Разработчикам

Попытка фишинга через редирект

Посетитель

Сообщений: 53 Баллов: 6 Регистрация: 22.02.2016

04.12.2018 12:27:43

Здравствуйте!

В последнее время на хостинге нагрузка на MySQL стала столь значительной, что хостер прислал уведомление. Я начал разбираться в чём дело, и понял, что мой сайт совсем не защищён от различного рода атак, которые, кроме всего прочего, создают дополнительную нагрузку на БД. Выставив настройки таким образом, чтобы атаки отбивались, в Журнале вторжений я всё равно вижу очень много "Попытка фишинга через редирект".

Я занёс около 100 ip адресов в [стоп-лист], но что-то это не очень помогает. И, вообще, не опасно ли заносить эти ip-адреса в стоп-лист? Или все ip с пометкой "Попытка фишинга через редирект" - спамные?

1С-Битрикс: Управление сайтом 17.0.15

Прикрепленные файлы

1.png (99.18 КБ)

2.png (78.03 КБ)

Пользователь 500981 Посетитель Сообщений: 53 Баллов: 6 Регистрация: 22.02.2016	#2 04.12.2018 15:47:03 На каком-то левом сайте в комментах обнаружил ссылку на свой сайт вида: http://site.ru/bitrix/rk.php?goto=http://site.com/

Пользователь 500981 Посетитель Сообщений: 53 Баллов: 6 Регистрация: 22.02.2016	#3 04.12.2018 17:59:25 В последнее время на этом форуме вообще никто мне не отвечает, несмотря на то, что вопросы довольно обычные

Пользователь 136059 Гуру Сообщений: 5443 Баллов: 1079 Регистрация: 16.07.2012	#4 04.12.2018 21:43:53 mishabitrix, не оно - https://dev.1c-bitrix.ru/user_help/settings/security/security_redirect.php? Голосуй за идеи по развитию API Bitrix: https://idea.1c-bitrix.ru/26707/ https://idea.1c-bitrix.ru/26709/ https://idea.1c-bitrix.ru/the-local-extension-folder-js/

Пользователь 246573

Эксперт

Сообщений: 277 Баллов: 45 Регистрация: 04.04.2014

05.12.2018 14:20:22

Цитата

mishabitrix написал:
Здравствуйте!

В последнее время на хостинге нагрузка на MySQL стала столь значительной, что хостер прислал уведомление. Я начал разбираться в чём дело, и понял, что мой сайт совсем не защищён от различного рода атак, которые, кроме всего прочего, создают дополнительную нагрузку на БД. Выставив настройки таким образом, чтобы атаки отбивались, в Журнале вторжений я всё равно вижу очень много "Попытка фишинга через редирект".

Я занёс около 100 ip адресов в [стоп-лист] , но что-то это не очень помогает. И, вообще, не опасно ли заносить эти ip-адреса в стоп-лист? Или все ip с пометкой "Попытка фишинга через редирект" - спамные?

1С-Битрикс: Управление сайтом 17.0.15

Во вкладке Проактивная защита все ли включено? Все настроено?
https://yadi.sk/i/wJ_Y5iwTJow0bw

Пользователь 500981

Посетитель

Сообщений: 53 Баллов: 6 Регистрация: 22.02.2016

05.12.2018 16:11:07

Александр, рассказываю всё по порядку.

1. Сканер безопасности
Я удалил/отредактировал уязвимые файлы темы. Сейчас ситуация такая - см. скриншот. Не думаю, что что-то из этого может быть причиной того, что с тысяч ip-адресов каждые 2-3 секунды осуществляются переходы на мой сайт вида: https://site.ru/bitrix/redirect.php?event1=&event2=&event3=&goto=http://blablasite.ru

2. Панель безопасности
Она у меня давно не работает - пустая страница. Но, думаю, там просто сводка по настройкам и какая-нибудь общая информация, поэтому данный пункт пропускаем.

