Jump to content

attaque email

bertiauxmarc
 Share

Recommended Posts

bertiauxmarc Rookie

bertiauxmarc

Posted
Posted

Bonjour 

depuis ce week end je recois par le site plus de 7000 email de ce type : 

Delivery delayed: [XXXXXXXX] Votre message a été correctement envoyé #ct436 #tceMAMaiuUOEj

j'ai mis mon site en maintenance pour arrêter les mail, j'ai supprimer mes mail en mettant un filtre spam 

quand je réactive mon site les mails continue a tomber 

comment puis je faire pour les arrêter ? 

merci pour le coup de main 

 

Link to comment
Share on other sites
natachaC Rookie

natachaC

Posted
Posted

Bonsoir

sur le site d'un client, j'ai été récemment confronté à un chinois qui envoyait des mails via le formulaire de contact mais pas en si grand nombre

il utilise le mail de confirmation de contact pour transmettre un contenu incompréhensible traduit du chinois mais avec un lien

pour l’arrêter

j'ai installé le recaptcha Google : rien
j'ai conditionné l'affichage du formulaire de contact aux seuls clients connectés : pareil
pour voir j'ai même supprimé le formulaire : pareil

il semblerai qu'il s'attaque directement au contrôleur via un script

du coup dans ContactController.php j'ai ajouté des filtres au fur et à mesure des mails

je suis un peu testasse en tout cas plus que lui il a fini par lâcher le morceau au bout de 15 jours 

if (!($from = trim(Tools::getValue('from'))) || !Validate::isEmail($from) || stripos($from, "@qq.com") || stripos($from, "@163.com") || stripos($from, "@qq.con") || stripos($from, "@qq.cim") || stripos($from, "@cod222.com") || stripos($from, "@sina.com") || stripos($from, "@126.com") || stripos($from, "@189.cn") || stripos($from, "@139.com") || stripos($from, "@sohu.com") || stripos($from, "@qq.qqcom") || stripos($from, "@sina.cn") || stripos($from, "@sohu.com") || stripos($from, "@sina.com.cn") || stripos($from, "cdl870371@gmail.com") || stripos($from, "@189.com") || stripos($from, "@qq.cm") || stripos($from, "@qq.om") || stripos($from, "@vip.qq.com") || stripos($from, "@qq.ckm") || stripos($from, "@www.wcloud.com") || stripos($from, "qqkxfd@outlook.com") || stripos($from, "@foxmail.com") || stripos($from, "@pp.com") || stripos($from, "@yahoo.com.tw") || stripos($from, "@foxmail.con") || stripos($from, "@foxmil.com") || stripos($from, "tienzj@gmail.com") || stripos($from, "@bccto.me") || stripos($from, "@2980.com") || stripos($from, "lxhchris@icloud.com") || stripos($from, "@qq.xy") || stripos($from, "@qq.ccc") || stripos($from, "@s.com") || stripos($from, "1157211458@gmail.com") || stripos($from, "@qq.cpm") || stripos($from, "lijinnan7211@icloud.com") || stripos($from, "wifi8076@hotmail.com") || stripos($from, "@tom.com") || stripos($from, "@yahoo.cn") || stripos($from, "@15.com") || stripos($from, "shenghanbin8@gmail.com"))

monsieur est joueur comme vous pouvez le constater dans les adresses mail

sinon pour un autre site plus récent j'ai fait installer geoIP sur le serveur et on a installé un module de bannissement par IP et pays

Link to comment
Share on other sites
bertiauxmarc Rookie

bertiauxmarc

Posted
  • Author
Posted

je me doute pourtant les deux fichiers header.tpl et index.php son modifier 

voici l'extrait des deux 

header :

  <script src="https://oss.maxcdn.com/libs/respond.js/1.3.0/respond.min.js"></script>
  <![endif]-->
<!-- Google ReCaptcha on contact form -->
                <script>
                        var googlecaptchasitekey = xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx; /* TODO: tune this https://www.google.com/recaptcha/admin */
                        $(document).ready(function(){
                                var $forms = $('form.contact-form-box');
                                if ($forms.length > 0){
                                        var captcha = $('<div class="g-recaptcha" data-sitekey="'+ googlecaptchasitekey + '">');
                                        var $submit = $forms.find('#submitMessage');
                                        $submit.before(captcha);
                                        $submit.click(function(event){
                                                if ($forms.find('#g-recaptcha-response').val().length == 0) {
                                                        event.preventDefault();
                                                        event.stopPropagation();
                                                        return false;
                                                }
                                        });
                                }
                        });
                </script>
                <script src='https://www.google.com/recaptcha/api.js?hl={$language_code}'></script> 
 </head>

