Où se trouve

Attention à l’emplacement : le formulaire ne se trouve pas dans l’onglet « Durcissement / IDS ». Ouvre Réglages > Cisilino Site Defense Network (point 1), reste sur l’onglet Général (point 2) et fais défiler jusqu’en bas. Après la liste blanche, tu trouves la section « Surveillance des téléversements de fichiers » (point 3). Le contrôle d’intégrité, lui, se lit dans l’onglet Test, expliqué au chapitre Onglet Test.

À quoi sert la surveillance des téléversements

La section dit : « Enregistre les fichiers téléversés sur le site, y compris ceux qui ne passent pas par la bibliothèque de médias : formulaires de plugins, point d’accès admin-ajax, téléversements arbitraires d’un thème. » C’est par là qu’entrent la plupart des webshells. Un journal qui ne surveille que la bibliothèque de médias ne les voit pas.

Comment procéder

1. Ouvre l’onglet Général et fais défiler jusqu’à « Surveillance des téléversements de fichiers ».
2. Vérifie la ligne « Surveillance » : « Enregistre les téléversements de fichiers ».
3. Vérifie la ligne « Blocage des fichiers exécutables » : « Refuse les téléversements avec une extension exécutable (.php, .phtml, .phar, .sh, .htaccess…) ».
4. Clique sur « Enregistrer la surveillance des téléversements ».
5. Lis l’avertissement : « Réglages de la surveillance des téléversements enregistrés. ».

Enregistre les téléversements de fichiers

Cette option est active par défaut. Les événements finissent dans le groupe « Téléversements de fichiers » du registre d’activité. Sur une requête sans fichier, le coût est nul. Le plugin note chaque requête qui contient un fichier, avec le champ et l’adresse qui l’a reçu. Les actions que tu verras dans le registre sont :

• « Fichier reçu dans une requête POST ».
• « Fichier téléversé ».
• « ATTENTION : fichier potentiellement exécutable téléversé ».
• « Téléversement BLOQUÉ ».

Le registre local garde au maximum 500 lignes, si tu ne changes pas le plafond dans les réglages du registre d’activité. Comment le lire est expliqué au chapitre Registre d’activité.

Blocage des fichiers exécutables

Cette option est désactivée par défaut. Elle ne fonctionne que si « Enregistre les téléversements de fichiers » est aussi active : avec la surveillance éteinte, le blocage ne fait rien, même si la case est cochée. Si tu l’actives, WordPress refuse le fichier avec le message : « Type de fichier non autorisé sur ce site (Cisilino Site Defense Network : téléversement de fichiers exécutables bloqué). » Le contrôle reconnaît aussi les doubles extensions, comme image.php.jpg.

Les extensions considérées dangereuses sont : php, php3, php4, php5, php7, php8, phtml, phps, phar, pht, shtml, cgi, pl, py, rb, sh, bash, htaccess, htpasswd, jsp, asp, aspx, exe, so, dll, ini, svg et svgz.

Attention : la liste bloque aussi .svg, donc les logos en SVG ne se chargent plus. Elle bloque aussi .ini, .py, .exe et .dll, qui apparaissent dans des pièces jointes et des paquets. Le plugin regarde toutes les parties après le premier point. Un nom comme archive.pl.zip est donc rejeté. Le blocage ne vaut que pour les téléversements gérés par WordPress (filtre wp_handle_upload_prefilter). Un plugin qui enregistre le fichier pour son propre compte est noté (« Fichier reçu dans une requête POST ») mais pas arrêté. Qui écrit directement sur le disque, sans requête avec fichier, ne laisse aucune trace dans ce registre.

Le contrôle d’intégrité

À la différence de la surveillance des téléversements, ici tu ne regardes pas les nouveaux uploads mais les fichiers déjà présents. Le plugin compare les empreintes MD5 de ses fichiers .php avec celles attendues. Il cherche des fichiers modifiés, manquants ou ajoutés. Il exclut les dossiers tests et dist. Les fichiers qui ne sont pas PHP ne sont pas contrôlés.

Le contrôle tourne une fois par jour, via le système de planification de WordPress. Si le site a peu de visites, il peut glisser. La référence est le fichier checksums.json dans le dossier du plugin, s’il est présent. Sinon le plugin utilise une photographie des fichiers prise à l’activation et à chaque changement de version.

Comment lire le résultat

Tu le trouves dans l’onglet Test, dans l’encadré « Intégrité des fichiers du plugin », où il y a aussi le bouton « Vérifier maintenant » pour lancer le contrôle immédiatement. Il y a quatre cas :

• « Aucune vérification exécutée pour le moment. », si cela n’a jamais démarré.
• Encadré vert : « Tous les N fichiers vérifiés correspondent. Dernier contrôle : date. ».
• Encadré jaune : « Aucune référence disponible : impossible de vérifier. Réactive le plugin pour capturer une nouvelle photographie des fichiers. ».
• Encadré rouge : « ATTENTION : les fichiers du plugin ne correspondent pas à ceux attendus. », avec trois listes : « Modifiés », « Manquants », « Imprévus ».

Dans la liste apparaissent au maximum 15 noms. Si tu vois le rouge et que tu n’as pas touché les fichiers à la main, le plugin te dit de traiter le site comme potentiellement compromis. Réinstalle le plugin depuis une copie fiable et vérifie le reste de l’installation.

Si la référence est la photographie, l’encadré vert l’indique. Cette comparaison trouve les modifications postérieures, pas un plugin déjà compromis au moment de l’installation.

Attention : l’intégrité est un détecteur, pas une barrière. Qui a déjà écrit sur les fichiers peut aussi réécrire les empreintes ou éteindre le contrôle. Des modifications faites à la main ou un téléversement à moitié terminé produisent une alerte rouge.

Ce qui se passe en coulisses

La surveillance des téléversements et l’intégrité utilisent le même registre. Le contrôle quotidien écrit dans le registre d’activité seulement dans deux cas : quand il trouve un problème et quand, après un problème, tout redevient normal. Quand tout va bien, il n’écrit rien. Le registre est ensuite envoyé au panneau, afin qu’une copie de l’alerte se trouve hors de ton serveur.

Si quelque chose ne va pas

La surveillance des téléversements reste utile même avec le blocage éteint. Si un plugin légitime arrête de charger des fichiers, éteins « Blocage des fichiers exécutables » et réessaie. Pour comprendre quels téléversements arrivent sur le site, laisse la surveillance active et consulte le registre. Pour les règles sur les fichiers dans uploads, voir aussi le chapitre Durcissement / IDS.

Le risque que l’on cherche ici à réduire est décrit par OWASP : lis la page sur le téléversement de fichiers sans restriction, utile pour comprendre pourquoi les uploads sont un point faible.

Chapitre précédent : Durcissement / IDS : les règles pour .htaccess. Chapitre suivant : Onglet Test : vérifier que les protections fonctionnent. Sommaire : introduction du manuel.

The post Surveillance des téléversements et contrôle d’intégrité first appeared on Matteo Cisilino.