3. Проактивный фильтр - включён.

Галочку "Добавить IP-адрес атакующего в стоп-лист" я вчера снял, но сегодня опять поставил. Смысла в ней почти нет. Если её установить, то раз в час в стоп-лист будут попадать ip-адерса Яндекс/Гугла. В то время как атакующие ip-адреса туда не попадают вообще

4. Веб-антивирус - включён.

5. Журнал вторжений.
Как я и писал, он весь забит событиями "Попытка фишинга через редирект":

9. Защита сессий
Данные сессий не хранятся в БД модуля безопасности.Смена идентификатора сессий выключена.

10. Защита редиректов - включена.

11. Стоп-лист.
В него я сам добавил часть ip-адерсов.

12. Хосты/домены

Единственное, что помогло хоть чуть чуть (~15%) снизить нагрузку на MySQL, это сидеть в Журнале вторжений и вручную часами добавлять атакующие ip-адреса в стоп-лист, который кстати говоря, находится в разделе Аналитика. Т.е. стоп-листа существует два, если что.

Пользователь 152812 Заглянувший Сообщений: 1 Регистрация: 28.11.2012	#7 06.12.2018 12:41:54 Ситуация аналогичная. Началось с 16 ноября. Техподдержка не реагирует.

Пользователь 48818

Заглянувший

Сообщений: 4 Баллов: 1 Регистрация: 05.02.2011

07.12.2018 13:32:25

Всё тоже самое.Хостинг Таймвеб прислал Ахтунг. Началось с 16-17 ноября , вчера весь день добавлял в стоп листы , но ничего не помогло
Ещё если посмотреть в Аналитике "КТО НА САЙТЕ" там куча уродов висит. Раньше такого не было. ЧТО ДЕЛАТЬ Братцы ?

Пользователь 48818 Заглянувший Сообщений: 4 Баллов: 1 Регистрация: 05.02.2011	#9 07.12.2018 13:33:23 вот так увеличилась нагрузка Прикрепленные файлы 2018-12-07_132355.jpg (29.36 КБ)

Пользователь 1200571 Заглянувший Сообщений: 1 Регистрация: 12.12.2018	#10 12.12.2018 02:13:25 Такая же история. 300000 редиректов за 4 дня... Защита включена, но в стоп-лист попадает каждый 10000 из них. Хостеры разводят руками и вся надежда на техподдержку. Что делать?

Пользователь 297887

Заглянувший

Сообщений: 9 Регистрация: 12.12.2018

#11

12.12.2018 08:25:25

Та же самая история с 20 ноября началось, хостер уже блокировал доступ к сайту. Cloudflare в бесплатной версии и режиме Under attack в принципе помогает, но пользователи остаются на уровне 10-30. Как решение предлагают заблокировать в nginx'e все эти goto, но таймвэб на это не идет, т.к. могут пострадать другие пользователи

Пользователь 182977

Посетитель

Сообщений: 36 Баллов: 5 Регистрация: 26.09.2013

#12

12.12.2018 08:58:26

Точно такая же проблема. Удалили модуль рекламный, ибо не использовался, создал руками файл rk.php без подключения ядра, шапок и тд, чтобы снизить нагрузку, ибо отдавалась 404я сайта, а это доп. запросы и доп. нагрузка.

В идеале сделать в скрипте небольшой обработчик, который будет добавлять айпишник в стоп-лист, лучше наверное на стороне htaccess, так как Битрикс много запросов при хите делает. Так же заметил, что идёт атака с разных айпишников, почти не повторяются записи, поэтому контроль активности не поможет.

