[Résolu] Site WP écrasé par ‘WP en 5 mn’ sans intervention (Créer un compte)

Bonjour,

Un méchant (petit malin) a installé un WP neuf sur votre site, en profitant de la page d’installation ****/wp-admin/install.php

Il faut absolument (et très vite) :

• restaurer chez OVH votre base de données et votre espace d’hébergement (votre installation précédente avec wp-content complet) datant d’il y a 3 jours ou même d’il y a une semaine : c’est indispensable pour retrouver vos contenus (en base de données) et votre installation avec vos extensions, vos photos, etc …
  Et les sauvegarder sur votre ordi par PhpMyAdmin pour la base de données et par FTP pour le dossier wp-content et fichiers essentiels
• modifier vos mots de passe OVH / base de données et wp-config.php
• nettoyer tout le site selon le tuto de nettoyage de site hacké déjà utilisé, en particulier en supprimant tout administrateur qui n’aurait aucun rapport avec vous

Faites toutes ces étapes à la suite sur la même journée, car tant que le site est fragile, il risque d’être compromis et infecté davantage, et de ré-infecter vos 2 autres sites si ils partagent le même espace d’hébergement.

Quelques précisions sur vos 3 questions :

• toutes les tables débutent par sghet58_ au lieu de l’habituel wp_. (…) Ce préfixe est-il un problème ?

Ce n’est pas un problème si c’est vous qui l’avez choisi. Mais c’est un problème si quelqu’un a installé WordPress avec ce préfixe sans votre accord, et qu’il a supprimé votre base de données. Celle que vous avez restauré a-t-elle le même préfixe ? (si oui, c’est peut-être vous qui l’aviez choisi, mais vérifiez bien la table _users et si vous êtes en administrator )

• J’ai restauré la base de données du 15/04. Je pense que je retrouve les post passés mais celà ne change rien sur le non-accès au site ni à l’admin.

Normal, si le fichier wp-config.php a été modifié par le méchant intrus. C’est pour ça qu’il faut aussi restaurer votre installation sur l’hébergement avec vos dossiers et fichiers précédents (celle qu’on voit par FTP). Là, c’est un WP pratiquement vierge.

• J’ai testé le site sur Succuri (…) me précise que le site n’est pas en https alors que je croyais qu’il l’était ???

Plus exactement, il indique que le site en HTTP n’est pas redirigé vers le HTTPS.
Il faudra ajouter un code dans votre fichier .htaccess  quand tout le reste sera corrigé

# Redirection vers HTTPS 
RewriteCond %{SERVER_PORT} ^80$ [OR]
RewriteCond %{HTTPS} =off
RewriteRule ^(.*)$ https://amis-chapelle-penvern.fr//$1 [R=301,L]

# Redirection du www vers non-www en HTTPS
RewriteCond %{HTTP_HOST} ^www\.mis-chapelle-penvern\.fr [NC]
RewriteRule ^(.*)$ hhttps://amis-chapelle-penvern.fr//$1 [R=301,L]

Bonjour,

Je ne sais plus si c’est moi qui a introduit le préfixe sghet58_ à la création du site. Par contre dans le wp_config le préfixe prévu est wp_. Pas vu de lignes anormales sinon. Les tables restaurées ont le même préfixes ghet58_.

C’est à cause de cette différence que vous voyez l’écran install à la place du site. Remplacez dans wp-config wp_  par sgeth58_ et les choses devraient revenir à la normale.

NB vous pouvez aussi modifier le préfixe des tables dans phpmyadmin ou même créer un nouveau préfixe toujours dans phpmyadmin et répercuter le changement dans wp-config. Au choix mais je commencerais par le plus simple: changer dans wp-config.

• Cette réponse a été modifiée le il y a 2 mois et 2 semaines par ferman.

j’arrive sur une page blanche,

C’est un peu inquiétant.

Regardez dans votre base de données ce que contient la table « posts ».  Est-ce que toutes les tables ont le même préfixe?

J’ai vidé les tables wp_, dont wp_users dans laquelle il y avait 1 seul user, l’intrus.

Je ne savais pas ça. Il y a donc bien eu un piratage, visiblement raté et donc vous ne coupez pas au nettoyage en suivant le tuto. Je ne comprends pas comment une table non sélectionnée a pu être vidée. Mais bon.

La table « sghet58_bp_activity » ne fait pas partie des tables par défaut de wp. Elle vient de buddy press.  Pouvez-vous nous mettre en copie d’écran la liste des tables de votre base de données?

Pour l’erreur sql elle provient du fait que vous ne pouvez pas importer une sauvegarde de base de données si cette base de données n’est pas vide. Il faut donc supprimer toutes les tables: sélectionner toutes les tables et faire « avec la sélection : supprimer » puis exécuter; Vous devez arriver à ce qui est en copie d’écran. Là vous pourrez importer votre sauvegarde. Ne supprimez surtout pas la base de données; seulement les tables.

Après je ne toucherai plus à rien !

Je ne pense pas que ce sera possible 🙂

Vous aviez des plugins de sécurité activés sur vos sites? C’est quand même étonnant d’avoir deux sites piratés dans deux hébergements différents.

• Cette réponse a été modifiée le il y a 2 mois et 2 semaines par ferman.