où travaillent en permanence une équipe de surveillance informatique pour tracker et contrer toutes les attaques, virus et autres trojans et je vous assure que ce n'est pas gratuit ni reposant! C'est en continuant ce genre de posts ni constructifs, ni encourageants que vous arriverez à faire disparaitre l'Open Source. Pourquoi continuer à se fatiguer pour des commerçants qui exigent de pouvoir gagner de l'argent avec un produit qu'il n'ont pas payé et qui ne supportent pas la moindre erreur ? Je reste admiratif devant le travail de la Team, sa rapidité à gérer le problème et ses nouvelles versions toujours plus innovantes. Mesdames et Messieurs de la PrestaTeam : MERCI Eolia Ce n'est pas parce que c'est gratuit qu'il faut être négligeant. Les modules on les paie, des gens de la communauté mettent au point des modules ou des templates, moi la première j'ai filé des corrections de fichier et je teste les boutiques pour la Team et tout ça GRATUITEMENT aussi. Je donne de mon temps et de mes connaissances pour faire avancer les performances de ces boutiques. Ce n'est pas parce que c'est gratuit qu'il faut enfreindre les lois françaises. 1 Link to comment Share on other sites More sharing options...
a-prods Posted August 24, 2011 Share Posted August 24, 2011 Je persiste à demander une possibilité de désactivation de TOUTES les fonctions faisant des appels vers des scripts externes au serveur, par nature impossibles à contrôler. C'est un soucis MAJEUR de la solution à l'heure actuelle et le fait de ne pas vouloir communiquer "pour éviter de donner des idées" en dit long sur la situation de vulnérabilité découlant de ces appels. +100000 Link to comment Share on other sites More sharing options...
Pierre-Yves Posted August 24, 2011 Share Posted August 24, 2011 Bonsoir Pierre-Yves, sur votre Screenshot il y a en partie une chose qui m’interpelle c’est votre SafeMode qui est désactivé, je suppose aussi que votre open_basedir et autre paramètres de PHP ne sont pas personnalisé.C’est malheureusement ce que je vois très souvent sur les serveurs que j’interviens et à laquelle rien n’est sécurisé, si vous avez quelqu’un dans votre entourage qui peut personnaliser cela demandez-lui de faire un contrôle complet de votre serveur pour y installer des modules apache et autre services qui permettrons de vous protégez contre les différents attaques connu de nos jours.Pour ma par Modsecurity 2 à bien fait son travail ainsi que d’autre services web sur mes serveurs mutualisé et dédié pour mes clients ! Merci SIP-Online pour cette remarque. Je ne partage pas la même vue que vous, car pour moi, quand je vois un site en safe_mode = ON, c'est que je me dis que le gars qui gère ça à du mal à configurer un serveur LAMP . Quoiqu'il en soit, votre remarque n'est pas "bête" et il est vrai que quand on a son propre serveur il vaut mieux savoir le gérer, ou alors avec quelqu'un pour le faire. ------ Pour rebondir sur le post de Eolia, je ne critique pas la Team qui a fait et fait toujours un travail remarquable. Grâce à eux (entre autres...) je peux payer mon loyer tous les mois. Je ne les remercierai jamais assez je pense. Cependant, ils viennent de commettre une grosse erreur. Sachez à titre d'informations, que s'il le voulait (je ne dit pas qu'il l'on fait... et je ne pense pas d'ailleurs), ils auraient pu créer un fichier à votre insu sur votre site, et reprendre votre base clients. Alors maintenant vous pouvez aussi comprendre que des commerçants remercient la Team mais ne leur font pas forcément entièrement confiance... Surtout au vu des dernières versions qui deviennent de plus en plus truffée de tracker et d'offre en tous sens pour le PrestaStore. ------ Mettez le fix dès que possible. Et n'oubliez pas de vérifier par vous même que les dossiers "upload" et "download" ne contiennent qu'un fichier "index.php". Car les fichiers qui sont dans ce dossier, sont très dangereux pour votre site. ------ Bonne chance pour la suite Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 24, 2011 Share Posted August 24, 2011 Quelle violence dans tous ces propos ! Vous vous dites tous commerçants, vous parlez de perte de chiffre et autres clients et vous reprochez aux membres de la Team de vous offrir un produit gratuit qui devrait être parfait et qui ne l'est pas encore! L’équipe de Prestashop "impose" une pub dans le BO (mais n'importe qui peut facilement supprimer quelques lignes dans le fichier ajax.php du répertoire admin pour ne plus se sentir sous le réseau Echelon...) pour elle aussi vivre de son produit. Elle ne vous impose pas un bandeau publicitaire sur votre page d'accueil comme le font certains prestataires gratuits que je sache. Je trouve déplorable de voir qu'une poignée de créateurs qui ONT RAISON d'être fier d'avoir permis la création de + de 80 000 boutiques GRATUITEMENT se voient critiqués pour un problème de faille sécuritaire (pas évident à trouver par ailleurs). Je suis dans une entreprise où travaillent en permanence une équipe de surveillance informatique pour tracker et contrer toutes les attaques, virus et autres trojans et je vous assure que ce n'est pas gratuit ni reposant! C'est en continuant ce genre de posts ni constructifs, ni encourageants que vous arriverez à faire disparaitre l'Open Source. Pourquoi continuer à se fatiguer pour des commerçants qui exigent de pouvoir gagner de l'argent avec un produit qu'il n'ont pas payé et qui ne supportent pas la moindre erreur ? Je reste admiratif devant le travail de la Team, sa rapidité à gérer le problème et ses nouvelles versions toujours plus innovantes. Mesdames et Messieurs de la PrestaTeam : MERCI Eolia Tout mélanger n'aide jamais à rien ! Personne n'a obligé les dirigeants de PS de lancer une offre e-commerce gratuite. C'est leur choix. Et manifestement, vu le développement depuis 2 ans, ce choix est pérenne et rentable. Donc la rhétorique sur le thème "ils sont gentils, ils nous donnent des trucs gratuits, faut rien leur dire" n'a aucune raison d'être. Et ça ne les exonère en aucun cas de 1/respecter les lois sur la protection des données 2/travailler autant à la stabilisation de l'actuel qu'au développement et 3/respecter leurs "clients", quel que soit le prix que ces derniers payent pour faire marcher la solution. J'aime beaucoup ce CMS et je suis ravi qu'il existe dans ce mode de distribution. Ca ne m'empêche en aucun cas de penser et dire que des choses sont justes inacceptables. Link to comment Share on other sites More sharing options...
Eolia Posted August 24, 2011 Share Posted August 24, 2011 Si j'ai bien compris l'infection est arrivée par le site de Prestashop qui s'est lui-même fait attaquer. Le problème n°1 vient donc de là et on est effectivement en droit de leur demander de revoir leur propre sécurité car il existe une faille ouverte. J'ai du mal par contre à croire que Prestashop veuille modifier vos fichiers ou lire vos données personnelles, ce serait suicidaire de leur part. Je pense qu'il est important pour eux d'être en lien avec leurs utilisateurs. Le questionnaire (facultatif) à l'inscription sert en premier lieu de statistiques. L'idée du flux RSS dans le BO est un autre moyen d'entretenir ce lien. Sa mise en oeuvre est certainement à revoir, la possibilité de le désactiver est importante mais je trouve les suspicions décrites plus haut de très mauvais gout.. Après il y a aussi un ressenti de la communauté sur le fait que la communication sur ce problème arrive tardivement, car un premier mail aurait pu permettre de mettre au courant en précisant qu'une solution allait être proposée par la team rapidement, suivi du second mai avec la solution. J'aimerais bien vous voir devant un tel problème: Vous recevez un mail toutes les 2 min concernant cette attaque. J'imagine que les lignes de code on été épluchées, analysées dans les plus befs délais. Il fallait d'abord determiner l'origine du problème, le cerner, le bloquer, et proposer un correctif. Bonjour,Notre équipe est en train de se pencher sur le problème. Nous vous tiendrons au courant dès que possible. Merci pour ce retour. Ce mail a été envoyé en deuxième post sur ce forum et le correctif a suivi. Je ne comprends pas ce reproche. 1 Link to comment Share on other sites More sharing options...
a-prods Posted August 24, 2011 Share Posted August 24, 2011 Après tout les post et les sujet qui traite de ce problème: Pourquoi la team ne c'est pas prononcée? Quelle est son point de vu? Est ce qu'elle attend que ce fil meurt comme les autres? Est ce qu'elle attent une autre faille, un autre hacker? Link to comment Share on other sites More sharing options...
a-prods Posted August 24, 2011 Share Posted August 24, 2011 J'ai du mal par contre à croire que Prestashop veuille modifier vos fichiers ou lire vos données personnelles, ce serait suicidaire de leur part. Personne n'a dit que Prestashop le faisait, mais le fait est que c'est possible, par eux ou par quelqu'un d'autre qui aurait profité de l'autoroute laisser derrière. La est tout le problème!!! Link to comment Share on other sites More sharing options...
phoneaccessoire Posted August 24, 2011 Share Posted August 24, 2011 Bonjour, Désolé d'interrompre votre débat... Ma boutique ne semble pas être touchée. Dois-je tout de même effectuer la procédure ? Ou alors il n'y a plus le risque qu'elle soit affecté par ce problème. Cordialement, Link to comment Share on other sites More sharing options...
