| Цитата |
|---|
| написал: Добрый день! У нас тоже упал сайт, и не возможно зайти в админку. Подскажите, пожалуйста, как вы выполнили вход? Я аккаунт-менеджер, мы сейчас без программиста и в поиске тех. поддержки на постоянную основу. |
|
Разработчикам |
Взломаны сайты в честь дня конституции украины
Взломаны сайты в честь дня конституции украины
+79518759917 |
|||||
|
|
|
|
Коллеги, может тут все таки будет собирать информацию по взлому, а не рекламировать свои услуги!
|
|
|
|
|
|
|||
|
|
|
|
У нас заражены сразу десяток проектов на разных хостингах с разными версиями Битрикс.
|
|
|
|
|
|
Были взломаны 2 сайта (основной и сайт для разработки) , оба на разных виртуальных машинах под Bitrix VM 7, сайт под разработку был под htpasswd.
Основной был восставлен из вчерашнего бекапа, обновлён до актуальной версии, как и сам сервер, второй оставлю для поисков проблемы, такое ощущение, что было что-то залито ранее. Сайт другого клиента не был тронут, обновления были установлены 4 апреля 2022 года, работает не на Bitrix VM. |
|
|
|
|
|
|||
|
|
|
|
|||
|
|
|
|
2 сайта на базе корппортала, bitrixvm
Обновления стояли, сайты нетронуты POST запросов не наблюдали (возможно плохо смотрел, но не было). Скажите, а меняли пароли админа с ID 1 или всей группы администраторов? |
|
|
|
|
|
А вот по поводу уничтоженных инфоблоков - кому-то удалось выяснить, это непосредственно информация удалена из бд, или какие-то менее глобальные изменения? На проекте не создавались бэкапы, теперь непонятно, где искать утраченное.
|
|
|
|
|
|
|||
|
|
|
По поводу какие изменения сделали: - удалили файл .settings.php, - заменили главную страницу, - потерли инфоблоки, - изменили содержимое агента с ID = 1, - изменили пароли и хеш пароли на такое содержимое как на третьем скрине. |
|||||
|
|
|
|
На двух сайтах был взлом через /bitrix/tools/vote/uf.php
1) Заменили index.php 2) Удалили /bitrix/.settings.php 3) Добавили агента и ID 1 Пароли не меняли, инфоблоки не затерли. Как лечил 1) Для /bitrix/tools/vote/uf.php добавил die 2) Для /bitrix/tools/html_editor_action.php добавил die 3) Почистил /upload/tmp 4) Удалил агента с ID 1 5) Удалил /bitrix/tools/putin... 6) Восстановил Index.php и .settings.php |
|
|
|
|
|
|||||||||
|
|
|
|
У меня взломаны два сайта, все вышеперечисленные признаки, плюс еще один агент изменен (ID=2)
И при редактировании юзера, ошибка |
|
|
|
|
|
Заметил, что в логах взлом был с адреса 185.180.199.209, В группе разработчиков в телеге, у кого-то тоже взлом с аналогичного IP
У кого какие адреса использовались для взлома? |
|
|
|
|
|
|||
|
|
|
|
|||
|
|
|
|
Всех приветствую! У моих знакомых так же был взломан сайт, все по предыдущим пунктам. Что лично я обнаружил:
Во-первых, все пароли были поменяны на незашифрованное слово "putin":
Способ решения проблемы: 1. Заходим в базу данных, получаем список пользователей по запросу:
2. Я могу вам предложить свой пароль, который сгенерировал рандомно из головы (временно), собственно - ставим его:
Пункт два помогает вам установить пароль на: "Vadimka123" Да, вы войдете, но скорее всего вас ждет картина с удаленными ИБ. Исправление остальных проблем: 1. Для начала - удалите ваши "Агенты", который делают эти деяния: Первый "Агент" выглядит так:
Удаляем его. Второй "Агент" выглядит так:
Удаляем его так же. 2. Поиск измененных файлов: Если вы используете bitrix в одной директории с остальным сайтом, выполните следующую команду:
Сама команда:
Таким образом мы обнаружим последние модифицированные файлы. Если же многосайтовый режим, через шаринг bitrix - в директории bitrix советую выполнить так же эту команду. 3. Лечим задетые файлы. Мы проанализировали список запросов, по которому пытались бить POST-ом: В файл /bitrix/tools/vote/uf.php перед required (а ещё лучше - в компонент):
В логах NGINX обнаружено следующее:
(остальное сейчас дополню) |
|||||||||||||||||||||
|
|
|
|
Для запуска из консоли - ищем все модифицированные сегодня файлы, с раширением php в папке /var/www/html(папку ставим свою). Список будет в файле:
/var/log/daily_modify_php_files.log find /var/www/ -type f -name "*.php" -mtime 0 -printf '%TY-%Tm-%Td %TT %p\n' | sort -r >>/var/log/daily_modify_php_files.log |
|
|
|
|
|
Так же обнаружил попытку взлома на проекте, но она получилась у злоумышленников только наполовину т.к. агенты не успели отработать до того как я их обнаружил.
Были обращения с IP 185.180.199.209 к файлу /bitrix/tools/html_editor_action.php Были изменены 2 агента, первый тот что с eval() c ID 1, второй с ID 2 (скриншот). |
|
|
|
|
добавьте -mtime 0 Иначе, он просто у вас ищет все файлы и выводит дату модификации. Хотя, конечно можно и так. Все равно он сортирует от большего к меньшему(-r). |
|||
|
|
|
|
При попытке восстановления из бэкапа (облачного или локального, без разницы) - ошибка кто-то знает как исправить ее чтобы восстановиться?
|
|
|
|
|
|
|||
|
|
|
|
||||
|
|
|
|||
