Взломали Bitrix24 (сносят полностью /home/bitrix) при повторном взломе еще и файлы OS повреждают (ТП хостинга FVDS переустанавливала)
Логи OS и сервера NGINX по ним видно что прогоняли через сервис поиска уязвимостей
искали конфиг SFTP клиента VSCode которые по ошибки могли улететь на сервер (и не только это)
стучали в свой шелл CASUA
стучали в файл html_editor_action.php
с помощью bitrix.xscan был обраружен скрипт /g.php в котором содержался
phpFileManager 1.7.9 | By Fabricio Seger Kolling
Данный скрипт позволяет получить доступ к системным папкам OS сервера, и повредить их, тем самым удалить всю информацию и "уложить" сервер.
Цитата ТП FVDS
Добавьте в NGINX блокировку POST запросов к файлам
/etc/nginx/bx/site_settings/default/post_deny_all.conf
Логи OS и сервера NGINX по ним видно что прогоняли через сервис поиска уязвимостей
искали конфиг SFTP клиента VSCode которые по ошибки могли улететь на сервер (и не только это)
| Код |
|---|
194.36.190.226 - - [06/Sep/2023:19:46:53 +0300 - -] 403 "GET /.git/HEAD HTTP/2.0" 586 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36" "-"194.36.190.226 - - [06/Sep/2023:19:46:54 +0300 - -] 403 "GET /.svn/wc.db HTTP/2.0" 586 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36" "-" 194.36.190.226 - - [06/Sep/2023:19:46:54 +0300 - -] 403 "GET /.hg/store/00manifest.i HTTP/2.0" 586 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36" "-" 194.36.190.226 - - [06/Sep/2023:19:46:54 +0300 - 0.082] 404 "GET /.env HTTP/2.0" 4309 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36" "-" 194.36.190.226 - - [06/Sep/2023:19:47:28 +0300 - 0.096] 404 "GET /.vscode/sftp.json HTTP/2.0" 4327 "https://leakix.net/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36" "-" 194.36.190.226 - - [06/Sep/2023:20:02:19 +0300 - 0.016] 404 "GET /.vscode/sftp.json HTTP/2.0" 231 "https://leakix.net/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36" "-" |
стучали в свой шелл CASUA
| Код |
|---|
194.36.190.226 - - [06/Sep/2023:19:44:19 +0300 - 0.006] 200 "GET /bitrix/casshell.php HTTP/2.0" 3794 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/116.0.0.0 Safari/537.36" "-" |
стучали в файл html_editor_action.php
| Код |
|---|
45.146.167.56 - - [06/Sep/2023:19:06:41 +0300 - 0.025] 200 "POST /bitrix/tools/html_editor_action.php HTTP/1.1" 13849 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0_Cyberok" "-"45.146.167.56 - - [06/Sep/2023:19:06:41 +0300 - 0.024] 200 "POST /bitrix/tools/html_editor_action.php HTTP/1.1" 13863 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0_Cyberok" "-" |
с помощью bitrix.xscan был обраружен скрипт /g.php в котором содержался
phpFileManager 1.7.9 | By Fabricio Seger Kolling
| Цитата |
|---|
| //{"lang":"","fm_root":"","timezone":"","date_format":"Y\/m\/d H:i","auth_pass":"d41d8cd98f00b204e9800998ecf8427e","error_reporting":1} /*------------------------------------------------- | PHP FILE MANAGER +-------------------------------------------------- | phpFileManager 1.7.9 | By Fabricio Seger Kolling | Copyright © 2004-2021 Fabrício Seger Kolling | E-mail: | URL: | Last Changed: 2021-09-18 +-------------------------------------------------- ... |
Данный скрипт позволяет получить доступ к системным папкам OS сервера, и повредить их, тем самым удалить всю информацию и "уложить" сервер.
Цитата ТП FVDS
| Цитата |
|---|
| От: - 2023-09-07 10:46:39 По неизвестным причинам пропала часть файлов, которые нужны для корректной загрузки и работы ОС. Пытаемся восстановить их. Точных сроков пока назвать, к сожалению, не можем. -- С уважением, Системный администратор службы технической поддержки FirstVDS |
| Цитата |
|---|
| От: - 2023-09-07 11:37:51 На сервере отсутствовали файлы, необходимы для загрузки ОС. Переустановили ядро и загрузчик - сервер запустился. В данный момент видим, что отсутствует директория /home/bitrix, т.е. все файлы сайта. При этом другие директории, судя по всему, не затронуты: MySQL запущен и работает, базы данных на месте. Также на месте файлы в директории /ts (судя по всему это какие-то старые бекапы). Вижу по переписке, что ранее ваша система была взломана, вероятно это послужило причиной. Рекомендуем заказать новый сервер, и восстановить сайты на нем из резервных копий. Для этого вы можете обратиться к нам. -- С уважением, Системный администратор службы технической поддержки FirstVDS |
Добавьте в NGINX блокировку POST запросов к файлам
/etc/nginx/bx/site_settings/default/post_deny_all.conf
| Код |
|---|
# Blocked POST request injection
location ^~ /bitrix/tools/upload.php {
limit_except POST {
deny all;
}
}
location ^~ /bitrix/tools/mail_entry.php {
limit_except POST {
deny all;
}
}
location ^~ /bitrix/modules/main/include/virtual_file_system.php {
limit_except POST {
deny all;
}
}
location ^~ /bitrix/components/bitrix/sender.mail.editor/ajax.php {
limit_except POST {
deny all;
}
}
location ^~ /bitrix/tools/vote/uf.php {
limit_except POST {
deny all;
}
}
location ^~ /bitrix/tools/html_editor_action.php {
limit_except POST {
deny all;
}
}
location ^~ /bitrix/admin/site_checker.php {
limit_except POST {
deny all;
}
}
|
С ув. Вячеслав Докукин