jeckyl Posted August 24, 2011 Share Posted August 24, 2011 Si j'ai bien compris l'infection est arrivée par le site de Prestashop qui s'est lui-même fait attaquer. Le problème n°1 vient donc de là et on est effectivement en droit de leur demander de revoir leur propre sécurité car il existe une faille ouverte. J'ai du mal par contre à croire que Prestashop veuille modifier vos fichiers ou lire vos données personnelles, ce serait suicidaire de leur part. Je pense qu'il est important pour eux d'être en lien avec leurs utilisateurs. Le questionnaire (facultatif) à l'inscription sert en premier lieu de statistiques. L'idée du flux RSS dans le BO est un autre moyen d'entretenir ce lien. Sa mise en oeuvre est certainement à revoir, la possibilité de le désactiver est importante mais je trouve les suspicions décrites plus haut de très mauvais gout.. Après il y a aussi un ressenti de la communauté sur le fait que la communication sur ce problème arrive tardivement, car un premier mail aurait pu permettre de mettre au courant en précisant qu'une solution allait être proposée par la team rapidement, suivi du second mai avec la solution. J'aimerais bien vous voir devant un tel problème: Vous recevez un mail toutes les 2 min concernant cette attaque. J'imagine que les lignes de code on été épluchées, analysées dans les plus befs délais. Il fallait d'abord determiner l'origine du problème, le cerner, le bloquer, et proposer un correctif. Bonjour,Notre équipe est en train de se pencher sur le problème. Nous vous tiendrons au courant dès que possible. Merci pour ce retour. Ce mail a été envoyé en deuxième post sur ce forum et le correctif a suivi. Je ne comprends pas ce reproche. Vous pensez vraiment que ce post a été lu par beaucoup de monde ? (2800 fois pour une communquté de 80 000 boutiques et 250 000 membres) comment les gens peuvent savoir si on ne leur dit pas ? Il arrivent bien à envoyer régulièrement des newseltter pour venter le mérite d'un produit qu'on utilise déjà tous donc il peuvent aussi faire l'effort de communiquer convenablement lorsque une erreur survient. Et franhement la remarqiue de me demander ce que je ferais si j’étais dans cette situation et bien mal à propos sachant que vous ne me connaissez pas et que je peux tout à fait avoir déjà connu ce genre de situation ou bien pire. Et c'est toujours pareil, si personne ne dit ce qui ne va pas cela n'évolue pas, j'estime assez participer à l'essor de Prestashop pour pouvoir me permettre certaines remarques et je vous rassure je tien le même discours devant la team ou ses dirigeant lorsque je les rencontre et beaucoup de monde peut en témoigner même si mes propos dérangent ils sont francs et honnêtes. Prestashop est un superbe outil mais ce n'est pas pour cela que nous devons toujours être d'accord sur tous les choix fait concernant l'outil et sa politique. Si les dirigeants de Prestashop ne souhaitent pas avoir ce genre de remontée il suffi juste de ne plus le proposer en open source. Link to comment Share on other sites More sharing options...
jeckyl Posted August 24, 2011 Share Posted August 24, 2011 Bonjour, Désolé d'interrompre votre débat... Ma boutique ne semble pas être touchée. Dois-je tout de même effectuer la procédure ? Ou alors il n'y a plus le risque qu'elle soit affecté par ce problème. Cordialement, Bonjour, Il est préférable de mettre en place ce fix. Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 24, 2011 Share Posted August 24, 2011 J'ai du mal par contre à croire que Prestashop veuille modifier vos fichiers ou lire vos données personnelles, ce serait suicidaire de leur part. a question n'est pas qu'ils veuillent le faire ou le fassent, mais qu'ils se sont donnés les moyens de le faire, dans le code, à l'insu des utilisateurs. C'est, au minimum, un manque d'éthique. Link to comment Share on other sites More sharing options...
a-prods Posted August 24, 2011 Share Posted August 24, 2011 Bonjour, Désolé d'interrompre votre débat... Ma boutique ne semble pas être touchée. Dois-je tout de même effectuer la procédure ? Ou alors il n'y a plus le risque qu'elle soit affecté par ce problème. Cordialement, Ca a ete dit sur le post qui en parle ici Hello Patrick, Le fix doit être appliqué sur toutes les versions 1.4. Link to comment Share on other sites More sharing options...
a-prods Posted August 24, 2011 Share Posted August 24, 2011 Vive les doublons.... C'est a celui qui tape le plus vite, je connais des claviers qui vont casser :lol: Link to comment Share on other sites More sharing options...
Oron Posted August 24, 2011 Share Posted August 24, 2011 J'ai lu le fichier ajax.php avec tous les liens vers prestashop addons,, d'où ma question pour désactiver ces lien, vu que d'une perso ça m'intéresse pas, d'avoir 1° la video sur la page adminstration, je l'ai vu une fois cela me suffit 2° le lien vers les thèmes je vais pas en changer souvent donc ça me sert a rien 3° le lien vers les modules pareil comme pour les thèmes, je vais pas acheter + que j'ai besoin 4° le lien vers paypal j'en veux plus non plus, de toute façon je ne vais plus utilisé paypal. Je peux essayer en bidouillant,, mais si des explications seraient appréciables sur ce qu'il faut enlever ou mettre en commentaire les lignes avec les liens. Merci Link to comment Share on other sites More sharing options...
Eolia Posted August 24, 2011 Share Posted August 24, 2011 comment les gens peuvent savoir si on ne leur dit pas ? Il arrivent bien à envoyer régulièrement des newseltter pour venter le mérite d'un produit qu'on utilise déjà tous donc il peuvent aussi faire l'effort de communiquer convenablement lorsque une erreur survient. Et franhement la remarqiue de me demander ce que je ferais si j’étais dans cette situation et bien mal à propos sachant que vous ne me connaissez pas et que je peux tout à fait avoir déjà connu ce genre de situation ou bien pire. Et c'est toujours pareil, si personne ne dit ce qui ne va pas cela n'évolue pas, j'estime assez participer à l'essor de Prestashop pour pouvoir me permettre certaines remarques et je vous rassure je tien le même discours devant la team ou ses dirigeant lorsque je les rencontre et beaucoup de monde peut en témoigner même si mes propos dérangent ils sont francs et honnêtes. Pour info je suis arrivé sur ce post par l'intermediaire de leur newsletter et j'ai également une info sur le flux du BO. La communication existe donc. Pour le problème du flux imposé je pense qu'il serait bon qu'ils proposent un sondage à ce sujet, une fois leur sécurité assurée. Link to comment Share on other sites More sharing options...
Benoit62200 Posted August 24, 2011 Share Posted August 24, 2011 Si j'achete un DVD.. je l'emmène à la maison.. est-ce que le producteur à le droit de s'inviter dans mon salon ? Il est propriétaire de son oeuvre.. pas de mon salon..ni du DVD Ce qui est reproché ici.. c'est qu'on puisse visionner le dvd en mon absence sans que je n'en sache rien.. L'opération porte ouverte sur mon serveur n'est pas qq chose que j'avais envisagé. Je n'en ai jamais été averti.. Link to comment Share on other sites More sharing options...
a-prods Posted August 24, 2011 Share Posted August 24, 2011 Pour le problème du flux imposé je pense qu'il serait bon qu'ils proposent un sondage à ce sujet, une fois leur sécurité assurée. C'est pourtant pas ce qui manque les posts qui disent que ça dérange. Pas besoin de sondage. Et comme je l'ai dit avant, ça n'a pas l'air d’intéresser la team car elle ne se prononce pas sur le sujet, ni ici ni ailleurs. Link to comment Share on other sites More sharing options...
jeckyl Posted August 24, 2011 Share Posted August 24, 2011 Pour info je suis arrivé sur ce post par l'intermediaire de leur newsletter et j'ai également une info sur le flux du BO. La communication existe donc. Pour le problème du flux imposé je pense qu'il serait bon qu'ils proposent un sondage à ce sujet, une fois leur sécurité assurée. Bon on va couper court à tout débat Prestashop etst fabuleux et ils communiquent de façon irréprochable car j'ai vraiemen l'impression que cela t'énerve. Sinon pour le sondage on ne va pas s'amuser à recherche le topic d'il y a 2 ou 3 ans qui abordait le même sujet comme le précise un post précédent dans ce topic. Et comme tout le monde le précise, le problème n'est pas tellement la pub ou autre, mais la façon de faire. Link to comment Share on other sites More sharing options...
le-lutin31 Posted August 24, 2011 Share Posted August 24, 2011 À la team, merci beaucoup pour le mail d'info et pour le remède. C'est clair, vous avez communiqué et vous nous avez donné le remède, maintenant il vous faut créer le vaccin. Link to comment Share on other sites More sharing options...
