Mon site c'est fait hacker

[sparh]

Bonjour,

la semaine dernière (mercredi dernier), mon site c'est fait hacké, j'ai mis 12h à réagir.

Jeudi matin tout était revenu à la normale.

Le hacker m'a contacté et nous avons travaillé ensemble pour corriger les failles.

Google toujours aussi rapide avait affiché toutes la journée du jeudi le titre que le hacker avait mis, mais des jeudi soir le titre normal de mon site était revenu dans les SERP.

Depuis hier après midi Google affiche encore une fois un titre "hacké" pour mon site:

http://www.google.fr/query

Cependant il n'y a pas de problème sur le site ?

Je pense donc: soit à une forme de cloacking soit à un "bug" de Google (mais bon ça j'y crois moins)

Auriez vous une idée pour comprendre d'où vient le problème (hack ou bug)?

J'ai vidé hier soir tous les documents sur le serveur et j'ai remis une sauvegarde donc à priori tout est propre.

Merci d'avance pour votre aide

[destroyedlolo]

Ben, a mon avis, c'est que tu n'as pas eu de chance : un robot est passe juste au moment ou le site etait hacke. Ca reviendra d'aplomb au prochain refresh.

Le hacker t'as demande qq chose ?

[Arlette]

Si tu cliques sur "Page cache" c'est bien la page normale et la date est du 30 juin, date à laquelle son problème était résolu, il n'y a que le titre du site avec le dessin qui va bien qui ne correspond pas

C'est pour cette raison que Sparh pense à un cloaking.

[sparh]

Google passe plusieurs fois par jour sur la page d'accueil de mon site.

- Une dizaine d'heures après le hack Google avait mis ce fameux titre (celui visible aujourd'hui),

- encore une dizaine d'heure plus tard (le site était rétabli) le titre correct était revenu

- 7 jours plus tard voilà le mauvais titre qui ressort ?? C'est quand même bizarre

D'ou ma question: y'a t'il un moyen de vérifier que ma page n'est pas cloacké ? (j'ai regardé le cache de Google, j'ai aussi regardé via Google anéalytics et il n'y a rien d'anormal)

ps: non le (gentil!) hacker ne m'a rien demandé, par contre je lui ai demandé de m'aider a corriger les failles de sécurité et il a bien voulu re-tester mon site après mes modifications!

Modifié 3 Juillet 2008 par sparh

[rdd]

En effet cette histoire est bizarre.

Si ta page etait cloackee, la page en cache de google serait la page hackee (principe du cloacking, si il est bien fait se base sur le user-agent, fqdn, ip, ...).

Il est donc bizarre que le titre soit toujours dans la page de resultat avec la description de ta page hackee.

Affaire a suivre.

P.S. : Tu as essaye de regarder sur les differents DC pour verifier ?

Edit : Je viens de regarder grace aux outils du hub et il n'y a que 4 ou 5 DC ou ton site apparait encore avec ce titre et cette description, donc patience ...

Modifié 3 Juillet 2008 par rdd

[sparh]

Patience patience moi je veux bien, mais ce n'est pas très rassurant quand on voit ça dans les SERP !!!

Enfin bon de toute façon je crois que je n'ai pas d'autre choix que d'attendre

[rdd]

Pour moi tout est revenu dans l'ordre sur le .fr

[Arlette]

Si ta page etait cloackee, la page en cache de google serait la page hackee (principe du cloacking, si il est bien fait se base sur le user-agent, dns, ip, ...).

Au secours les pros du cloaking ! Justement ce que j'avais compris de la méthode c'est de présenter une page A aux moteurs et une page B aux internautes.

Parles moi simplement rdd... Ne me parle pas de user-agent, dns ou ip : Pour moi c'est des chinois ... J'avais compris avec les pros des concours référencement, que justement ce que voit l'internaute n'est pas ce que voit le moteur. Donc, dans le cas de sparh peut-être s'agit il que la page que l'on voit sur la requête est celle du moteur mais quand tu cliques tu as la page réelle ...

Et là je me pose la question : "Ton hacker n'aurait-il pas oublié une page cloakée" ?

Quoique après coup, je m'aperçois que le cache date du 30/06... Donc du jour ou ta page a été hackée (je m'étais mélangé les pinceaux en regardant le calendrier ce matin), d'où effectivement Google n'a pas mis à jour... Réponse demain... Vu que tu as mit le lien dans ton post... Donc Google sera passé ce jour et aura mis à jour.