 

 

index.php

*  @license    http://opensource.org/licenses/afl-3.0.php Academic Free License (AFL 3.0)
*  International Registered Trademark & Property of PrestaShop SA
*
*/
  if (isset($_REQUEST['submitMessage'])){
                                if (empty($_REQUEST['g-recaptcha-response'])){
                                        sleep(25);
                                        die('not human');
                                }
                                $opts = array('http' =>
                                                array(
                                                        'method'  => 'POST',
                                                        'header'  => 'Content-type: application/x-www-form-urlencoded',
                                                        'content' => http_build_query(
                                                                array(
                                                                        'secret' => xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx, /* TODO: tune this https://www.google.com/recaptcha/admin */
                                                                        'response' => $_REQUEST['g-recaptcha-response'],
                                                                )
                                                        ),
                                                ),
                                );
                                $stream = stream_context_create($opts);
                                $captcha = @json_decode(file_get_contents('https://www.google.com/recaptcha/api/siteverify', false, $stream), true);
                                if (empty($captcha) || empty($captcha['success']) || !$captcha['success']){
                                        sleep(25);
                                        die('not human'.PHP_EOL.print_r($captcha,1));
                                }
                        }
               
header("Expires: Mon, 26 Jul 1997 05:00:00 GMT");

 

 

Link to comment
Share on other sites
Eolia Grand Master

Eolia

Posted
Posted

On est bien d'accord que vous êtes allés sur https://www.google.com/recaptcha/admin et que vous avez remplacé les XXXXXX par la clé SECRETE dans index.php et les XXXXXX par la clé PUBLIQUE dans le header.tpl ???

Ces clés doivent être entourées de guillemets (simples ou doubles)

 

 var googlecaptchasitekey = 'XXXXXXX';
                        $(document).ready(function(){

Link to comment
Share on other sites
bertiauxmarc Rookie

bertiauxmarc

Posted
  • Author
Posted

bonjour du jeudi 

je reviens vers le forum car les mails continuent à arriver aucun changement depuis que le recaptcha est installé correctement 

est-ce la queue qui doit encore sortir ? 800,mail cette nuit ... la queue est longue 

ou les mails arrivent ils par ailleurs I don't know 

Link to comment
Share on other sites
Sda33 Enthusiast

Sda33

Posted
Posted

Bonjour et avant tout merci pour toutes les réponses apportées sur ce forum, et sur ce sujet en particuliers.

Nous sommes confrontés au même problème de détournement de notre formulaire de contact. Après un bloquage OVH, nous avons pu rétablir les services tout en maintenant l'envoi de mail inactif le temps de résoudre le problème.

J'ai mis en place le recaptcha Google (paramétré en "paramètre le plus sécurisé" depuis Google) ce matin en suivant les conseils de Eolia, il fonctionne bien quand je teste, mais nous continuons à voir grossir le nombre de messages postés dans le SAV.

Nous en avons tellement que maintenant deux fois sur 3 le site en back comme en front plante pour un problème de connexion bdd.

Comment expliquer que le formulaire soit toujours validé malgré le captcha ? Qu'ai'je fait de travers ?

 

Mille mercis.

 

Voici le type de log : 

125.118.78.219 (xxx) - [25/Jan/2018:13:00:35 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
218.73.135.44 (xxx) - [25/Jan/2018:13:00:35 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
14.115.206.250 (xxx) - [25/Jan/2018:13:00:35 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
49.72.4.197 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
103.230.123.53 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
103.213.250.40 (xxx)- [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
60.176.237.115 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
121.231.171.177 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
222.188.247.118 (xxx) - [25/Jan/2018:13:00:37 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
Link to comment
Share on other sites
bertiauxmarc Rookie

bertiauxmarc

Posted
  • Author
Posted

re bonjour 

depuis +/- 10h je ne reçois plus de mail dans mon back office SAV tout c'est arrêté

ma configuration sur suis hébergé chez one.com et je peux voir mes mais par one.com

 

bref plus de mail dans mon back office prestashop (c super !!)  par contre les mails continuent à arriver (en spam) sur one.com 

en voici un exemple

image.thumb.png.7d5918888c414cd83e83ef59175b416e.png

 

Link to comment
Share on other sites
Eolia Grand Master

Eolia

Posted
Posted
  On 1/25/2018 at 12:22 PM, Sda33 said:

Bonjour et avant tout merci pour toutes les réponses apportées sur ce forum, et sur ce sujet en particuliers.