Eolia Posted August 25, 2011 Share Posted August 25, 2011 J'ai lu le fichier ajax.php avec tous les liens vers prestashop addons,, d'où ma question pour désactiver ces lien, vu que d'une perso ça m'intéresse pas, d'avoir 1° la video sur la page adminstration, je l'ai vu une fois cela me suffit 2° le lien vers les thèmes je vais pas en changer souvent donc ça me sert a rien 3° le lien vers les modules pareil comme pour les thèmes, je vais pas acheter + que j'ai besoin 4° le lien vers paypal j'en veux plus non plus, de toute façon je ne vais plus utilisé paypal. Je peux essayer en bidouillant,, mais si des explications seraient appréciables sur ce qu'il faut enlever ou mettre en commentaire les lignes avec les liens. Merci Il te suffit de supprimer les adresses faisant référence à Prestashop (il y en a 11) dans ce fichier. Comme celles-ci dépendent d'un "if", si l'adresse n'existe pas aucun plugin ne sera affiché. (Prévu pour ne pas bloquer les BO si prestashop.com est down) Pour la vidéo il suffit de cocher "ne plus me remontrer" Pour la vérification de version faire la même chose dans admin/functions.php. (vers la ligne 215, une seule référence). Vous n'aurez plus de problème d'injection par le BO Link to comment Share on other sites More sharing options...
Oron Posted August 25, 2011 Share Posted August 25, 2011 Merci Eolia c'est ce que j'avais penser mais je préfère avoir une confirmation de quelqu'un plus compétent que moi Link to comment Share on other sites More sharing options...
Fusco Posted August 25, 2011 Share Posted August 25, 2011 Même si je reconnais la rapidité que les devs de la Team ont eu aujourd'hui. (pas sur la com officielle) Il n'en reste pas moins que je ne souhaite pas que ce débat soit stoppé. Au risque d'agacer la Team, avec qui j'entretiens de bon rapport via Irc, 1 - je veux des réponses pour moi même 2 - En tant que prestataire, je me dois de fournir des réponses à mes clients, Notamment sur ce qui s'est produit, pourquoi, comment et est ce que demain c'est de nouveau faisable. Et pourquoi donc PS a accès aux boutiques de la sorte. Et je trouve normal, voir même obligatoire que des réponses soit fournis au vue de l'impact que ce sujet a. Sinon, comme dirait un client, j'ai le cul entre 2 chaises. Et croyez moi, je ne resterais pas longtemps assis comme ça, et si il faut changer de crèmerie, je le ferais. J'ose croire, que mes clients ecommerce ne sont pas avec moi, pour PS, mais pour ce que je leur apporte. (sinon ils seraient pas là) Alors si demain, je peux leur fournir une solution tout aussi compétente en garantissant une sécurité de leurs données. Je le ferais. Et si elle est en Rails, ça m'ira encore mieux. Cordialement, Dans l'attente de réponse, bonne nuit. 1 Link to comment Share on other sites More sharing options...
Leguman Posted August 25, 2011 Share Posted August 25, 2011 J'ai beau installer le fichier et l’exécuter, j'ai bien un OK mais après visite, je continue à avoir une alerte CHEVAL de Troie d'Avast ! Que faire ? Merci pour votre aide. La fix est pour votre site pas pour votre ordinateur, il faut éradiquer le cheval différemment, mais je laisse le soin au PCistes de vous répondre. Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 25, 2011 Share Posted August 25, 2011 J'ai bien peur que ce hack n'ait fait qu'aiguiser l'appétit des hackers sur nos sites ! Pour la première fois depuis l'ouverture de la boutique, j'ai eu aujourd'hui 12 visites sur la requête "powered by prestashop" ... Link to comment Share on other sites More sharing options...
Fusco Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? On peut avoir l'url ? même en PM Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Vérifiez que les caches (smarty et système) ont bien été vidés pour que la version corrigé de footer.tpl soit prise en compte Link to comment Share on other sites More sharing options...
jeckyl Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Bonjour, vérifiez bien la correction dans le fichier footer.tpl de votre template actif. La correction est facile sur ce fichier car il faut retirer la grosse ligne de code toute bizarre en fin de fichier juste avant la balise /body Link to comment Share on other sites More sharing options...
Yoya Posted August 25, 2011 Share Posted August 25, 2011 A quand un prestashop Lite sans toutes "ces c........." Revenir aux sources de l open source et arrêter le matraquage commercial ( que se soit dans la solution même ou dans les mails newsletter ou autre)! V++ Atch je suis bien d'accord, le fait de distribuer un solution gratuite n'autorise pas a récolter des infos sur ceux qui l'utilisent et encore moins laisser la possibilité de modification a distance. Open source ne laisse pas la porte ouverte au bon vouloir des développeur. PS: Atch fais gaffe, a mon souvenir, la dernière fois qu'un modo a pris parti ça c'est mal terminé ... C'est pas faut ... On peut s'exprimer en tant que moderateur, mais pas critiquer la solution ni les choix de la team et là t'es border Atch ^^ Pour citer un ami philosophe de comptoir sans doute trop bourré ce soir là "Ces propos ne sont pas digne d'un modérateur" Enjoy. Pour finir : même si je ne suis pas pour le bazard que ça met dans les boutiques, les CA de perdu pour les commerçants, bref, que ça touche les commerçants en général qui n'y sont pour rien, je tiens à dire toute ma sympathie sur la méthode employée par ce(s) hacker(s). Ca fait des mois qu'une minorité de personnes sur ce forum demandent à PS de virer toutes les parties publicitaires et intrusions statistiques de nos Back Office. J'espere que pour vous, prestateam et direction générale plus particulierement, le jeu en valait la chandelle, car désormais, les commerçants ont compris, qu'outre la pub, c'est dangereux pour eux. Nous ne savions pas comment l'exprimer, mais ce(s) hacker(s) l'ont fait : merci à eux. Cdlt, Pierre. 1 Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, Ne devrais t'on pas envisager de créer un interrupteur qui stop l'accès à notre admin? Les news etc... de Prestashop, c'est bien, et en avoir le choix c'est mieux. Allons de l'avant. Les solutions:............. Bien cordialement Link to comment Share on other sites More sharing options...
semor Posted August 25, 2011 Share Posted August 25, 2011 Help! J'ai passé le fichier herfix.php qui me retourne l'information OK. Cependant j'ai toujours ma boutique d'infectée et j'ai également toujours le problème de déclinaisons qui ne fonctionne toujours pas! Voici l'adresse des mes deux boutiques sur lesquelles je rencontre des soucis: http://www.hautefidelite-promo.com http://www.opus4.fr Sur les deux boutique j'ai le même soucis, je n'ai pas encore passé le patch sur la seconde boutique mais je crains que le soucis soit le même. J'ai également sur le premier site, supprimé la ligne de code dans le footer.tpl de mon template mais rien n'y change. J'utilise également un module vente flash de prestashop, ce dernier ne fonctionne plus non plus. Edit: je viens d'effectuer les mêmes manip sur le second site, les résultats sont identiques, la boutique est toujours infectée, les déclinaisons ne fonctionnent pas, le zoom sur image ne fonctionne pas non plus sur les 2 sites, qui utilisent 2 templates différents. Comment faire pour régler tout ça? je ne peux pas me permettre de perdre de l'argent comme ça. Link to comment Share on other sites More sharing options...
ShowYou Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, ET+1000000000000 Site en cours de finalisation donc pas en prod sur serveur mutualisé.... Toutes les modifications après 14h30 ont été effacés, plus de catégories dans le catalogue........ Je n'ai pas trouvé le fichier her.php J'ai appliqué le correctif ce matin mais du coup, je ne sais plus quoi faire ??? Faut-il réinstallé les fichiers d'origine ???? --> je viens de le faire et je ne vois toujours pas mes catégories dans le catalogue alors qu'elles sont présentes dans ma base de données???? Sous IE8 le site part complètement en vrille alors que pas du tout avec Chrome ou Firefox... C'est trop bizarre tout ça Link to comment Share on other sites More sharing options...
strapper Posted August 25, 2011 Share Posted August 25, 2011 bonjour, concernant la légalité de ces "trackings" : en-dehors de tout aspect éthique, un aspect qui n'a pas encore été cité ici : l'aspect purement légal, puisqu'à priori tous ceux qui ont répondu sur ce post sont en france. il est à rappeler que la publicité et le tracking -non sollicités-, càd où l'utilisateur (ici, celui qui installe la solution prestashop sur un serveur ou bien son poste local) n'a pas cliqué sur une case "j'accepte" de façon volontaire, est strictement interdite par la loi française et la commission nationale informatique et liberté. j'attire votre attention sur le fait que ceci est hors-la-loi française et que si quelqu'un vient signaler ceci à la CNIL, la société prestashop risque fort de se retrouver avec une grosse amende : étant une société de droit français, elle a pour obligation de respecter la loi française : ce n'est pas le cas ici. tout système de tracking à l'installation ou à l'utilisation (administration ou boutique), toute publicité doit -d'abord- être signifiée visuellement et validée par l'utilisateur (celui qui installe, puis celui qui utilise la solution prestashop). pas d'alternative ici : c'est la loi. ce qui signifie que toutes les versions précédemment installées ne sont pas en conformité avec la législation française, et que tout intégrateur ou vendeur qui le voudrait (sachant toutes les boutiques 1.4.0.17, 1.4.1, ... qui seront encore longtemps sur le web) pourrait aller chercher des renseignements auprès de la CNIL sans que quiconque, y compris la société prestashop, soit au courant auparavant. je recommanderais que la prochaine version inclue un "fix" concernant ce choix volontaire (comme le veut la loi actuelle, par "l'opt-in") et une communication concernant ce choix volontaire, à deux niveaux : - pour les informations envoyées à l'installation; - pour les informations envoyées et reçues dans l'administration (fil rss, trackings, ...) je rappelle que même microsoft pour ce genre de chose dans windows a du légalement mettre un "opt-in" pour les retours de plantages en indiquant les informations qui transitent vers leur société visuellement, et un choix "oui/non". ceci dit, merci à la société prestashop pour cette superbe solution d'e-commerce faites attention les gars svp Link to comment Share on other sites More sharing options...