Пользователь 2748105

Заглянувший

Сообщений: 7 Регистрация: 12.12.2018

#13

12.12.2018 10:07:56

Если все левые запросы действительно попадают под шаблон

Цитата
https://site.ru/bitrix/redirect.php?event1=&event2=&event3=&goto=http://blablasite.ru

то можно их отсечь на стороне вебсервера с помощью rewrite.
Тогда запросы не то что до mysql, даже до битрикса доходить не будут.
В крайнем случае можно заблокировать доступ к странице redirect.php

Пользователь 445855

Посетитель

Сообщений: 29 Баллов: 3 Регистрация: 25.12.2015

#14

16.12.2018 22:44:43

Аналогичная ситуация и тоже на TimeWeb. Также все началось c 20 ноября. Не знал о происходящем на хостинге до сегодняшнего дня, пока хостер не отключил сайты. Сообщения об увеличении нагрузки на сервер видимо приходили на другую почту.
Эти спамеры уже в край обнаглели. Заносить ip в стоп-лист не поможет, так как эти ссылки размещаются спамерами на миллионах досках объявлений и бесплатных каталогах. Естественно переход по ссылкам будет всегда с разных ip. Защита редиректов включена, но это не помогает от нагрузки на БД. Переход по ссылкам идет каждые 2-3 секунды судя по access_log.

Решил проблему кардинально:
добавил следующие строки в файл .htaccess, который находится в корневой директории сайта

Код
<FilesMatch "(rk\|redirect).(php)$"> Order Allow,Deny Deny from all </FilesMatch>

Пользователь 248331

Заглянувший

Сообщений: 35 Баллов: 2 Регистрация: 21.04.2014

#15

17.12.2018 10:31:25

Аналогичная проблема, Русоникс
Проактивная защита на Максимум закручена, а в журнале 100500+ записей на попытку фишинга.
5 запросов в минуту с разного набора IP адресов, которые блокировать не имеет смысла, идет к /bitrix/redirect.php

Пользователь 297887

Заглянувший

Сообщений: 9 Регистрация: 12.12.2018

#16

17.12.2018 16:35:17

Цитата

Александр Булимин написал:

Решил проблему кардинально:
добавил следующие строки в файл .htaccess, который находится в корневой директории сайта

Код
<FilesMatch "(rk\|redirect).(php)$"> Order Allow,Deny Deny from all </FilesMatch>

Спасибо, помогло. После 9:00 график учитывает изменения в .htaccess

Прикрепленные файлы

1111.png (76.35 КБ)

Пользователь 36135

Заглянувший

Сообщений: 9 Регистрация: 21.01.2009

#17

17.12.2018 16:39:01

Цитата

Александр Булимин написал:
Аналогичная ситуация и тоже на TimeWeb. Также все началось c 20 ноября. Не знал о происходящем на хостинге до сегодняшнего дня, пока хостер не отключил сайты. Сообщения об увеличении нагрузки на сервер видимо приходили на другую почту.
Эти спамеры уже в край обнаглели. Заносить ip в стоп-лист не поможет, так как эти ссылки размещаются спамерами на миллионах досках объявлений и бесплатных каталогах. Естественно переход по ссылкам будет всегда с разных ip. Защита редиректов включена, но это не помогает от нагрузки на БД. Переход по ссылкам идет каждые 2-3 секунды судя по access_log.

Решил проблему кардинально:
добавил следующие строки в файл .htaccess, который находится в корневой директории сайта

Код
< FilesMatch "( rk \| redirect ) . ( php )$"> Order Allow,Deny Deny from all </ FilesMatch >

также помогло, спасибо

Пользователь 248331

Заглянувший

Сообщений: 35 Баллов: 2 Регистрация: 21.04.2014

#18

17.12.2018 16:41:09

Цитата

Виталий Александров написал:

Цитата

Код
< FilesMatch "( rk \| redirect ) . ( php )$"> Order Allow,Deny Deny from all </ FilesMatch >

Спасибо, помогло. После 9:00 график учитывает изменения в .htaccess

Проверьте, если у вас в URL присутствуют php-файлы с упоминаниями rk | redirect или у вас на сайте используются баннерное размещение через БУС(там используется rk.php), cледовательно у вас будет отдаваться 403 Forbidden

