Bonjour,
 
mon site viens d'être bloqué par 1&1 car un fichier (confserver.php) est trouvé par leur antivirus.
 
je l'ouvre et le voici :
 

 
Je ne suis pas expert en informatique et vous demande si quelque chose vous parait suspect dans ce fichier et mérite que mon site soit bloqué...
 
Merci

Fichier très certainement infecté, verifie même que ce ne soit pas le cas de plusieurs (tous) fichiers.
 
En exécutant ce code (lors d'un accès à ce fichier par le navigateur, ou même pas un include), le code sera interprété par PHP et avoir des effets  peu sympathiques: ouverture d'un accès distant sur la machine, injection de code malicieux dans une page web...
 
Dans tous les cas, pour que ce code soit ici, c'est qu'il existe une faille dans ton application (ou dans une autre application hébergée sur le même serveur).

Le coup du eval avec un chaîne encodée en base64 me paraît bien puer du bec

De la ligne 1 a la ligne 8 c'est très certainement une faille de sécu qui a mis ce code, les 3/4 du temps c'est de la pub en fait qui se cache dans la page, pour gonfler les résultats google.
 
Tu as donc une faille de sécu.
 
Pour le code en base64 (ligne 7), voila ce qui contient quand tu run le base64_decode dessus:

 
Je te conseille donc vivement de checker tes fichiers (pour vérifier que d'autres fichiers n'ont pas le même soucis) + aller chercher ce fichier en particulier:
/kunden/homepages/44/d297018330/htdocs/fckeditor/editor/filemanager/browser/default/images/icons/32/style.css.php
 
Qui n'a probablement rien de bon dedans, et qui au passage t'indique probablement que la faille vient du module d'upload de fckeditor (vu le path /fckeditor/editor/filemanager il y a de bonne chances que cela vienne de là).
 
Pour rechercher si un fichier contient ou non le code malicieux, place toi la racine, fait un grep en recherchant create_function, eval, et base64.
Les deux premiers ne devraient pas être utilisés dans un code digne de ce nom en production, le dernier peut apparaitre plus facilement y compris dans du code bon.
Tu auras probablement toujours la même structure, 5/6 lignes indéchiffrables à l'oeil nue et en début de fichier, c'est souvent le cas.

Pour info, lorsque j'ai ouvert ce topic tu as fait réagir mon propre antivirus qui m'a bloqué l'accès à la page .
Effectivement, il faut nettoyer maintenant, Devil'sTiger t'a donné d'excellents conseils. Mets aussi à jour ta version de fckeditor et vois si tu n'as pas un plugin avec une faille.
Tu remercieras 1&1 de t'avoir averti !...

Super, merci pour tous ces conseils.
En virant les 7 premières lignes, le site semble fonctionner sans soucis, donc pas indispensables (voir nuisibles !!)
Je vais scanner mes autres pages.
En tous cas, Eset ne m'a rien bloqué pour ce fichier, mais m'a alerté pour un fichier thumb.php dans phpmyvisite : menace PHP/Obfuscated.F
 
Bref, il y a du ménage à faire. Merci encore
 
Je vais chercher comment decoder ces lignes base64
 
En tous cas, le lien "/kunden/homepages/44/d297018330/htdocs/fckeditor/editor/filemanager/browser/default/images/icons/32/style.css.php" ne correspond pas à mon arbo, il n'y a que la fin qui correspond.

Oui en réalité cela correspond bien à ton arbo
 
Sauf que sur un manager 1&1, un mutualisé en général, une partie de l'arbo est caché pour de simples raisons de sécurité (sinon tu pourrais remonter à d'autres sites d'autres personnes)
.
 
Techniquement, ton arbo doit démarrer vers:
"/kunden/homepages/44/d297018330/"
Ca c'est probablement ton root, voir le htdocs est ton root, avant (donc cette arbo), tu n'y auras pas accès c'est normal.
 
Mais, tu peux demander une lecture d'une arbo en path absolu malgré tout.
 
Créer un fichier php avec ce code dedans:

 
Et avec ton navigateur préféré va sur cette page php toute fraiche, il devrait te proposer de téléchargé le dit fichier !
Bien sur, évite de le lancer sur ta propre machine, mais en soit, étant de l'interprété normalement tu devrais récupérer un simple fichier texte que tu pourras éditer/voir, probable qu'il soit compressé comme le reste d'ailleurs, c'est une vielle ruse pour qu'un 'humain' qui se pose pas trop de question, ait beaucoup de mal à se demander si c'est bon ou pas.

OK merci pour ces infos et ces conseils bien clairs !
 

http://fr.wikipedia.org/wiki/PhpMyVisites
 
En bref :
- phpMyVisites n'est plus supporté / développé / est obsolète depuis bien longtemps maintenant
- tu as été victime d'une faille de phpMyVisites ... corrigée en 2009
 
En résumé :
- utilise des outils plus moderne
- et surtout : vérifie que tout tes scripts, applications, sites ... soient à jour sur ton serveur. Si tu utilise wordpress, ou d'autres choses, il faut tout mettre à jour.