[rdd]

Desole Arlette,

En fait comme tu le dis, le principe du cloacking consiste a presente une page A au moteur et une page B aux internaute. Donc quand googlebot passe sur le site, on lui presente la page A, qu'il met en cache (sauf si la page en question possede une balise meta no-cache). Donc lorsque nous consultons la page en cache (consultee par le robot, mis en cache par ce dernier et donc stockee sur les serveurs google, le cloacking ne peut pas jouer a ce stade la), nous avons donc la version vue par google (page A). Le cloacking est possible lorsque l'on navigue sur le site en lui meme (ou la le script detecte que tu n'es pas un robot et te propose donc la page .

Je ne sais pas si j'ai ete tres clair, mais j'ai essaye du moins

[sparh]

En fait j'ai vu le "mauvais" titre arriver petit à petit dans Google hier et là il semble qu'il parte petit à petit.

Je ne suis pas un pro du cloacking moi non plus. Mais il me semble qu'il est possible de rendre une page différentes suivant l'ip de celui qui la visite(je suis même sur de ce que je raconte et c'est d'ailleurs pas très dure à faire): dans ce cas, même la page en cahe sera "normale", seuls les ip s de Googlebot voient la page cloacké.

Ce que j'aurai aimé: c'est savoir s'il était possible de ce faire passer pour Googlebot (prendre l'ip de Google bot)

PS: j'ai vérifié, le site a été hacké exactement le 24 juin dans la soirée, le site était rétabli le 25 juin au petit matin.

C'est comme si Google n'affichait pas le dernier titre qu'il avait rencontré! Dans mon cas il afficherai le titre qui a été en ligne pendant une dizaine d'heures dans la nuit du 24 juin ??

En sachant qu'il est passé et repassé depuis sur la page concernée (et avait mis à jour les infos dans les résultats de recherches = SERP)

Avouez que c'est bizarre non ?

[rdd]

En fait comme je l'ai explique avant, le robot prend la page qui lui est presentee (dans le cas du cloaking).

Google prend en quelque sorte une "capture de ton site", il ne peut pas prendre ta page comme tu le fais via ftp (et encore une chance), c'est un simple crawler. Nous sommes donc d'accord qu'il ne peut pas prendre le code php (ou autre) qui sert a cloacker ta page.

Donc oui, le cloacking consiste a verifier adresse IP, user-agent, fqdn, ... pour afficher un contenu different aux robots mais la version en cache de google EST la version vue par GGbot.

Alors lorsque tu visites toi meme la page en cache, tu vois la page stockee sur les serveurs google (et nous sommes bien d'accord qu'il n' y a pas le code servant a cloacker la page ici) donc la page cloackee.

[sparh]

Ok, mais comment expliquer que la version en cache ne correspond pas à la version affichée dans les SERP:

plus précisément le titre de la version en cache est différent du titre affiché dans les SERP ?

Modifié 3 Juillet 2008 par sparh

[sparh]

Re,

le cache de Google a changé: "extraite le 2 juil 2008 09:14:39 GMT." et le titre affiché n'a pas été changé lui?

Rappel, ce titre n'a été "visible" que dans la nuit du 24!!

Je reste patient mais je grince des dents...

[Arlette]

le cache de Google a changé: "extraite le 2 juil 2008 09:14:39 GMT." et le titre affiché n'a pas été changé lui?

Rappel, ce titre n'a été "visible" que dans la nuit du 24!!

Quand je clique sur le lien que tu as mit dans ton post initial, tout est bon maintenant ... Ton titre est revenu.

[rdd]

Oui, en effet il faut le temps que les modifs se propagent sur tous les datacenters.

Tout depend de la connexion de chacun, nous ne sommes pas connectes sur les memes datacenter en fonction de notre adresse IP (et aussi google est tres fort pour nous faire changer rapidement de DC).

Je prends mon ex :

rdd_AT_rddbox ~ $ ping -n google.fr
PING google.fr (66.249.93.104) 56(84) bytes of data.
64 bytes from 66.249.93.104: icmp_seq=1 ttl=239 time=81.9 ms
64 bytes from 66.249.93.104: icmp_seq=2 ttl=239 time=92.4 ms
....

On voit donc ici que le DC que j'interroge est le 66.249.93.104 (IP du DC sur lequel je fais la requete et ou le titre est toujours le mauvais).

Maintenant je vais dans GG, je tape la query qui te pose pb et la je clique sur la version en cache. Du coup j'ai l'IP du DC ou ta page est en cache (209.85.135.104).

Je tape cette IP dans la barre d'adresse du browser (j'arrive sur la home de GG, normal jusqu'a la) et ici je tape ta requete => tout est OK, la version en cache correspond bien au resultat dans le SERP.