Пользователь 36135

Заглянувший

Сообщений: 9 Регистрация: 21.01.2009

#19

17.12.2018 16:45:57

Цитата
Проверьте, если у вас в URL присутствуют php-файлы с упоминаниями rk \| redirect или у вас на сайте используются баннерное размещение через БУС(там используется rk.php), cледовательно у вас будет отдаваться 403 Forbidden

лично я из двух баннеров на главной оставил один и убрал с картинки ссылку, поэтому при клике не возвращается 403 Forbidden. Можно также убрать статистику и клики в параметрах баннера.

Пользователь 445855

Посетитель

Сообщений: 29 Баллов: 3 Регистрация: 25.12.2015

#20

24.12.2018 12:53:06

Это конечно временное решение.

Код
<FilesMatch "(rk\|redirect).(php)$"> Order Allow,Deny Deny from all </FilesMatch>

Баннеры это пол беды. У меня фильтр товаров работает через редирект. Что с этим делать пока не знаю.

Постоянные запросы идут такого вида:

Код
/bitrix/rk.php?goto=https://сайт /bitrix/redirect.php?event1&event2&event3&goto=http://сайт

Тут нужна заплатка на редирект от черезмерной нагрузки на БД, иначе часть функционала сайта работать не будет.

Странно что разработчики молчат. Проблема носит явно массовый характер.

Пользователь 297887

Заглянувший

Сообщений: 9 Регистрация: 12.12.2018

#21

24.12.2018 13:12:22

Тут вот еще какое дело: из-за всего этого дурдома невозможно попасть в админку - постоянно выкидывает, а когда заходишь в "Кто на сайте" - там 5-10 учетных записей с именем админа и географией от Германии до Канады... С этим как быть?

Пользователь 445855

Посетитель

Сообщений: 29 Баллов: 3 Регистрация: 25.12.2015

#22

24.12.2018 15:20:44

Цитата

Виталий Александров написал:
Тут вот еще какое дело: из-за всего этого дурдома невозможно попасть в админку - постоянно выкидывает, а когда заходишь в "Кто на сайте" - там 5-10 учетных записей с именем админа и географией от Германии до Канады... С этим как быть?

У меня такого не наблюдается. Иногда регятся спам-боты, но у них прав никаких нет.

Пользователь 297887

Заглянувший

Сообщений: 9 Регистрация: 12.12.2018

#23

24.12.2018 16:11:18

Цитата

Олег Воронин написал:

Цитата
У меня такого не наблюдается. Иногда регятся спам-боты, но у них прав никаких нет.

Ну тут дело не в том, что они входят под админом, а в том, что, судя по всему, им стал известен логин и они делают множество попыток входа перебирая пароль или просто указывая любой пароль, а меня (с корректными логином-паролем) постоянно выкидывает.

Пользователь 445855

Посетитель

Сообщений: 29 Баллов: 3 Регистрация: 25.12.2015

#24

24.12.2018 16:20:29

Я пока сделал более выборочно:

Код
<FilesMatch "(rk\|redirect).(php)$"> RewriteCond %{QUERY_STRING} goto= [NC] RewriteRule ^.*$ - [F] </FilesMatch>

Пользователь 445855

Посетитель

Сообщений: 29 Баллов: 3 Регистрация: 25.12.2015

#25

24.12.2018 17:54:28

Цитата

Виталий Александров написал:
Ну тут дело не в том, что они входят под админом, а в том, что, судя по всему, им стал известен логин и они делают множество попыток входа перебирая пароль или просто указывая любой пароль, а меня (с корректными логином-паролем) постоянно выкидывает.

Ну так смени логин на другой.
Еще можно на вкладке "Безопасность" группы "Администраторы" установить "Количество попыток ввода пароля до показа CAPTCHA:" поставить 0.

Попытка фишинга через редирект

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером