Une porte d\u00e9rob\u00e9e est un morceau de code qu’un attaquant laisse derri\u00e8re lui pour pouvoir revenir plus tard, m\u00eame apr\u00e8s la fermeture du point d’entr\u00e9e initial. La premi\u00e8re compromission, c’est la porte. La porte d\u00e9rob\u00e9e, c’est la deuxi\u00e8me cl\u00e9, cach\u00e9e quelque part sur votre site, pr\u00eate \u00e0 servir. Les portes d\u00e9rob\u00e9es de WordPress comptent parmi les artefacts les plus fr\u00e9quemment d\u00e9couverts lors des audits forensiques, et la plupart des propri\u00e9taires n’y ont jamais pens\u00e9 comme \u00e0 une cat\u00e9gorie \u00e0 part.<\/p>\n\n\n\n
Cet article explique comment les portes d\u00e9rob\u00e9es sont install\u00e9es, o\u00f9 elles se cachent habituellement et comment les rep\u00e9rer sur votre propre site.<\/p>\n\n\n\n
P\u00e9n\u00e9trer pour la premi\u00e8re fois dans un site WordPress demande des efforts : trouver une extension vuln\u00e9rable, l’exploiter, naviguer dans le site. Une fois \u00e0 l’int\u00e9rieur, les attaquants veulent s’assurer de pouvoir revenir sans refaire tout ce travail. Une porte d\u00e9rob\u00e9e est une assurance contre la correction de la vuln\u00e9rabilit\u00e9 d’origine.<\/p>\n\n\n\n
C’est pourquoi se contenter de corriger le point d’entr\u00e9e apr\u00e8s une compromission ne suffit pas. L’attaquant est probablement toujours sur le serveur. Tant que vous n’avez pas trouv\u00e9 et supprim\u00e9 la porte d\u00e9rob\u00e9e, chaque nettoyage reste temporaire.<\/p>\n\n\n\n
Les portes d\u00e9rob\u00e9es les plus courantes se r\u00e9sument \u00e0 un petit nombre de sch\u00e9mas reconnaissables.<\/p>\n\n\n\n
Les portes d\u00e9rob\u00e9es pr\u00e9f\u00e8rent les recoins les plus poussi\u00e9reux d’une installation WordPress. Quelques cachettes courantes m\u00e9ritent d’\u00eatre connues.<\/p>\n\n\n\n
Nul besoin d’\u00eatre un professionnel de la s\u00e9curit\u00e9 pour effectuer des v\u00e9rifications utiles. Une extension de s\u00e9curit\u00e9 r\u00e9put\u00e9e comme Wordfence r\u00e9alise une analyse approfondie et signale toute correspondance avec sa base de signatures. La version gratuite le fait bien. La version payante met \u00e0 jour ses signatures plus rapidement et ajoute une surveillance des vuln\u00e9rabilit\u00e9s.<\/p>\n\n\n\n
Au-del\u00e0 des extensions, vous pouvez proc\u00e9der \u00e0 un balayage manuel. Examinez chaque fichier .php situ\u00e9 hors de wp-admin, wp-includes et des dossiers d’extensions et de th\u00e8mes. Rep\u00e9rez les dates de modification r\u00e9centes pour d\u00e9tecter des fichiers modifi\u00e9s ces derni\u00e8res semaines sans explication. Recherchez dans le code les sch\u00e9mas suspects \u00e9voqu\u00e9s plus haut. Tout ce qui correspond m\u00e9rite un examen plus attentif.<\/p>\n\n\n\n
Comparez les fichiers du c\u0153ur de WordPress aux versions officielles. Plusieurs outils le font, dont Wordfence et l’outil officiel wp cli. Toute diff\u00e9rence dans les fichiers du c\u0153ur est un signal d’alerte.<\/p>\n\n\n\n
Trouver une porte d\u00e9rob\u00e9e signifie rarement qu’il n’y en a qu’une. Les attaquants en installent souvent plusieurs, \u00e0 diff\u00e9rents endroits et sous diff\u00e9rentes formes, afin qu’en trouver une ne les emp\u00eache pas de revenir. Apr\u00e8s avoir identifi\u00e9 une porte d\u00e9rob\u00e9e, \u00e9largissez la recherche. Inspectez tous les emplacements similaires, traquez les sch\u00e9mas comparables et examinez chaque fichier modifi\u00e9 \u00e0 la m\u00eame p\u00e9riode.<\/p>\n\n\n\n
Renouvelez toutes les informations d’identification : salts et cl\u00e9s, mots de passe WordPress, mot de passe de la base de donn\u00e9es, cl\u00e9s d’API, cl\u00e9s SFTP. R\u00e9initialisez toutes les sessions. R\u00e9auditez les utilisateurs. R\u00e9auditez les extensions. Restaurez une sauvegarde saine ant\u00e9rieure \u00e0 la compromission si vous pouvez en identifier la date.<\/p>\n\n\n\n
Les portes d\u00e9rob\u00e9es constituent la deuxi\u00e8me couche d’une compromission. La pr\u00e9vention consiste surtout \u00e0 \u00e9viter la premi\u00e8re couche. Maintenez \u00e0 jour le c\u0153ur, les th\u00e8mes et les extensions. Supprimez les gestionnaires de fichiers et les extensions d’acc\u00e8s shell dont vous n’avez pas besoin. Limitez les acc\u00e8s administrateur. Utilisez la 2FA. Faites tourner une extension de s\u00e9curit\u00e9 qui surveille l’apparition de nouveaux fichiers \u00e0 des endroits inattendus.<\/p>\n\n\n\n
Si vous appliquez ces mesures avec constance, la probabilit\u00e9 qu’une porte d\u00e9rob\u00e9e soit install\u00e9e sur votre site chute consid\u00e9rablement. Une fois qu’un site est bien d\u00e9fendu, les attaquants se tournent vers des cibles plus faciles.<\/p>\n\n\n\n