Алексей Вдовин (Все сообщения пользователя)

ну если интересно что тут происходит можно
загнать в $_POST["BX_STAT"] содержимое post запроса, разделить функции на поэтапный вызов и дебаггером посмотреть
заодно по стеку вызовов глянуть как он подключается

если не интересно грохаем файлик и следим дальше

ну и первое, что нужно было сделать - конечно  обновить лицензию и ядро

тут новенький почему то не может в тему написать, кинул в личку - репост ниже
лично я таких POST ещё не встречал, думаю просто совпадение


я бы для начала так же как в предыдущем случае попробовал изучить запрос более детально
сохранил бы $_GET  $_POST параметры   (я так понимаю в лог полностью $_GET не влез, а было бы интересно взглянуть)

т.е. в /products/index.php в самое начало и mail() для оповещения перед die()

Александр, теперь поиском по всем php файлам ищите bitixxx

И в агентах ещё обязательно проверьте заразу

На хостинге был ещё хоть один не обновленный сайт?
Или один сайт - один хостинг?

я так понимаю только не обновлённые, хотя было одно сообщение


но так и без ответа про уязвимость ...

Лично на моей практике попадались взломанные сайты только не обновлённые


похоже на причину новой "волны", на сколько я помню год назад тоже была волна взломанных сайтов и не только под Битрикс.

чего то сообщение задвоилось, глюк какой то

clone message deleted

dmitry920, Вы бы лучше на этой главной содержимое $_POST запроса куда нить в файлик сохранили и сюда запостили, тогда можно найти адресата - скорее всего в ядре где-то спрятался.
В Вашем случае злоумышленнику достаточно этот $_POST запрос на любую другую страницу направить и вуаля.
в самое начало index.php разместите (блокировку уберите, она тут есть)


перед die() можно ещё добавить mail('mail@to', 'hack attempt', 'hack attempt'); чтобы попытки POST запросов на мыло фиксировать, после чего в ./logs/ заглянуть и сюда содержимое файлика закинуть

Смотрите логи, чистите бэкдоры.
В агентах обязательно проверьте.

нет такого

а вот это первый раз встречаю
"POST /bitrix/tools/mail_entry.php/. ./. ./. ./bitrix/tools/html_editor_action.php HTTP/1.1"

думаю всё тот же html_editor_action.php

тут я вижу попытки залезть через
html_editor_action.php и модуль vote
все они пофикшены в актульных обновлениях...

у вас все актуальные обновления были установлены?

странно, что на vote ответ 200 - вроде ж его нет у Вас?

если в итоге в агентах нечисть, то это скорее всего уязвимость html_editor_action.php
в vote там попроще ломают, там агента делать необходимости нет

Иван Петров, Это уже "вторичка".
Надо искать пост который этот файл создал.

а что за запросы? куда долбят?

когда .htaccess похерели на сайте клиента, я несколько тысяч инфицированных .htaccess поиском нашел
пришлось с бэкапа восстановиться

правда я только файловую структуру восстанавливал - БД не трогал (в этом случае обязательно проверить наличие вирусни в агентах)

что-то новенькое!
а как залезают то?

тут самое интересное (и конечно самое трудоёмкое) - анализ логов и выявление дыры

а вот это уже совсем неприятно  ...
в саппорт Битры не обращались?

такой злобной "дичи" как у Вас я не встречал ещё - как найдёте дырку, не поленитесь - отпишите плиз

да, конечно
мной в априори подразумевается, что сайт на хостинге один и речь именно о Битриксе из коробки - в сторонних модулях гипотетически тоже дыр можно найти не мало

по хостингу т.к. речь шла именно о bitrix-env я рассматриваю этот момент тоже в контексте дыр Битрикса  
(хотя тут пока не подтверждено - человек просто наговорил всего и "слился" а-ля пусть меня Битрикс сам попросит)

в данной ветке один чел говорил, что VDS уязвимы ... но всё это осталось без какого либо подтверждения

в основном взломы в этой ветке сводятся на дыры в  vote.php и html_editor_action.php
которые давно зафикшены обновлениями Битрикса

Смысл выкладывать - что поломали? Тут может быть что угодно... В зависимости от того что захочет взломщик.

Гораздо интереснее - как проникли и почему?
Апдейты на движек всё стоят?
Модуль vote физически удалён?
Вы попробовали проанализировать логи?

попробуй по времени создания/модификации файлов которые создаются в /bitrix/admin/ в логах посмотреть - скорее всего POST запрос будет

других методов не знаю

если кто знает - поделитесь плиз

Для контент менеджеров определённых сайтов нужно скрыть в структуре все другие сайты.

Это возможно?

PS
Варианты с кастомизацией движка тоже рассматриваю.

а вот это уже очень странно и волнительно!
какой хостинг? причину взлома нашли?