Заражение сайтов

по хорошему у Битрикс в базе должна стоять защита (или как минимум опция в проактивном фильтре), там все действия хакеров стандартные и максимально нестандартные для обычных пользователей — попытка через GET или POST пропихнуть функции base64_decode, file_put_contents и т.п. В таком случае — бан и в стоп-лист.

также удивило, что с учетом массовости проблемы, до сих пор в Маркетплейсе нет решений от разработчиков, которые решают эту проблему, хотя... может плохо искал и уже есть.

активно пользуемся вашими модулями, думаю для вашей команды это на вечер задачка )

а так пока сами мини-модуль написали, который в OnPageStart проверят подозрительные запросы и в бан отправляет, но знаний не хватает, чтобы с уверенностью сказать, что точно все плохое блокируется, или в блокировку не улетает и что-то нужное.

Необходим дополнительный модуль, который сканирует кода сайта на Битриксе на предмет присутствия в коде любых широко известных уязвимостей и как минимум сигнализирует о них, а лучше - сразу исправляет. Модуль должен регулярно обновляться.

Не все могут себе позволить держать постоянно обновленное ядро Битрикса, все решения и все модули сайта - это довольно трудоемкая и дорогая задача для большинства пользователей.

если бизнес не закладывает все необходимые расходы на поддержание сайта и прочих статей расхода, то такой бизнес не имеет шансов выжить. это как из серии продавцов которые купили по 100 продают по 120 а при этом доп расходов у них еще на 80 и потом сидят и удивляются как же так при марже в 20 они в кредитах и долгах оказались...

Все это давно есть и называется WAF ) в том же самом Cloudflare в бесплатном тарифе. Создавайте правила и отрезайте всю ботню, парсеров, краулеров и прочую нечисть. А уж по http ниже 2 - нормальные пользователи не ходят.

Думаю, что было бы правильным добавить в типовой "Сканер безопасности" от Битрикса функции обнаружения в коде всех серьезных уязвимостей в ядре Битрикса и в любых дополнительных модулях. "Сканер безопасности" должен сигнализировать админу сайта на почту об обнаружении любых уязвимостей в коде с указанием конкретного файла и строки. Причем "Сканер безопасности" должен сканировать код сайта автоматически, например ежеденевно и должен обновлять свои сигнатуры удаленно, даже если ядро Битрикса не обновлено до последней версии.

/bitrix/admin/security_scanner.php?lang=ru

В целом проблема уязвимостей в коде - это ответственность не пользователей и даже не разработчиков модулей, а Битрикса, т.к. модули распространяются через Маркетплейс Битрикса и при размещении модулей Битрикс обязан проверять их на уязвимости и гарантировать отсутствие уязвимостей в коде модулей перед пользователями. Если какие-то уязвимости не были обнаружены до размещения модуля в Маркетплейсе, то это прежде всего косяк самого Битрикса. Именно Битрикс должен предпринимать все меры по решению возникших проблем, а не самоустраняться от их решения или переводить стрелки на разработчиков модулей.

Корректировка по пп3 после вчерашних атак:

if ($_SERVER['REQUEST_METHOD'] == 'POST'){
   $cont=mb_strtolower(file_get_contents('php://input'));
    if (strpos($cont,'base64_decode') !== false ||  strpos($cont,'file_put_contents') !== false ||  strpos($cont,'file_get_contents') !== false || strpos($cont,'fwrite')  !== false || (strpos($cont,'action=getphpversion')!==false &&  strpos($cont,'path=')!==false &&  strpos($cont,'echo')!==false)  ){
       die('Все, лесом ребята');
   }
}

20 часов - полет нормальный.

Просто в самом начале скрипта init.php добавьте этот код. Я еще перед die() добавил логирование в файл. И в настройках Проактивного фильтра в битриксе включил блокировать IP адреса. И в итоге ИП адрес заблокированный совпадает с ИП адресом в лог-файле попыток взлома.

Добрый день. да, в начало /bitrix/php_interface/init.php (либо если в папке local он - туда).
Только версия кода чуть другая:
if ($_SERVER['REQUEST_METHOD'] == 'POST'){
   $cont=mb_strtolower(file_get_contents('php://input'));
    if (strpos($cont,'base64_decode') !== false || strpos($cont,'file_put_contents') !== false || strpos($cont,'file_get_contents') !== false || strpos($cont,'fwrite') !== false || strpos($cont,'action=getphpversion')!==false){
   die('Все, лесом ребята');
}

}
Либо дополнительно с корректировкой предложенной Артур Голубев, :

if ($_SERVER['REQUEST_METHOD'] == 'POST'){
  $cont=mb_strtolower(file_get_contents('php://input'));
}else{
  $cont=mb_strtolower($_SERVER['QUERY_STRING']);
}

if (strpos($cont,'base64_decode') !== false || strpos($cont,'file_put_contents') !== false || strpos($cont,'file_get_contents') !== false || strpos($cont,'fwrite') !== false || strpos($cont,'action=getphpversion')!==false){
   die('Все, лесом ребята');
}

только по ftp файл редактируйте, т.к. через браузер и редактор файлов битрикса он уже не отредактируется - отсечка пойдет данным кодом.

Александр Каменский, если блокирует битрикс/аспро - хорошо. но по мне - лучше перестраховаться всем чем можно. Спасение утопающих...

Выше писал - клиенту повезло очень что база данных большая у сайта и был бэкап сделан, т.к. вирус зашифровал все файлы и удалил первый файл бэкапа.
Бэкап восстановили, но поврежденный. в поврежденной части только дамп базы был. Иначе клиенту пришлось бы сайт с 0 делать. там на аспро был а импорт из экселя модуль - через него заходили.

Поэтому лучше все что написал сделать - и правило nginx и код в init.php и обязательно бэкапы, которые не на сервере сайта хранить а на удаленном хранилище + локально копию.
Это дешевле чем с 0 все делать.

Коллеги, подскажите.

После патчера аспро и удаления папок с кешем, везде начало вылетать окно авторизации пользователя.
Как лечить?

p.s Всю алгоритмику из топика по чистке так же провел..

p.s.p.s заражение было - все как в это топике.. созданные файлы 9y754543.php, файлы в ajax - _fly и т.д

Спасибо за ответ, Дмитрий, но мимо(

htaccess'ы мусорные чистил и на всякий еще разок взял и сбросил до заводских)
К сожалению не помогло. Везде форма авторизации, после авторизации в которой - все прекрасно и как надо отображается.

p.s Хостинг - виртуальный, вредоносные агенты пока до конца не разобрался, как отличить.

Всем привет! Буду рад любой помощи, получаю ошибку:

Forbidden

You don't have permission to access this resource.

Apache/2.4.56 (Debian) Server at aurum-doors.pro Port 80

Всё вычистил, более ничего не появляется, /bitrix/admin/sale_order.php - не могу войти, где копать?