jeckyl Posted August 25, 2011 Share Posted August 25, 2011 Help! J'ai passé le fichier herfix.php qui me retourne l'information OK. Cependant j'ai toujours ma boutique d'infectée et j'ai également toujours le problème de déclinaisons qui ne fonctionne toujours pas! Voici l'adresse des mes deux boutiques sur lesquelles je rencontre des soucis: http://www.hautefidelite-promo.com http://www.opus4.fr Sur les deux boutique j'ai le même soucis, je n'ai pas encore passé le patch sur la seconde boutique mais je crains que le soucis soit le même. J'ai également sur le premier site, supprimé la ligne de code dans le footer.tpl de mon template mais rien n'y change. J'utilise également un module vente flash de prestashop, ce dernier ne fonctionne plus non plus. Edit: je viens d'effectuer les mêmes manip sur le second site, les résultats sont identiques, la boutique est toujours infectée, les déclinaisons ne fonctionnent pas, le zoom sur image ne fonctionne pas non plus sur les 2 sites, qui utilisent 2 templates différents. Comment faire pour régler tout ça? je ne peux pas me permettre de perdre de l'argent comme ça. Bonjour, avez vous vider le cache Prestashop ? Videz les fichiers du rep tools/smarty/compile/ 1 Link to comment Share on other sites More sharing options...
Oron Posted August 25, 2011 Share Posted August 25, 2011 Bonjour Pour : Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http :// clickmemc fileave com/ JS:Redirector-IY [Trj] Cheval de Troie Sur un site où il était présent j'ai viré tous le dossier /tools et remis un neuf, plus d'alerte en passant sur le site et plus rien vu avec firburg. Virez tous le dossier /tools et remettez un autre Évitez aussi de faire des liens vers ce site modifier vos postes. Link to comment Share on other sites More sharing options...
Atch Posted August 25, 2011 Share Posted August 25, 2011 LOL Yoya, Oui je ne le cache pas, j'ai toujours eu du mal avec la comm Prestashop mais là j'avoue ils ont fait correctement leur taff ( mail en moins de 24 heures). Mais il reste encore du chemin... J espère que ces faits vont modifier leur stratégie avec les prochaines versions. Perso je ne regrette pas ( plus) de ne jamais avoir migré ma boutique car je n ai jamais senti cette 1.4 avec une page modules qui met plus de 10 sec a s afficher. Puré pas cool ce genre de truc moins d un mois avant le salon du Ecommerce... Le genre de truc qui laisse des traces et qui donne des points aux concurrents. V++ Atch Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Help! J'ai passé le fichier herfix.php qui me retourne l'information OK. Cependant j'ai toujours ma boutique d'infectée et j'ai également toujours le problème de déclinaisons qui ne fonctionne toujours pas! Voici l'adresse des mes deux boutiques sur lesquelles je rencontre des soucis: http://www.hautefidelite-promo.com http://www.opus4.fr Sur les deux boutique j'ai le même soucis, je n'ai pas encore passé le patch sur la seconde boutique mais je crains que le soucis soit le même. J'ai également sur le premier site, supprimé la ligne de code dans le footer.tpl de mon template mais rien n'y change. J'utilise également un module vente flash de prestashop, ce dernier ne fonctionne plus non plus. Edit: je viens d'effectuer les mêmes manip sur le second site, les résultats sont identiques, la boutique est toujours infectée, les déclinaisons ne fonctionnent pas, le zoom sur image ne fonctionne pas non plus sur les 2 sites, qui utilisent 2 templates différents. Comment faire pour régler tout ça? je ne peux pas me permettre de perdre de l'argent comme ça. Bonjour, Voici ce que j'ai sur l'url des tes sites ! Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Help! J'ai passé le fichier herfix.php qui me retourne l'information OK. Cependant j'ai toujours ma boutique d'infectée et j'ai également toujours le problème de déclinaisons qui ne fonctionne toujours pas! Voici l'adresse des mes deux boutiques sur lesquelles je rencontre des soucis: http://www.hautefidelite-promo.com http://www.opus4.fr Sur les deux boutique j'ai le même soucis, je n'ai pas encore passé le patch sur la seconde boutique mais je crains que le soucis soit le même. J'ai également sur le premier site, supprimé la ligne de code dans le footer.tpl de mon template mais rien n'y change. J'utilise également un module vente flash de prestashop, ce dernier ne fonctionne plus non plus. Edit: je viens d'effectuer les mêmes manip sur le second site, les résultats sont identiques, la boutique est toujours infectée, les déclinaisons ne fonctionnent pas, le zoom sur image ne fonctionne pas non plus sur les 2 sites, qui utilisent 2 templates différents. Comment faire pour régler tout ça? je ne peux pas me permettre de perdre de l'argent comme ça. Bonjour, Voici ce que j'ai sur l'url des tes sites ! Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 "Avertissement : Un problème a été détecté sur cette page. www.hautefidelite-promo.com fournit du contenu provenant de bestburjobah.com, un site connu pour distribuer des logiciels malveillants. Votre ordinateur pourrait être infecté par un virus si vous consultez ce site. Google pense qu'un logiciel malveillant pourrait être installé sur votre ordinateur si vous continuez. Nous vous conseillons de ne pas continuer, même si vous avez déjà consulté ce site auparavant ou si vous avez confiance en celui-ci. Il se peut qu'il ait été piraté récemment. Réessayez demain ou utilisez un autre site. Le site bestburjobah.com a déjà été informé qu'un logiciel malveillant a été détecté sur ses pages. Pour plus d'informations concernant les problèmes rencontrés sur bestburjobah.com, consultez notre Page de diagnostic de navigation sécurisée Google." Link to comment Share on other sites More sharing options...
semor Posted August 25, 2011 Share Posted August 25, 2011 Help! J'ai passé le fichier herfix.php qui me retourne l'information OK. Cependant j'ai toujours ma boutique d'infectée et j'ai également toujours le problème de déclinaisons qui ne fonctionne toujours pas! Voici l'adresse des mes deux boutiques sur lesquelles je rencontre des soucis: http://www.hautefidelite-promo.com http://www.opus4.fr Sur les deux boutique j'ai le même soucis, je n'ai pas encore passé le patch sur la seconde boutique mais je crains que le soucis soit le même. J'ai également sur le premier site, supprimé la ligne de code dans le footer.tpl de mon template mais rien n'y change. J'utilise également un module vente flash de prestashop, ce dernier ne fonctionne plus non plus. Edit: je viens d'effectuer les mêmes manip sur le second site, les résultats sont identiques, la boutique est toujours infectée, les déclinaisons ne fonctionnent pas, le zoom sur image ne fonctionne pas non plus sur les 2 sites, qui utilisent 2 templates différents. Comment faire pour régler tout ça? je ne peux pas me permettre de perdre de l'argent comme ça. Bonjour, avez vous vider le cache Prestashop ? Videz les fichiers du rep tools/smarty/compile/ 1000 mercis, le problème venait bien de ça. Link to comment Share on other sites More sharing options...
Myshowroom Posted August 25, 2011 Share Posted August 25, 2011 bonjour, Je ne veux pas me mêler de ce qui ne me regarde pas ni commenter qui que ce soit, m^^me si certains comms me font doucement rire!! Il y eut une époque ou Windows était pourri de virus et pas grand monde n'a stoppé l'utilisation de LA Windows international corporation. Il me semble logique qu'il y est quelque semblants d'attaques sur la solution prestashop qui aujourd'hui tire son épingle du jeu face à la concurrence ( Magento de plus en plus lourd, Virtualmart pas de version pour la joomla 1.6, alors la 1.7 n'y pensons meme pas)etc.... en bref, je réitère mon soutien à Prestashop et on ne fait pas d'omelette sans casser d'oeufs!!! Link to comment Share on other sites More sharing options...
Tchupa Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, Que dois t-on faire si après application du patch (en ayant suivi les instructions a la lettre....) que le front office n'est plus accessible, seulement accés au BO? J'ai appliquer le correctif car j'ai retrouver deux fichier php autre que l'index dans le répertoire upload aussi non j'avais rien d'autre de ce qui est mentionné, par de fichier php a la racine du répertoire module, rien dans mon footer.tpl non plus. Cordialement Tchupa. Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, J'ai une boutique qui à été infectée. C'est réparé, mais, j'ai bien peur qu'il faille vider le dossier "download" et recharger les produits virtuel (ce que j'ai fait)! Un client m'a informé que des fichiers chargés sur la boutique infectée, comporte des "Trojan". Si en effet, les fichiers téléchargeables des boutiques infectées, son touchés, galère! Il faut éditer tout vos produits et recharger les fichiers... Cordialement. Link to comment Share on other sites More sharing options...
Tchupa Posted August 25, 2011 Share Posted August 25, 2011 Personne ne rencontre de soucis après avoir utilisé le correctif? Link to comment Share on other sites More sharing options...
a-prods Posted August 25, 2011 Share Posted August 25, 2011 bonjour, Je ne veux pas me mêler de ce qui ne me regarde pas ni commenter qui que ce soit, m^^me si certains comms me font doucement rire!! Il y eut une époque ou Windows était pourri de virus et pas grand monde n'a stoppé l'utilisation de LA Windows international corporation. Il me semble logique qu'il y est quelque semblants d'attaques sur la solution prestashop qui aujourd'hui tire son épingle du jeu face à la concurrence ( Magento de plus en plus lourd, Virtualmart pas de version pour la joomla 1.6, alors la 1.7 n'y pensons meme pas)etc.... en bref, je réitère mon soutien à Prestashop et on ne fait pas d'omelette sans casser d'oeufs!!! Encore une fois, le fait qu'il y ai une faille peut se comprendre, l'erreur est humaine et une solution comme celle n'est pas simple a mettre en œuvre. Nous remercions tous prestashop pour cette solution. Le problème est autre, Prestashop impose des flux et pubs, Prestashop récolte des infos sur les boutiques sans demander l'autorisation ni laisser le choix aux utilisateurs. Si comme le veux la loi et l’éthique, Prestashop avait prévenu et donne le choix, il y aurait eu moins de dégâts et moins de polémique. C'est la façon de faire que nous dénonçons ici. Link to comment Share on other sites More sharing options...
Oron Posted August 25, 2011 Share Posted August 25, 2011 Je vais me remettre en colère, j'ai un site d'un client qui a été touché mais j'ai un probleme plus important, le site n'arrive plus à se connecter à la BdD malgré que le mots de passe est juste même avec un simple mot de passe fonctionne pas! Est-ce qu'il y a d'autre fichier / dossier de toucher que les fichiers en trop dans download et upload , et que le trojan de clim... truc ? Faudra t-il réinstaller tout le site ? Qui va me payer les heures que je perds ? Je vais pas mâcher les mots ça me fait chier !! Link to comment Share on other sites More sharing options...
Atch Posted August 25, 2011 Share Posted August 25, 2011 Heu j ai pas de CGU sous la main, mais c est peut être mentionné dedans ( perso j ai du les lire une fois au début) et à chaque install vous validez ( moi compris ) pour poursuivre l install Désole j écris de mon mobile et j ai pas l option citer V++ Atch Link to comment Share on other sites More sharing options...
Nebojsa Stojanovic Posted August 25, 2011 Share Posted August 25, 2011 Bonjour à tous, Dans un premier temps je souhaite remercier chaleureusement la PrestaTeam ainsi que la Communauté qui ont su se mobiliser sur la journée d'hier afin de corriger au plus vite le problème et ce en quelques heures. j'ai pris le temps de lire chacun de vos posts, et je souhaite vous apporter le plus d'éléments possible à toutes vos interrogations. Dès que nous avons pris connaissance de la faille, nous avons commencé par chercher l'origine. Nous avons contacté plusieurs marchands qui avaient constaté le problème, ils nous ont donné accès, et parallèlement nous avons essayé de le reproduire sur plusieurs machines en interne. Plusieurs pistes s'offraient à nous :Une faille de sécurité dans le logiciel PrestaShop permettait l'injection d'un script malveillant sur les boutiques. Un trojan modifiait le script avant envoi en FTP. Un trojan récupérait les accès FTP et permettait à un autre script de modifier la solution. Une faille de sécurité dans le logiciel sur les serveurs. Et nous avons finalement réussi a découvrir le pot aux roses : la faille venait du site www.prestashop.com. Nous avons donc commencé par corriger le problème sur le .com, en bloquant l'attaque, puis nous avons scindé l'équipe en trois : Une équipe chargée d'analyser plus précisément ce que faisait le script pour évaluer les dégâts causés ; Une équipe chargée de créer le fixe, et de le tester sur plusieurs boutiques affectées ; Une autre équipe était chargée de vérifier le serveur de PrestaShop en profondeur, de verrouiller le serveur et de remonter à l'origine du hacker, afin de récupérer un maximum d'informations pour que nous puissions porter plainte. [*]Oui le site www.PrestaShop.com a été compromis, ce qui a permis à une personne malveillante d'exploiter un script du site et d'injecter de ce fait un autre script sur les boutiques distantes. [*]Cette "faille" est due au fait que nous ne vérifions pas les informations provenant de notre propre site vis-à-vis du logiciel. Ce défaut de conception est corrigé avec le patch que nous vous avons fourni hier. Ce patch corrige donc le problème en curatif et en palliatif. [*]Le logiciel est totalement sécurisé à l'heure où je vous écris, et le script malveillant a été neutralisé hier après-midi vers 13H00. [*]Les conséquences pour les boutiques affectées sont les suivantes : Le script récupérait vos accès à la base de données ainsi que votre table "Employés", et les envoyait par mail à une adresse anonyme ; c'est la raison pour laquelle nous vous avons demandé de modifier le mot de passe de votre base de données, ainsi que le mot de passe de tous vos employés dans le Back Office de votre boutique. Il ajoutait plusieurs points d'entrée ("backdoors") dans les répertoires Download et Upload, permettant de naviguer dans les répertoires de votre boutique ; ces scripts sont supprimés par le patch. Il supprimait le répertoire tools/smarty_v2 ; ce répertoire est recréé lors de l'application du patch. La conséquence directe reste, pour le moment, un arrêt temporaire de votre site, jusqu'à l'application du patch de sécurité. [*]Que faut-il faire : il faut absolument et rapidement appliquer le patch de sécurité si vous avez été affecté, car vos données restent vulnérables, si vous n'avez pas été affecté, nous vous recommandons d'appliquer le patch de sécurité en palliatif. Toute l'équipe PrestaShop reste à votre écoute et à votre disposition pour toute question complémentaire. Nous travaillons activement à vous répondre individuellement depuis hier afin de vous aider à résoudre tout problème. Bien à vous. 1 Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Je vais me remettre en colère, j'ai un site d'un client qui a été touché mais j'ai un probleme plus important, le site n'arrive plus à se connecter à la BdD malgré que le mots de passe est juste même avec un simple mot de passe fonctionne pas! Est-ce qu'il y a d'autre fichier / dossier de toucher que les fichiers en trop dans download et upload , et que le trojan de clim... truc ? Faudra t-il réinstaller tout le site ? Qui va me payer les heures que je perds ? Je vais pas mâcher les mots ça me fait chier !! Bonjour, Solutions: - Gardez la tête froide. - Suivez à la lettre les instructions du fix - Videz les fichiers cache dans le dossier "compile": prestashop/tools/smarty/compile - Avez-vous modifiez et fait correspondre les données de l'utilisateur et mot de passe d'accès à votre base de données (coté serveur) et ces même données dans le fichier prestashop/config/settings.inc.php ? Cordialement Link to comment Share on other sites More sharing options...
a-prods Posted August 25, 2011 Share Posted August 25, 2011 Heu j ai pas de CGU sous la main, mais c est peut être mentionné dedans ( perso j ai du les lire une fois au début) et à chaque install vous validez ( moi compris ) pour poursuivre l install Désole j écris de mon mobile et j ai pas l option citer V++ Atch J'ai lance un install pour voir et je vois rien sur le transfert d'information (bon, c'est vrai que c'est de l'anglais, j'ai peut etre loupe le truc ) Ci joint les CGU CGU.rtf Link to comment Share on other sites More sharing options...
jeckyl Posted August 25, 2011 Share Posted August 25, 2011 Je me demande qu'el est l;a légalité de CGU qui ne sont pas dans la langue de l'utilisateur, je me doute qu'il est impossible de traduire dans toutes les langues mais je me pose simplement la question. De plus les CGU d'une entreprise française pour un logiciel installé en français. Link to comment Share on other sites More sharing options...
Tchupa Posted August 25, 2011 Share Posted August 25, 2011 Moi je veux bien appliquer le correctif mais après gros problème il n'y a plus de front office :/ Link to comment Share on other sites More sharing options...
Asenar Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, ne confondez pas "CGU" (Conditions Générales d'Utilisation), et Licence. Logiciel Open Source = pas de CGU. Link to comment Share on other sites More sharing options...
DevNet Posted August 25, 2011 Share Posted August 25, 2011 Bonjour à tous, [...] Bien à vous. Merci beaucoup pour cette explication plus détaillée. Si je comprends bien, et pour être encore plus technique, les actualités que nos boutiques récupèrent depuis le webservice de PrestaShop.com en flux RSS, possédaient en elle-même et en dur, un contenu "vérolé". C'est un peu la même chose que si l'on acceptait l'ajout de script js en dur directement dans l'éditeur TinyMCE pour écrire les actualités. Le patch proposé, en plus du problème de contrôle que vous avez certainement corrigé sur votre webservice centralisé, permet d'assurer un contrôle supplémentaire (traitement fait par noyau de chaque boutique PrestaShop) sur le contenu "distant" récupéré depuis le back-office. Il faut savoir que ce fâcheux phénomène a touché aujourd'hui PrestaShop, mais qu'avec la multiplication des "webservices", chaque propriétaire de boutique doit être conscient des risques que cela peut comporter (dans les modules et autres scripts ajoutés). En effet, votre boutique ne se rend donc plus autonomme, mais devient une plateforme d'échange et de transit d'information. Chaque donnée échangée doit être contrôlée, tant à la source par le "serveur" qu'à destination par le "client". Encore merci pour ces précisions. 1 Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Moi je veux bien appliquer le correctif mais après gros problème il n'y a plus de front office :/ Avez-vous modifiez et fait correspondre les données de l'utilisateur et mot de passe d'accès à votre base de données (coté serveur) et ces même données dans le fichier prestashop/config/settings.inc.php ? Link to comment Share on other sites More sharing options...
