|
Разработчикам |
Вполне возможно, что уже начались целевые атаки на основе поиска уязвимостей не АСПРО, а на основе анализа кода конкретного проекта, который мог быть скачан во время предыдущего заражения. |
|||||
|
|
|
|
Тоже на проектах были установлены модули kda и esol, анализируем сейчас логи.
|
|
|
|
|
|
у меня не было модулей kda и esol, был только сайта на аспро. Снес его и вирусов не стало.
Косяк от аспро нереальный, конечно |
|
|
|
|
|
еще один момент,в последнее время попытки атак идут преимущественно с серверов AEZA
сегодня атаковали все сайты по несколько раз с IP — 85.192.30.151 (AEZA RU) правильно понимаю, что можно смело банить все подсети AEZA? вероятность, что это реальный посетитель минимальна, разве что кто поднял там собственный VPN и серфит интернет через него или все сложней? кто вникал в вопрос? и где можно в онлайне актуальный список всех статей AEZA посмотреть? UPD. список подсейтей они сами отдают, ссылку можно через whois посмотреть — |
|
|
|
|
|
Можно AEZA написать на с жалобой на атаки с их серверов, но это временная мера.
|
|
|
|
|
|
Евгений Иванкин, AEZA тот самый хостинг который все эти жалобы игнорирует. Не первый год уже что атаки происходят через них
|
|
|
|
|
|
|||
|
|
|
|
Коллеги всем привет! обнаружил как вычистить шелы? тоже подхватили заразу в папке ajax, три файла
/ajax/reload_basket_fly.php /ajax/show_basket_fly.php /ajax/show_basket_popup.php До этого делал вычищал крякозябры с php в той же папке, файл txt тоже там лежал! Зараза пошла после того как провели парсинг через вышеуказанные модули от kda и esol. Пробывал принудительно удалять файлы скриптов и форм, по папкам сайт простоял ночь. Еще на заметку: Срабатывание атаки в модуле защиты на капчу ( стоит гугл v3) , думаю зараза шла через формы. Потому как после всего это началась эта эпопея и спустя 2 дня появились эти файлы в аякс |
|
|
|
|
|
|||
|
|
|
|
Добрый день.
Про взлом сегодня, где модули kda и esol Согласно логам, обращение идет к /bitrix/admiin/esol_allimportexport_cron_settings.php Пример 85.192.30.151 - - [12/Mar/2025:04:50:59 +0300 - 0.002] 200 "GET /c2c3bfdcd4a3.php HTTP/1.1" 7 "САЙТ/bitrix/admin/esol_allimportexport_cron_settings.php" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2943.54 Safari/537.36" "-" Также /bitrix/admin/esol_import_xml_cron_settings.php /bitrix/admin/kda_export_excel_cron_settings.php Сегодня разработчики выложили патчер на странице модуля в маркетплейс |
|
|
|
|
|
Взломщики уже увидели патчер от esol, закрывают этот файл для записи и добавляют в начало файла строку "<?php // 403 Forbidden ?>". Из-за чего патчер не исправляет файлы.
|
|
|
|
|
Загружаем на север, меняем расширение на sh, делаем исполнительным, запускаем. UPD: файлик не прикрепился, вот текст:
|
|||||
|
|
|
|
|||||
|
|
|
|
А не подскажите, ставлю патч от Аспро и на всех страницах сайта стала вылазить авторизация.
|
|
|
|
|
|
|||
|
|
|
там помимо данных файлов еще закрывалась дыра в этом: /bitrix/admin/esol_massedit_profile.php — это от другого их модуля у кого установлен "Массовая обработка элементов инфоблока (товаров)" от ESOL — срочно проверяйте дыру! судя по тому, что сегодня уже рано утром пошли попытки атак через POST-запрос к этому файлу, мамкины хакеры возможно активно мониторят данную тему...
|
|||||
|
|
|
|
Сергей, подскажите, какая именно была уязвимость? простого удаления файлов достаточно? а если нужен функционал?
|
|
|
|
|
|
Вот в корне сайта файл с кодом, и список уязвимых модулей
$arFiles = array( '/bitrix/modules/esol.allimportexport/admin/cron_settings.php', '/bitrix/modules/esol.importexportexcel/admin/iblock_export_excel_cron_settings.php', '/bitrix/modules/esol.importexportexcel/admin/iblock_import_excel_cron_settings.php', '/bitrix/modules/esol.importxml/admin/import_xml_cron_settings.php', '/bitrix/modules/esol.massedit/admin/profile.php', '/bitrix/modules/kda.exportexcel/admin/iblock_export_excel_cron_settings.php', '/bitrix/modules/kda.importexcel/admin/iblock_import_excel_cron_settings.php', ); $cnt = 0; foreach($arFiles as $fn) { $fn = $_SERVER['DOCUMENT_ROOT'].$fn; if(file_exists($fn)) { $c = file_get_contents($fn); if(stripos($c, '403 Forbidden')===false) { file_put_contents($fn, "<?if(isset(\$_REQUEST['path']) && strlen(\$_REQUEST['path']) > 0) { header((stristr(php_sapi_name(), 'cgi') !== false ? 'Status: ' : \$_SERVER['SERVER_PROTOCOL'].' ').'403 Forbidden'); die(); } ?>".preg_replace('/@exec\(\$phpPath.\' \-v\'/', '//$0', $c)); $cnt++; } } } unlink(__FILE__); echo 'patched:'.$cnt.'.'; код патчит файлы админок
Увеличьте продажи трансформировав сайт
|
|
|
|
|
|
вообще по хорошему если есть не обновленные модули то все надо обновить.
