THELIA Forum

Re-bonjour à tous, quelques précisions pour affiner le diagnostic...

Exemple de fin de log qui correspond à une commande validée et passée en mode "payé" :

41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:43:58 +0200] "GET /dtr/image.php?t=h1_Mode+de+paiement HTTP/1.1" 200 1313 "http://www.daniel-mercier.com/commande. … sport&id=3" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:43:58 +0200] "GET /images/fond-pied.jpg HTTP/1.1" 200 6918 "http://www.daniel-mercier.com/commande. … sport&id=3" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:43:59 +0200] "GET /commande.php?action=paiement&type_paiement=8 HTTP/1.1" 302 3906 "http://www.daniel-mercier.com/commande. … sport&id=3" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:43:59 +0200] "GET /dtr/image.php?t=h1_votre+commande HTTP/1.1" 200 1077 "http://www.daniel-mercier.com/commande. … sport&id=3" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:44:01 +0200] "GET /client/plugins/atos/paiement.php HTTP/1.1" 200 955 "http://www.daniel-mercier.com/commande. … sport&id=3" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:44:02 +0200] "GET /client/plugins/atos/logo/CLEF.gif HTTP/1.1" 200 1254 "http://www.daniel-mercier.com/client/pl … iement.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:44:03 +0200] "GET /client/plugins/atos/logo/CB.gif HTTP/1.1" 200 1867 "http://www.daniel-mercier.com/client/pl … iement.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:44:03 +0200] "GET /client/plugins/atos/logo/INTERVAL.gif HTTP/1.1" 200 89 "http://www.daniel-mercier.com/client/pl … iement.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:44:04 +0200] "GET /client/plugins/atos/logo/VISA.gif HTTP/1.1" 200 1389 "http://www.daniel-mercier.com/client/pl … iement.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
41.189.53.75 www.daniel-mercier.com - [12/Aug/2009:22:44:04 +0200] "GET /client/plugins/atos/logo/MASTERCARD.gif HTTP/1.1" 200 1960 "http://www.daniel-mercier.com/client/pl … iement.php" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; InfoPath.1; .NET CLR 2.0.50727; OfficeLiveConnector.1.3; OfficeLivePatch.0.0; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
193.56.46.18 www.daniel-mercier.com - [12/Aug/2009:22:42:05 +0200] "POST /client/plugins/atos/call_autoresponse.php HTTP/1.0" 200 - "-" "-"
193.56.46.18 www.daniel-mercier.com - [12/Aug/2009:22:44:31 +0200] "POST /client/plugins/atos/call_autoresponse.php HTTP/1.0" 200 - "-" "-"

Sachant que j'ai rajouté ceci dans mon call_autoresponse, est-ce que ça peut-être la source du pb ?

<code>
// traitement du statut de la commande dans thélia + envoi mail
   
    $commande->charger_trans($transaction_id);
    if($response_code == "00"){
     $commande->statut = 2;
     $commande->genfact();
    
    
     //En-têtes
    $headers = "From: commercial@daniel-mercier.com\r\n";
    $headers .= "MIME-Version: 1.0\n";
    $headers .= "Content-type: text/plain; charset= iso-8859-1\n";
           
    //Sujet du message
    $sujet = "Reglement commande " . $commande->ref;
           
    //Corps du message               
    $message = "Le no de carte bancaire pour la commande " . $commande->ref . " a été validé sur e-transactions.\n";

    //Envoi du mail
    mail('commercial@daniel-mercier.com, compta@daniel-mercier.com', $sujet, $message, $headers);
   
    } // fin du if response_code
   
    else if ($response_code == "17")
   
    {
     //En-têtes
    $headers = "From: commercial@daniel-mercier.com\r\n";
    $headers .= "MIME-Version: 1.0\n";
    $headers .= "Content-type: text/plain; charset= iso-8859-1\n";
           
    //Sujet du message
    $sujet = "Reglement commande " . $commande->ref;
           
    //Corps du message               
    $message = "ATTENTION : Reglement par Carte bancaire annulé par le client pour la commande " . $commande->ref . ".\n";

    //Envoi du mail
    mail('commercial@daniel-mercier.com, compta@daniel-mercier.com', $sujet, $message, $headers);
    }
   
    else
   
    {
     //En-têtes
    $headers = "From: commercial@daniel-mercier.com\r\n";
    $headers .= "MIME-Version: 1.0\n";
    $headers .= "Content-type: text/plain; charset= iso-8859-1\n";
           
    //Sujet du message
    $sujet = "Reglement commande " . $commande->ref;
           
    //Corps du message               
    $message = "ATTENTION : Reglement par Carte bancaire non validée par e-transactions pour la commande " . $commande->ref . ".\n";

    //Envoi du mail
    mail('commercial@daniel-mercier.com, compta@daniel-mercier.com', $sujet, $message, $headers);
    }
   
    $commande->maj();
   
    modules_fonction("confirmation", $commande);

</code>

Je précise en outre que le fameux pirate, pour sa toute première commande, a réussi à faire un vrai paiement (qualifié "envoyé en banque" sur e-transactions).  Le CA a ensuite appelé mon client pour leur signaler que c'était un faux paiement.

Merci

Bonjour,

En fait c'est beaucoup plus simple que ça via les urls et les paramètres post et get...

Je viens de voir qu'il y avait une grosse faille de sécurité au niveau échange de données avec le plugin paybox (c'est celui que j'utilise, je n'ai pas testé les autres...).

Je n'expliquerai pas tout ici, pour éviter l'utilisation par des petits malins en attendant un possible bugfix ?

Cependant, je pense que c'est plus un problème au niveau module de paiement de la banque que du plugin paybox en lui même ....

Voila pourquoi il est nécessaire de bien vérifier le paiement au niveau de la banque.

Messieurs les admin, je peux vous faire parvenir mon étude par MP, si vous voulez

YoCarBo

Objection Votre Honneur,

On doit pouvoir régler ça par le paramétrage de config.php du plugin paybox et éviter de mettre $mode = '1';

Il faut qu'il soit à 4 ... donc un bugfix s'impose

Je vous tiens au courant de mon avancé.

YoCarBo

Last edited by yocarbo (02-10-2009 11:59:53)

Mais il fait quoi en fait? Il utilise des cartes volées non?

pour yocarbo ou tu peux nous joindre par mp ou mail.

c'est envoyé sur ton MP

YoCarBo

pour le problème de yocarbo, il avait modifié le comportement du plugin utilisant une autre manière de validation donc pas de souci avec le plugin ogone.

pour le problème de frannie tout laisse penser à l'utilisation de carte volées, falcifiées etc, à part adhérer à FIA NET on pourra pas faire grand chose pour ces choses la.