Tchupa Posted August 25, 2011 Share Posted August 25, 2011 Oui , sa correspond bien sinon j'aurais pas accès a mon bo. Ayant bien sauvegarde ma boutique avant de mettre le correctif je vais tenter de tout ré uploader comme avant , de re télécharger le correctif (on ne sait jamais) et de l'appliquer a nouveau. Link to comment Share on other sites More sharing options...
Broceliande Posted August 25, 2011 Share Posted August 25, 2011 Bonjour à tous, Dans un premier temps je souhaite remercier chaleureusement la PrestaTeam ainsi que la Communauté qui ont su se mobiliser sur la journée d'hier afin de corriger au plus vite le problème et ce en quelques heures. j'ai pris le temps de lire chacun de vos posts, et je souhaite vous apporter le plus d'éléments possible à toutes vos interrogations. Dès que nous avons pris connaissance de la faille, nous avons commencé par chercher l'origine. Nous avons contacté plusieurs marchands qui avaient constaté le problème, ils nous ont donné accès, et parallèlement nous avons essayé de le reproduire sur plusieurs machines en interne. Plusieurs pistes s'offraient à nous :Une faille de sécurité dans le logiciel PrestaShop permettait l'injection d'un script malveillant sur les boutiques. Un trojan modifiait le script avant envoi en FTP. Un Trojan récupérait les accès FTP et permettait à un autre script de modifier la solution. Une faille de sécurité dans le logiciel sur les serveurs. ...... Merci Nebojsa , ça c'est de la comm ! Je voudrais tout de même dire à tous ceux qui manifestent leur 'colère' , que ce type de problème peut intervenir à tout moment dans la vie d'un site, et ce de manière différente. Comme tous les prestataires j'ai eu hier du pain sur la planche à contrôler l'ensemble des sites sur lesquels j'ai la main et je me suis réjoui d'avoir si vite l'outil palliatif à disposition. Personne n'aime ce type d'intrusion mais je le répète, cela peut arriver de n'importe ou et de n'importe quelle manière. Les logiciels Open sources sont encore plus vulnérables dans la mesure ou un hacker a tout le temps et les moyens pour décortiquer le code source à la recherche d'une porte ouverte dans laquelle il s'engouffrera illico. Pour cette raison je souligne un point qu'il ne faut pas oublier : un logiciel e-commerce open source demande à ses développeurs des efforts démultipliés en terme de sécurisation et prestashop s'en est toujours sorti avec brio. Un logiciel propriétaire est plus à l'abri de ce côté et demande moins d'efforts car un hackeur devra tatonner , et sera rapidement bloqué par des outils de sécurisation basiques. Je ne sais pas vous , mais personnellement j'imagine très bien l'effervescence et la mobilisation générale qu'il peut y avoir eu dans les locaux de la team hier et encore aujourd'hui. Le patch est sorti en quelques heures. Pensez qu'une faille apache a été identifiée ces derniers jours et que le correctif n'arrivera pas aussi vite , tout comme les systèmes non mis a jour (ce qui risque d'être le cas de nombreuses personnes) resteront vulnérables et sujets à des attaques bien pires que celle-ci. Enfin je vais citer jeckyl qui à juste titre abordait la question des modules. Demain un simple module mal codé peut ouvrir la porte à tout sur votre site, ce qui n'est pas le cas des modules natifs de Prestashop. Je trouve donc qu'il serait de la part des prestataires et des commerçant bien plus productif de ne pas contraindre la team à répondre à des attaques récurrentes et dirigées (Edit:merci yoya ce n'était pas clair et pas le fond de ma pensée) attaques gratuites réitérées par les mêmes personnes dans ce seul topic, qui ne font rien avancer , et leur laisser plus de temps pour répondre à ceux (nombreux) qui ont des difficultés à éradiquer le problème. 2 Link to comment Share on other sites More sharing options...
Asenar Posted August 25, 2011 Share Posted August 25, 2011 Tchupa, peux-tu nous appeler (voir téléphone "renseignements" en haut). Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Oui , sa correspond bien sinon j'aurais pas accès a mon bo. Ayant bien sauvegarde ma boutique avant de mettre le correctif je vais tenter de tout ré uploader comme avant , de re télécharger le correctif (on ne sait jamais) et de l'appliquer a nouveau. Si vous n'utilisiez pas le thème par défaut, basculez dessus. Si vous l'utilisiez, remplacez le. Voyons... Link to comment Share on other sites More sharing options...
Tchupa Posted August 25, 2011 Share Posted August 25, 2011 Michaël, Merci de ton intervention et de te pencher sur mon cas, mais la manipulation que je décris plus haut a tout régler, c'est a dire: J'avais bien sauvegardé ma boutique avant de faire les manipulation pour le correctif. J'ai donc ré uploader toute ma boutique avant la première application du correctif (Par contre j'avais bien supprimer les deux fichiers php que j'ai retrouvé dans mon répertoire download et upload). J'ai ensuite re télécharger le fichier correctif sur votre site prestashop J'ai a nouveau appliqué le correctif et là tout fonctionne correctement. Merci a toi d'avoir pris le temps de me répondre et de m'avoir MP. Cordialement Tchupa. Link to comment Share on other sites More sharing options...
Oron Posted August 25, 2011 Share Posted August 25, 2011 Je vais me remettre en colère, j'ai un site d'un client qui a été touché mais j'ai un probleme plus important, le site n'arrive plus à se connecter à la BdD malgré que le mots de passe est juste même avec un simple mot de passe fonctionne pas! Est-ce qu'il y a d'autre fichier / dossier de toucher que les fichiers en trop dans download et upload , et que le trojan de clim... truc ? Faudra t-il réinstaller tout le site ? Qui va me payer les heures que je perds ? Je vais pas mâcher les mots ça me fait chier !! Bonjour, Solutions: - Gardez la tête froide. - Suivez à la lettre les instructions du fix - Videz les fichiers cache dans le dossier "compile": prestashop/tools/smarty/compile - Avez-vous modifiez et fait correspondre les données de l'utilisateur et mot de passe d'accès à votre base de données (coté serveur) et ces même données dans le fichier prestashop/config/settings.inc.php ? Cordialement Prestasimo pas d'inquiétude j'ai la tête froide mais je suis quand même furieux Atch quel idée d'écrire du mobil, la tablet ce serait pas meilleur ? Link to comment Share on other sites More sharing options...
Leguman Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Vérifiez que les caches (smarty et système) ont bien été vidés pour que la version corrigé de footer.tpl soit prise en compte Et comment dois-je faire pour vider le cache smarty ? Car sur mon ordi, c'est déjà fait, j'ai vidé le cache. Link to comment Share on other sites More sharing options...
Asenar Posted August 25, 2011 Share Posted August 25, 2011 Oron, toi aussi vérifie tes messages privés ! Appelle nous sur le téléphone "renseignement" en haut Link to comment Share on other sites More sharing options...
Yoya Posted August 25, 2011 Share Posted August 25, 2011 Je trouve dons qu'il serait de la part des prestataires et des commerçant bien plus productif de ne pas contraindre la team à répondre à des attaques récurrentes et dirigées qui ne font rien avancer , et leur laisser plus de temps pour répondre à ceux (nombreux) qui ont des difficultés à éradiquer le problème. Tu sais, c'est un forum ici Broceliande, c'est fait pour s'exprimer à la base. Si les gens ont des questions, faut les laisser parler : personne ne contraind personne à y répondre, meme si c'est le principe meme de la communication. Concernant les " des attaques récurrentes et dirigées " (tu devrais essayer de peser tes mots quand meme) si des réponses avaient été apportée depuis le temps, ce debat ne reviendrait pas sur la place public aussi souvent. Pierre. 3 Link to comment Share on other sites More sharing options...
Tchupa Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Vérifiez que les caches (smarty et système) ont bien été vidés pour que la version corrigé de footer.tpl soit prise en compte Et comment dois-je faire pour vider le cache smarty ? Car sur mon ordi, c'est déjà fait, j'ai vidé le cache. Tu dois vider /tools/smarty_v2/cache et /tools/smarty_v2/compile pour ta boutique Link to comment Share on other sites More sharing options...
Broceliande Posted August 25, 2011 Share Posted August 25, 2011 Je trouve dons qu'il serait de la part des prestataires et des commerçant bien plus productif de ne pas contraindre la team à répondre à des attaques récurrentes et dirigées qui ne font rien avancer , et leur laisser plus de temps pour répondre à ceux (nombreux) qui ont des difficultés à éradiquer le problème. Tu sais, c'est un forum ici Broceliande, c'est fait pour s'exprimer à la base. Si les gens ont des questions, faut les laisser parler : personne ne contraind personne à y répondre, meme si c'est le principe meme de la communication. Concernant les " des attaques récurrentes et dirigées " (tu devrais essayer de peser tes mots quand meme) si des réponses avaient été apportée depuis le temps, ce debat ne reviendrait pas sur la place public aussi souvent. Pierre. Je m'incline sur le choix des mots et sur la liberté d'expression. N'en prends pas l'habitude non plus hein "Les attaques récurrentes et dirigéés" est un mauvais choix , je faisais allusion uniquement aux posts répétés de certaines personnes dans ce seul topic qui vont tous dans le même sens , et obligent à des réponses au détriment de ceux qui ont de vraies question. Tiens d'ailleurs je vais m'éditer. (ou mediter tiens chais pas ) Link to comment Share on other sites More sharing options...
Leguman Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Vérifiez que les caches (smarty et système) ont bien été vidés pour que la version corrigé de footer.tpl soit prise en compte Et comment dois-je faire pour vider le cache smarty ? Car sur mon ordi, c'est déjà fait, j'ai vidé le cache. Tu dois vider /tools/smarty_v2/cache et /tools/smarty_v2/compile pour ta boutique Merci ! Link to comment Share on other sites More sharing options...
Eolia Posted August 25, 2011 Share Posted August 25, 2011 Bonjour à tous, .... Et nous avons finalement réussi a découvrir le pot aux roses : la faille venait du site www.prestashop.com.... Bien à vous. je vois que le "poteau rose" a été retaillé .... Mais je trouvais l'expression amusante bien qu'elle fasse penser à autre chose ! Longue vie à Prestashop et merci d'ouvrir un débat constructif sur les liens "cachés" qui nous lient à vous. Eolia Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Vérifiez que les caches (smarty et système) ont bien été vidés pour que la version corrigé de footer.tpl soit prise en compte Et comment dois-je faire pour vider le cache smarty ? Car sur mon ordi, c'est déjà fait, j'ai vidé le cache. Tu dois vider /tools/smarty_v2/cache et /tools/smarty_v2/compile pour ta boutique Désolé Tchupa, ce n'est pas ça! C'est: prestashop/tools/smarty/compile Par defaut, Prestashop 1.4 est configuré sur smarty 3 (/smarty) et non smarty 2. Link to comment Share on other sites More sharing options...
a-prods Posted August 25, 2011 Share Posted August 25, 2011 quand il ya des questions, on attend des réponses. Si il n'y a pas de réponses on aimerais savoir pourquoi. Le silence ne rassure pas les utilisateurs Link to comment Share on other sites More sharing options...
ShowYou Posted August 25, 2011 Share Posted August 25, 2011 Bonjour à toutes et tous ami(e)s hacké(e)s !!!!!!! Après application du fix, on fait quoi ???? J'ai remis les fichiers d'origine de PS cependant il reste encore plein de problème. Catégories absentes dans le back office alors que présentes dans la BDD Affichage très bizarre sur IE8 Problème d'affichage d'images et de css divers... Et aucune trace de virus ni de fichier her.php ni de fichiers supplémentaires.... Alors faut-il faire une sauvegarde de la base de données et refaire une installation ????? Link to comment Share on other sites More sharing options...
jeckyl Posted August 25, 2011 Share Posted August 25, 2011 Je crois que la question est claire et qu'elle demande une réponse officielle par le biais d'une communication officielle et non pas posté en 78ème message d'un Topic sur le forum. Après ce débat n'est pas récent et nous n'avons jamais eu de réponse, je comprends que certains trouve le sujet ennuyeux et que l'on semble passer pour des gros méchants à embêter cette petite société d'étudiants qu'est Prestashop, mais il faudrait aussi comprendre, comme dit plus avant, ce sujet a été abordé précédemment et nous avions déjà soulevé les crainte d'une possible erreur d'ouvrir autant de porte vers l'extérieur dans le BO. Personne ne nous a rie au nez mais surtout personne n'a pris en considération ces remarques et comme dit plus avant on en connait le résultat. Nous ne sommes pas là pour dire, "On vous avez prévenu", mais pour allez de l'avant et connaître la vrai position de Prestashop par rapport à ce sujet. Secondo, est ce que quelqu'un ait si le patch est intégré à la version téléchargeable de prestashop ? Sinon est ce que les téléchargement de cette version est bloqué le temps du correctif ? Et me répondez pas qu'ils sont débordés alors qu'il ne mettre jamais à jour le ficher xml des nouvelle version de Prestashop lorsqu'elle sorte, ils sont toujours débordé car il font un gros boulot sur l'outil sinon la société n’aurait pas embauché autant de monde en 1 an. Donc je vais le répéter, Prestashop est un super outil sinon on ne travaillerait pas avec et ce sujet serait passé inaperçu, mais "un grand pouvoir mérite de grande responsabilité" alors c'est le revers de la médaille. Link to comment Share on other sites More sharing options...
paradise Posted August 25, 2011 Share Posted August 25, 2011 Bonjour à tous ! tout cela est très tés gênant pour tout le monde ! par contre je doit faire la mise à jour de la dernière version ,celle ci est elle incriminée ou l’installe ce feras t'elle normalement ? le fichier n'est il pas remplit lui aussi de script malveillants ? en ce qui me concerne je n'ai pas du tout été attaqué et ne pense pas faire ce qu'il faut car je pense mettre a jour mon site ! d’où encore une question sur le fichier de mise à jour celui ci met il en place le système de sécurité envers la faille ? merci à tous et bon courage à tout le monde Link to comment Share on other sites More sharing options...
Carl Favre Posted August 25, 2011 Share Posted August 25, 2011 Pour paradise et jeckyl, Le patch n'est pas intégré à la version téléchargeable de PrestaShop. Il faut donc l'appliquer. De même si vous faites une mise à jour, il faut également appliquer le patch. De manière générale, si vous avez une 1.4.x, appliquez le patch pour être sûr. Link to comment Share on other sites More sharing options...
pasko Posted August 25, 2011 Share Posted August 25, 2011 Bonjour à toutes et tous ami(e)s hacké(e)s !!!!!!! Après application du fix, on fait quoi ???? J'ai remis les fichiers d'origine de PS cependant il reste encore plein de problème. Catégories absentes dans le back office alors que présentes dans la BDD Affichage très bizarre sur IE8 Problème d'affichage d'images et de css divers... Et aucune trace de virus ni de fichier her.php ni de fichiers supplémentaires.... Alors faut-il faire une sauvegarde de la base de données et refaire une installation ????? J'ai comme l'impression qu'on est pas sur le bon post pour les questions pratiques et résolutions... Vois ici: http://www.prestashop.com/forums/topic/126111-procedure-de-securite-a-lire-attentivement/ Cordialement Link to comment Share on other sites More sharing options...
DevNet Posted August 25, 2011 Share Posted August 25, 2011 Secondo, est ce que quelqu'un ait si le patch est intégré à la version téléchargeable de prestashop ? Sinon est ce que les téléchargement de cette version est bloqué le temps du correctif ? Non, j'ai vérifié, et à l'heure actuelle, la version 1.4.4.0 téléchargeable ne contient pas les corrections du patch. Je pense que vu que la correction est certainement faite en amont, avant l'envoi des flux d'actualités, il n'est pas utile de le corriger dans la foulée, puisque le script ne concerne que des récupérations d'informations provenant de PrestaShop.com En revanche, il faudra quand même poser cette rustine dans les prochaines releases, car il suffit qu'un malin prenne le relai sur les dns de l'hôte serveur d'hébergement pour contourner le prestashop.com à son avantage et ainsi simuler un envoi de flux non contrôlé. 1 Link to comment Share on other sites More sharing options...
Eolia Posted August 25, 2011 Share Posted August 25, 2011 la dernière version n'est pas patchée et toujours dispo en téléchargement. Attention le fix remet votre footer.tpl de VOTRE thème à l'identique du thème de base donc méfiez-vous si vous l'avez customisé ! Edit: j'ai lu trop vite le fichier fix et une fois décodé en base64 j'ai effectivement reconnu la signature du site incriminé. Toutes mes excuses c'est le $template = "themes/"._THEME_NAME_."/footer.tpl"; $file = fopen($template,"r"); $tempcontent = fread($file,filesize($template)); fclose($file); $tempcontent = str_replace(" ".$shcode."</body>","</body>",$tempcontent); @file_put_contents($template, $tempcontent); qui m'a induit en erreur. Messieurs/dames de Presta pourrait-on avoir en DL les fichiers modifiés ajax.php, footer.tpl et .htaccess modifiés pour pouvoir effectuer les modifs nous-même ? Link to comment Share on other sites More sharing options...
Raphaël Malié Posted August 25, 2011 Share Posted August 25, 2011 Eolia, le patch ne remet pas votre fichier footer.tpl de façon identique à celui de base, n'affirmez pas des choses qui peuvent faire peur aux autres utilisateurs sans en être certain Le fix se contente de faire l'inverse du virus, afin de le corriger. Le problème venait du site prestashop.com, puisque le problème est fixé chez nous il l'est aussi chez vous. La rustine qui filtre le Javascript issu de prestashop.com sera ajoutée pour la prochaine version Link to comment Share on other sites More sharing options...
DevNet Posted August 25, 2011 Share Posted August 25, 2011 Attention le fix remet votre footer.tpl de VOTRE thème à l'identique du thème de base donc méfiez-vous si vous l'avez customisé ! Non non il ne fait que supprimer le contenu ajouté par le her.php Il ne touche pas au reste du contenu du footer.tpl 1 Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 25, 2011 Share Posted August 25, 2011 D'autres que moi ont ils eu de nombreux accès, hier et aujourd'hui, sur la requête "Powered by Prestashop" ?? Manifestement pour moi elles sont issues d'un soft ou d'un script qui a tenté de scanner les répertoires download et upload. Certains semblent vouloir profiter des backdoors, ce qui semble indiquer que l'attaque a été relayée sur les communautés de hackers. Il va falloir être vigilants dans les prochaines semaines, nul doute que de nombreuses tentatives vont avoir lieu. Vérifiez souvent vos 404 et vos error log pour voir si vous êtes testé et essayez le script qu'à proposé Jeckyl (à vérifier s'il ne bloque pas certaines pages/modules) Link to comment Share on other sites More sharing options...