Увеличьте продажи трансформировав сайт
|
|
|
|
|
|
Официоз:
|
|
|
|
|
|
Всем привет! Снесите модули все через сервак от ROOT, вычистите код и мусор от модулей , заново поставьте, жертвуем только настройками и шаблонами этих модулей. Я пока снес все модули от этих разработчиков. С авторизацией стало странно, все доступы сменил. Подскажите в чем может быть проблема? На всякий случай закрыл админку с других IP
|
|
|
|
|
|
привет всем.
несколько наработок, коллеги и владельцы сайтов - используйте: 1. Да, обновить все в любом случае (и битрикс и модули все). 2. сайт в гит целиком (кроме upload и еще некоторых) - тогда можно пока все дыры не заткнуты через git status git add . git reset —hard HEAD откатить вирусняк по крайней мере. gitignore скину сейчас 3. в init.php такой код (с правками от 15.03.2025): if ($_SERVER['REQUEST_METHOD'] == 'POST'){ $cont=mb_strtolower(file_get_contents('php://input')); }else{ $cont=mb_strtolower($_SERVER['QUERY_STRING']); } if ($_SERVER['REQUEST_METHOD'] == 'POST'){ $cont=mb_strtolower(file_get_contents('php://input')); if (strpos($cont,'base64_decode') !== false || strpos($cont,'file_put_contents') !== false || strpos($cont,'file_get_contents') !== false || strpos($cont,'fwrite') !== false || (strpos($cont,'action=getphpversion')!==false && strpos($cont,'path=')!==false && strpos($cont,'echo')!==false) ){ die('Все, лесом ребята'); } } отрезает часть попыток. 4. Сделал автонастройщик и плагины под БУС для ISPManager (Debian 12 и Ubuntu 22.04) - Пока документация и статьи еще в процессе + жду PHP84 как у ISP из беты выйдет. Но можно использовать. Там файлик есть для nginx (с форума битрикса доработанные правила, часть тоже отрезает из хакеров) - .gitignore кому нужен: /.idea/ /bitrix/cache/ /bitrix/managed_cache/ /bitrix/stack_cache/ /bitrix/html_pages/ /bitrix/tmp/ /bitrix/updates/ /bitrix/backup/ /upload/ /stats/ /logs/ /bitrix/.settings.php /bitrix/error.log /bitrix/modules/updater.log /bitrix/modules/updater_partner.log /bitrix/modules/install.log /bitrix/modules/xmppd.log /bitrix/site_checker_*.log /log.txt *.log /xmpp_dump_* /local/cron-run/* /local/tmp/ /local/php_interface/cron/manual.load.catalog/files/ /robots.txt /sitemap.xml /sitemap_*.xml /google*.html /yandex*.html /yandex*.txt /bitrix/catalog_export/ /bitrix/modules/statistic/ip2country/cidr_optim.txt /bitrix/modules/statistic/ip2country/cities.txt /bitrix/ammina/ /bitrix/ammina.cache/ /seofiles/ /local/cron/system/cron-run/ /bitrix/modules/statistic/ip2country/GeoLite2-City.zip /bitrix/modules/statistic/ip2country/GeoLite2-City.csv /bitrix/error.log.old *.zip *.txt *.log *.xml И при загрузке кстати репы на компьютер с касперским он часть кода тоже определяет вирусного. но не все 5. Бэкапы!Бэкапы!Бэкапы! Сегодня появился еще вирус - все файлы php заменяет и ничего не сделать - только бэкап. Можно нашим модулем на яндекс диск . Настраивайте ежедневное копирование и храните копий 5 хотя бы. можно несколько схем - базу+полный+без папки upload, ежедневный за неделю хранить, еженедельный - месяца за 2-3. Чтото да восстановите если совсем плохо будет. |
|
|
|
|
|
что касается горячо любимых мамкиных хакеров, которые наверняка читают эту тему -
ребята, вы можете сколько угодно ядом сочиться и делать подлости русским и другим народам на территории РФ - карму никто не отменял. она автоматически работает в момент когда подлость делаете. как вылезет никто не скажет - может заболеете, может под машину попадете, может кто то из близких пострадает - в любом случае за каждое действие отвечать всегда приходится. можете сейчас поржать, но когда что то случится с вами - этот пост вспомните и расскажите таким же подлецам - авось и спишется пара процентов если удержите кого-то от делания гадостей. |
||||
|
|
|
|||
© 2001-2025 «Битрикс», «1С-Битрикс». Работает на 1С-Битрикс: Управление сайтом. 
Политика конфиденциальности