Разработчикам

Александр Чубуков (Все сообщения пользователя)

Captcha в обратной связи, нет картинки

Пользователь 126341 Заглянувший Сообщений: 14 Регистрация: 26.07.2013	# 28.12.2016 09:41:58 У меня не отображалась сама картинка капчи (рамка была) после того, как я в файле /bitrix/.htaccess запретил доступ в раздел со всех IP кроме своего.
	Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341 Заглянувший Сообщений: 14 Регистрация: 26.07.2013	# 30.11.2016 09:45:00 Павел Тупиков, чем проверяли сайт, как выявили заражение?
	Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

12.08.2016 13:42:52

В итоге оказалось что злоумышленник проникал на сайт через веб-морду phpmyadmin. Однажды я правил файл /bitrix/.settings, открыл как обычный файл (нужно было редактировать "как php"), внес изменения и сохранил после чего его содержимое вывелось на главной странице сайта, прямо сверху. В этом файле содержатся учетные данные для подключения к базе. Я быстренько вернул все обратно, но видимо этого хватило для слива пароля, может поисковик закэшировал. Всегда думал что в phpmyadmin можно попасть только через админку хостинга, оказалось что вэб-авторизация доступна всем.
Очень помогла разобраться статья, подкинутая техподдержкой https://habrahabr.ru/company/bitrix/blog/305704/
Будьте внимательны, меняйте пароли.

Кстати, для чего в Битриксе логин, пароль для подключения к БД содержится в двух файлах /bitrix/.settings и /bitrix/php_interface/dbconn.php?

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341 Заглянувший Сообщений: 14 Регистрация: 26.07.2013	# 29.07.2016 15:48:00 Антивирус включен. Журнал вторжений пуст, но скорее всего был очищен, т.к. раньше в нем были записи. Доступ в административный раздел включен по IP-адресу.
	Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

29.07.2016 14:29:45

Продолжение. Через пару дней заметил, что файлы ядра снова модифицированы. Оказалось в системных каталогах были оставлены пара бэкдоров, которые не затираются при проверке целостности системных файлов. Обнаружил бэкдоры с помощью ai-bolit в параноидальном режиме и ручным перелопачиваем подозрительных файлов.

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

18.07.2016 12:02:35

Спасибо техподдержке Битрикс и антивирусному сканеру Ai-bolit, помогли решить проблему. В моем случае вирус прописался в файлы ядра.
Проверка антивирусом выявила подозрительные вставки кода в файлы из каталогов /bitrix/modules/main и /bitrix/modules/main/include . При этом проверка целостности файлов Битрикс в мониторе качества проходила нормально.
Дали совет перезаписать файлы ядра, делается по ссылке /bitrix/admin/update_system.php?lang=ru&BX_SUPPORT_MODE=Y
Результат: левых ссылок нет.

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

20.06.2016 15:54:52

Цитата
Владимир Линецкий написал: А он в свое время лежит в папке bitrix/template

Пробовал подставлять разные шаблоны, ситуация не меняется. И когда смотришь страницу в режиме редактирования вирусная реклама подсвечивается в блоке рабочей области (#WORK AREA#), а не в хидере или футере.

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

20.06.2016 15:48:47

В файле /bitrix/modules/main/include.php есть нижеследующая строка, она может быть вирусной записью?

Код

/*ZDUyZmZMTMzMzcwZWM2MWIwNjNmMWU4YjFkMmRlOTIzNTY5MTQ=*/$GLOBALS['____168676917']= array(base64_decode(''.'ZGVmaW5'.'l'));; function ___1489431723($_992440578){static $_1292463254= false; if($_1292463254 == false) $_1292463254=array('RU5DT0RF','WQ==');return base64_decode($_1292463254[$_992440578]);};  class CBXFeatures{ public static function IsFeatureEnabled($_101771094){ return true;} public static function IsFeatureEditable($_101771094){ return true;} public static function SetFeatureEnabled($_101771094, $_1071419511= true){} public static function SaveFeaturesSettings($_1391148745, $_33645434){} public static function GetFeaturesList(){ return array();} public static function InitiateEditionsSettings($_481055830){} public static function ModifyFeaturesSettings($_481055830, $_1043809386){} public static function IsFeatureInstalled($_101771094){ return true;}} $GLOBALS['____168676917'][0](___1489431723(0), ___1489431723(1));/**/         //Do not remove this

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

20.06.2016 10:56:00

Развернул сайт на виртуальной машине, рекламные ссылки не появляются. Manul после начала проверки зависает на произвольном файле, при это грузит проц виртуальной машины на 100%, права на запись в на весь каталог есть. На реальном сайте Manul'ом проверить нет возможности т.к. ограничено на время выполнения скрипта.
Linux Malware Detect на виртуалке ничего не находит.
Правильно понимаю, что каталог /bitrix и все содержимое сайтописателями не должно меняться и он может быть изменен только вирусами? Если это так, то возможно ли взять каталог /bitrix со здорового сайта и заменить им зараженный?

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

15.06.2016 15:44:07

Объясните пожалуйста почему рекламные ссылки появляются только при прямом переходе на страницу (вставил ссылку в адресную строку браузера и перешел), а при переходе с внутренних на эту же страницу рекламы нет, страница формируется веб-сервером по-разному в том и другом случае?
Когда сбрасываешь кэш ссылки также исчезают.

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

14.06.2016 11:11:44

Денис Сон, можете привести кусок вредоносного кода, который может быть в модифицированных файлах? Через проверку качества выдается много модифицированных файлов в модулях form, main,sale. Но если верить форумам ( https://dev.1c-bitrix.ru/support/forum/forum6/topic50553/ ), то выдача модифицированных файлов в отчете может быть и багом/особенностью Битрикса.

Тимофей Савинов, да, сервер на Линуксе, но тариф хостинга не позволяет устанавливать ПО, попробую перенести сайт на виртуалку и там проверить.

Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341 Заглянувший Сообщений: 14 Регистрация: 26.07.2013	# 14.06.2016 10:22:18 Денис Сон, спасибо за предложение, но хотелось бы самому разобраться дабы исключить подобное в будущем.
	Перейти

Левые ссылки на сайте, Ссылки на чужие сайты в разных разделах сайта

Пользователь 126341

Заглянувший

Сообщений: 14 Регистрация: 26.07.2013

14.06.2016 09:54:50

Добрый день специалисты, прошу помощи.
На сайте появились текст и ссылки на чужие сайты рекламного характера в разных разделах сайта, в основном на самых посещаемых страницах, пример на скрине. Эта реклама появляется на любых страницах, т.е. как в каталоге товаров, в карточке товара, так и на страницах вакансий и т.д.. В редакторе страницы рекламный текст не отображается. Рекламные ссылки появляются на странице только при прямом переходе, при переходе с внутренних страниц рекламы нет. Шаблоны страниц какие смог проверил, ничего подозрительного не обнаружил, видимо где-то в коде.

Битрикс Управление сайтом, версия 16.0.3. Проверка файлов сайта и БД ошибок не выдает.

Помогите разобраться пожалуйста.

Перейти

Александр Чубуков (Все сообщения пользователя)

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером