Алексей Вдовин (Все сообщения пользователя)

Это всё полумеры, нужно найти источник проблемы.

Мне тут обратились за помощью - vds (правда самопал на ubuntu - тут не понравилось, на bitrix_env настройки лучше в плане безопасности), сайт на сервере один.
Всё что знал посмотрел, и лицензия актива и обновления актуальны, по логам ничего не нашел - ... Через сутки взломали
Процесс в памяти, восстанавливает инъекцию в index.php

Уже тоже думаю эти функции запретить, т.к. других идей пока нет

Дмитрий Волинский,
Раз уж обратились в ТП я бы Вам рекомендовал запустить монитор качества, и посмотреть пункт "Ядро проекта модифицировалось".
И сразу попросите их привести в соответствие всё файлы по списку.
Делают это они достаточно быстро, и Вам будет спокойнее.
После чего сразу сделайте слепок инструментом Контроль целостности, чтобы в случае необходимости быстро найти изменённые файлы.

Рано вы такой вывод сделали.
Процесс уже в памяти сидит и восстанавливает инъекцию.
Вот если удалить все файлы и ребутнуть веб сервер (на шаред хостинге можно версию php туда сюда перекинуть, думаю эффект будет - или ТП попросить) тогда да, можно такой вывод сделать.

т.е. вы ставите на .htaccess права на запись и не получается? что за ошибку показывает?
вообще по идее вопрос по выставлению прав на файл - это в саппорт хостинга

у меня такого мусора нет в этом файле - обратись в саппорт, пусть глянут
(ну и нам ответ перекинь плиз)

молодец!
а вопрос то в чём?

можно полный путь до start.php
очень похоже на штатный Битриксовский обфускатор для кода где лицензионности касается

Зачем Вы сюда это выкинули?
У Вас есть действующая лицензия, обратитесь в службу поддержки.

Согласен.

Не согласен. Код 200 говорит о том, что страница такая есть и POST туда улетел и не вернул ошибку, но это не значит, что он обработался.
Я вам на главную могу кинуть POST любого содержания и вернётся 200 но ничего не произойдёт.

Чтобы удостовериться "поймайте" тело этого запроса ($_POST и $_GET) выше я писал как это можно сделать и в личку мне скиньте.

На моих сайтах и сайтах клиентов никакая зараза не пробивается, так что сильно сомневаюсь в пробивных свойствах этого эксплойта.

/bitrix/ можно только на чтение поставить, кроме этих директорий
/bitrix/backup/
/bitrix/cache/
/bitrix/managed_cache/
/bitrix/stack_cache/
/bitrix/tmp/ - этот не знаю
ну и естественно при обновлениях движка права нужно будет вернуть

переведите в 2х словах плиз

в исходниках с закоментированным кодом?
если так, то я был лучшего мнения о команде программистов Битрикса

vvv476, у Вас на исследуемом сайте стоят все актуальные обновления движка Битрикса?

запросы с CSISO2022KR возможно просто проверочные, так сказать скан по базе доменов на уязвимость
если они есть в логах это ещё не значит, что они отработали и сайт уязвим ...

для проверки осталось только реализовать уязвимость и попробовать на своём сайте

сугубо по фактам - мне не попадалось ни одного зараженного сайта с установленными актуальными обновлениями, так что делайте выводы

да, похоже все последние закладки по str_rot13 находятся - хороший способ
но тем не менее надо сначала фиксить дыры ... следующие закладки будут другие

"заведомо неизменном проекте" - улыбнуло, кто же такое в наше время может гарантировать ?
разве что, на закрытом сайте

Визуально вроде файлы неизменны, тикет уже в работе ... посмотрим чем закончится

для чего тогда в админке заложен такой функционал?

Кстати, раз уж Вы тут - без помощи ТП как то можно замечания по изменению файлов ядра самому фиксить?

просто сколько я не запускал монитор качества - эта проблема абсолютно везде всплывала, как правило все на неё "забивают"
разве что кроме совсем свежих проектов

вычистить иньекции (.htaccess, php и возможно js)

ну это когда восстановите админку - следующий шаг

модифицированность ядра можно посмотреть в мониторе качества
/bitrix/admin/checklist.php?lang=ru

по восстановлению файлов ядра Битрикс - статья

в 2х словах
/bitrix/admin/update_system.php?BX_SUPPORT_PROTOCOL3=Y
где 3 - день месяца  (сегодня 3)

но у меня чёт не завелось как были якобы 4 файла модифицированы, так и остались

у меня пусто - какое такое?

я бы чуток модифицировал - искать смысл только в php и вывод в файлик для дальнейшего анализа



можно ещё "eval(" и "base64_decode(" поискать - тоже часто используют в бэкдорах
но там много будет из не зараженного
у меня в /bitrix/bitrix.php такая инъекция была
@eval($_POST['DOCUMENT_ROOT'];

как вариант запуск "crontab -e ..." с помощью одной из команд
exec()
passthru()
proc_open()
shell_exec()
system()

Код в студию ... (в спойлер плиз)
и файл, где собственно обнаружен

к ознакомлению про /bitrix/modules/main/bx_root.php



остальное лишнее!