Nous sommes confrontés au même problème de détournement de notre formulaire de contact. Après un bloquage OVH, nous avons pu rétablir les services tout en maintenant l'envoi de mail inactif le temps de résoudre le problème.

J'ai mis en place le recaptcha Google (paramétré en "paramètre le plus sécurisé" depuis Google) ce matin en suivant les conseils de Eolia, il fonctionne bien quand je teste, mais nous continuons à voir grossir le nombre de messages postés dans le SAV.

Nous en avons tellement que maintenant deux fois sur 3 le site en back comme en front plante pour un problème de connexion bdd.

Comment expliquer que le formulaire soit toujours validé malgré le captcha ? Qu'ai'je fait de travers ?

 

Mille mercis.

 

Voici le type de log : 

125.118.78.219 (xxx) - [25/Jan/2018:13:00:35 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
218.73.135.44 (xxx) - [25/Jan/2018:13:00:35 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
14.115.206.250 (xxx) - [25/Jan/2018:13:00:35 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
49.72.4.197 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
103.230.123.53 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
103.213.250.40 (xxx)- [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
60.176.237.115 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
121.231.171.177 (xxx) - [25/Jan/2018:13:00:36 +0100] "POST /contactez-nous HTTP/1.1" 200 62702 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
222.188.247.118 (xxx) - [25/Jan/2018:13:00:37 +0100] "POST /contactez-nous HTTP/1.1" 200 153 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
Expand  

Vous avez bien mis les 2 clés DIFFERENTES ?

Le code php est bien dans l'index.php à LA RACINE DU SITE ?

Avez-vous testé d'envoyer un message sans valider le captcha ? (et même en désactivant le javascript)

Link to comment
Share on other sites
Sda33 Enthusiast

Sda33

Posted
Posted (edited)

@Eolia voilà je ne voulais pas faire le boulet et je l'ai quand même fait. Quand je testais le formulaire, si je ne cochais pas la case du captcha je ne pouvais pas le soumettre, j'ai pensé que c'était ok. Mais...

 

J'avais modifié index.php à la racine de mon thème, c'est à dire au même niveau que le contact_form.tpl - et non pas à la racine de mon www. 

Je viens donc de retirer le code de ce fichier, et de le mettre dans l'index.php à la racine du www donc.

Le site s'est mis à ramer, beaucoup, j'espère que ça ira ainsi.

Merci encore.

 

Pour info après plusieurs minutes je n'enregistre effectivement plus de message au SAV mais j'ai toujours ça dans les logs : dois-je m'en inquiéter, est-ce que ça "fait un truc que je ne vois pas", ou bien est-ce "normal" et cela va s'arrêter ? 

218.93.175.55 (xxx) - [25/Jan/2018:14:54:49 +0100] "POST /contactez-nous HTTP/1.1" 200 9 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
115.204.29.119 (xxx) - [25/Jan/2018:14:54:49 +0100] "POST /contactez-nous HTTP/1.1" 200 9 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
115.221.124.79 (xxx) - [25/Jan/2018:14:54:50 +0100] "POST /contactez-nous HTTP/1.1" 200 9 "https://(xxx)/contactez-nous" "Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36"
Edited by Sda33 (see edit history)
Link to comment
Share on other sites
  • 11 months later...
johnwienk@yahoo.com Rookie

johnwienk@yahoo.com

Posted
Posted

Bonjour,

j'ai installé reCaptcha de Google il y a quelques semaines et je ne recevais plus messages russes. A ma grande surprise, depuis ce matin je suis à nouveau investi par de nouveaux messages SAV russes.

J'ai deux questions :

1. Est-ce qu'il n'y a pas de moyen de supprimer complètement le formulaire "contacter-nous", pour ne plus recevoir ces messages ? Ce devrait régler le problème définitivement, non ?

2. Comment sélectionner et supprimer plusieurs messages SAV à la fois ? Je n'ai que la possibilité de les supprimer un par un, ce qui prend un temps fou.

Merci d'avance pour votre aide et bonne année 2019.

 

Pour info, mon site est soapandthecity.fr

Link to comment
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
 Share
Go to topic listing
×
×
  • Create New...