ShowYou Posted August 25, 2011 Share Posted August 25, 2011 @Prestasimo : Merci pour l'information et le lien Link to comment Share on other sites More sharing options...
Raphaël Malié Posted August 25, 2011 Share Posted August 25, 2011 Secondo, est ce que quelqu'un ait si le patch est intégré à la version téléchargeable de prestashop ? Sinon est ce que les téléchargement de cette version est bloqué le temps du correctif ? Bonjour jeckyl, je pense que vous n'avez pas du tout compris comment agissait le virus exactement et comment il s'est propagé précisément, je vous invite à relire le message de Nebojsa STOJANOVIC pour les détails techniques, il n'y a nul besoin de patcher l'archive de Prestashop pour corriger le problème. Cordialement Link to comment Share on other sites More sharing options...
Tchupa Posted August 25, 2011 Share Posted August 25, 2011 Le fix a bien été appliqué sur le site. Sur différents ordinateurs, dès que l'on se connecte à mon site, apparait alors un message d'Alerte Avast : http://clickmemc.fileave.com/ JS:Redirector-IY [Trj] Cheval de Troie 110824-1, 24/08/2011 Donc rien à voir avec un problème d'ordi, c'est bien sur mon hébergeur, non ? Vérifiez que les caches (smarty et système) ont bien été vidés pour que la version corrigé de footer.tpl soit prise en compte Et comment dois-je faire pour vider le cache smarty ? Car sur mon ordi, c'est déjà fait, j'ai vidé le cache. Tu dois vider /tools/smarty_v2/cache et /tools/smarty_v2/compile pour ta boutique Désolé Tchupa, ce n'est pas ça! C'est: prestashop/tools/smarty/compile Par defaut, Prestashop 1.4 est configuré sur smarty 3 (/smarty) et non smarty 2. Autant pour moi, tu as raison. Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 25, 2011 Share Posted August 25, 2011 Secondo, est ce que quelqu'un ait si le patch est intégré à la version téléchargeable de prestashop ? Sinon est ce que les téléchargement de cette version est bloqué le temps du correctif ? Bonjour jeckyl, je pense que vous n'avez pas du tout compris comment agissait le virus exactement et comment il s'est propagé précisément, je vous invite à relire le message de Nebojsa STOJANOVIC pour les détails techniques, il n'y a nul besoin de patcher l'archive de Prestashop pour corriger le problème. Cordialement Désolé, mais je ne suis pas d'accord avec ça. Il y a un problème qui est l'intrusion sur le serveur prestashop.com, mais il y a AUSSI une faille dans le script qui traitait l'info récupérée sur ce serveur. Imaginons un détournement DNS (service souvent peu optimisé en terme de sécurité sur les dédiés non infogérés) et le hack serait de nouveau possible. Il est donc nécessaire de protéger les serveur PS mais aussi de corriger la faille sur la solution, et donc de patcher l'archive téléchargeable ! Link to comment Share on other sites More sharing options...
Yoya Posted August 25, 2011 Share Posted August 25, 2011 Secondo, est ce que quelqu'un ait si le patch est intégré à la version téléchargeable de prestashop ? Sinon est ce que les téléchargement de cette version est bloqué le temps du correctif ? Bonjour jeckyl, je pense que vous n'avez pas du tout compris comment agissait le virus exactement et comment il s'est propagé précisément, je vous invite à relire le message de Nebojsa STOJANOVIC pour les détails techniques, il n'y a nul besoin de patcher l'archive de Prestashop pour corriger le problème. Cordialement Désolé, mais je ne suis pas d'accord avec ça. Il y a un problème qui est l'intrusion sur le serveur prestashop.com, mais il y a AUSSI une faille dans le script qui traitait l'info récupérée sur ce serveur. Imaginons un détournement DNS (service souvent peu optimisé en terme de sécurité sur les dédiés non infogérés) et le hack serait de nouveau possible. Il est donc nécessaire de protéger les serveur PS mais aussi de corriger la faille sur la solution, et donc de patcher l'archive téléchargeable ! +1 Sinon merci aux uns et autres de la team pour avoir corrigé le problème et pour la transparence de l'explication. Reste à patcher les sources clients et a virer la publicité intrusive (non je rigole CC, détends toi) Pierre. 1 Link to comment Share on other sites More sharing options...
Raphaël Malié Posted August 25, 2011 Share Posted August 25, 2011 Oui des modifications ont été faîte dans ajax.php afin de filtrer et protéger les informations provenant de Prestashop, et ces corrections seront disponibles prochainement. Link to comment Share on other sites More sharing options...
Jean-Marie Collin Posted August 25, 2011 Share Posted August 25, 2011 Bonjour Olivier, Pouvez-vous nous envoyer vos logs Apache et toutes informations concernant les personnes ayant fait une requête sur Google avec "Powered by Prestashop" sur notre adresse [email protected]. J'invite aussi toutes les personnes pouvant nous fournir des informations sur les visiteurs de leurs boutiques ayant fait la requête "Powered by Prestashop" dans google. Merci par avance. Link to comment Share on other sites More sharing options...
DevNet Posted August 25, 2011 Share Posted August 25, 2011 Bonjour Olivier, Pouvez-vous nous envoyer vos logs Apache et toutes informations concernant les personnes ayant fait une requête sur Google avec "Powered by Prestashop" sur notre adresse [email protected]. J'invite aussi toutes les personnes pouvant nous fournir des informations sur les visiteurs de leurs boutiques ayant fait la requête "Powered by Prestashop" dans google. Merci par avance. Je ne pense pas qu'il y est un lien direct avec l'auteur du hack. Puisque la source de propagation vient de PrestaShop.com Son but n'était visiblement pas de joindre les boutiques individuellement, mais d'utiliser le flux prestashop => boutique pour s'installer sur chaque boutique. 1 Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 25, 2011 Share Posted August 25, 2011 Bonjour jeckyl, je pense que vous n'avez pas du tout compris comment agissait le virus exactement et comment il s'est propagé précisément, je vous invite à relire le message de Nebojsa STOJANOVIC pour les détails techniques, il n'y a nul besoin de patcher l'archive de Prestashop pour corriger le problème. Cordialement Oui des modifications ont été faîte dans ajax.php afin de filtrer et protéger les informations provenant de Prestashop, et ces corrections seront disponibles prochainement. Voilà, ce qui me dérange, de lire tout et son contraire ! Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 25, 2011 Share Posted August 25, 2011 Bonjour Olivier, Pouvez-vous nous envoyer vos logs Apache et toutes informations concernant les personnes ayant fait une requête sur Google avec "Powered by Prestashop" sur notre adresse [email protected]. J'invite aussi toutes les personnes pouvant nous fournir des informations sur les visiteurs de leurs boutiques ayant fait la requête "Powered by Prestashop" dans google. Merci par avance. Je m'en occupe dans la journée (il est 8h du mat ici) Je ne pense pas qu'il y est un lien direct avec l'auteur du hack. Puisque la source de propagation vient de PrestaShop.com Son but n'était visiblement pas de joindre les boutiques individuellement, mais d'utiliser le flux prestashop => boutique pour s'installer sur chaque boutique. Au contraire, il y a un lien direct ! Des petits malins utilisent des scripts qui cherchent les boutiques PS dans les SERPs google et ensuite ils scannent les répertoire upload et download pour chercher des backdoors. Ca implique que les boutiques infectées sont visées par d'autres que l'auteur du hack initial. Link to comment Share on other sites More sharing options...
Jean-Marie Collin Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, @DevNet : Effectivement cependant le but étant de récupérer des informations supplémentaire afin de pouvoir poursuivre les auteurs Cordialement. Link to comment Share on other sites More sharing options...
Raphaël Malié Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, effectivement mon message n'était pas forcément très clair. Un patch préventif a été commit dans ajax.php et sera disponible dans une prochaine release. Il faut juste ne pas tout mélanger, les attaques de détournement de serveurs DNS sont dangereuses, mais n'ont pour le coup aucun lien avec l'attaque d'hier. Link to comment Share on other sites More sharing options...
Olivier from Madinina Posted August 25, 2011 Share Posted August 25, 2011 Bonjour, effectivement mon message n'était pas forcément très clair. Un patch préventif a été commit dans ajax.php et sera disponible dans une prochaine release. Il faut juste ne pas tout mélanger, les attaques de détournement de serveurs DNS sont dangereuses, mais n'ont pour le coup aucun lien avec l'attaque d'hier. Merci pour la prise en compte. Et, oui, des attaques sur les DNS d'un serveur hébergeant un PS 1.4.X pourraient permettre de se servir de la faille dans ajax.php en routant les appels pour prestashop.com vers un serveur malveillant qui pourrait intaller à nouveau le hack sur un PS non patché. Ca me semble pourtant simple à comprendre que le lien est évident! Je vais bloquer tous les appels sortant de mon serveur vers le domaine prestashop via le pare-feu. Ca permettra de régler une partie du problème le temps de tout nettoyer. Link to comment Share on other sites More sharing options...
Recommended Posts