Алексей Вдовин (Все сообщения пользователя)

попробуй по времени создания/модификации файлов которые создаются в /bitrix/admin/ в логах посмотреть - скорее всего POST запрос будет

других методов не знаю

если кто знает - поделитесь плиз

Для контент менеджеров определённых сайтов нужно скрыть в структуре все другие сайты.

Это возможно?

PS
Варианты с кастомизацией движка тоже рассматриваю.

а вот это уже очень странно и волнительно!
какой хостинг? причину взлома нашли?

а вообще нужно обновляться до актуальной версии
все обратившиеся за помощью клиенты сидели на не обновлённом ядре
+ проект в git залить
тут придётся заливать вместе с ./bitrix/ т.к. туда бэкдоры и селятся, хотя его обычно исключают
далее
# git status - и все изменения как на ладони
и в случае взлома откатиться одной командой, типа
# git reset --hard HEAD

ну да, vote надо физически убирать иначе толку нет

первый взлом был осуществлен через vote?

У последнего клиента vote отсутствовал, так что хз как ломанули
Причем лом какой то странный, не пойму зачем htaccess так портить
И судя по его содержимому там и на wordpress какой то расчет...
Уже начинаю сомневаться, что это через ядро Битрикса взломали.

Врят ли в настройках, там рутовый доступ нужен, сломали скорее всего через старое ядро Битрикса.
Обновления в Битриксе были установлены?

Покажи .htaccess с корня

был POST /bitrix/admin/inputs.php
но вот самого inputs.php уже нет

как ломанули нашел, но к сожалению заказчик уже сам этот файл почистил
очень жаль ... так не найду откуда изначально дыра открыта

сегодня обратились за помощью - вообще жестокий взлом, сайт положили  - тупо .htaccess переписали поверх

будем логи изучать, через что залезли

смотреть даты изменения - это только если взломщик не позаботился о том, чтобы их обратно изменить
врят ли на это стоит рассчитывать

было такое - решение точно не скажу, но оно в этой теме точно есть ... я выкладывал что нужно сделать и ссылки на статьи источники, может 2-4 страницы тому назад
на сколько помню JS  иньекцию  нужно вычистить

коллеги, кто нибудь в курсе как зараза пролезает которая меняет
/bitrix/modules/main/bx_root.php

вот такой ужас там обнаружил
http://gtalex.ru/files/bx_root.txt

кто-то как у себя дома "хозяйничает" причём даже закоментированный код оставили зачем то

у клиента денег на обновление движка до актуальной версии нет
а дыру заделать очень просил

Евгений Донич, а у пользователя стояли последние обновления движка?
вроде уязвимость в html_editor_action.php уже давно прикрыли

вот я про это и говорю, на сколько я понимаю /upload/tmp/ не есть директория для временного хранения файлов в понятиях PHP
но используется Битриксом как директория для временного хранения файлов (но уже на каком то своём уровне)
сомневаюсь, что её можно вытащить за пределы сайта

хотя могу ошибаться ...

почему Вы так решили?
на сколько я понимаю там несколько другой механизм задействован - т.е. /upload/tmp/ это не = директория хранения временных файлов

по хорошему с интерфеса бы, простому "смертному" зачем знать о таблицах?

если посмотреть исходники, то всё проясняется

if (file_exists(LOCK_FILE)){
 if (!($time = file_get_contents(LOCK_FILE)))
    RaiseErrorAndDie('Can\'t read file: '.LOCK_FILE, 1);

в этот файл он пишет время, если нет места файл создаётся нулевой и кирдык процессу - надо убивать вручную

судя по информации в статьях из предыдущего поста - с большой долей вероятности вас взломали через уязвимость html_editor_action.php - все симптомы взлом "на лицо"

на сайте, где в данный момент занимаюсь этой проблемой обнаружил тоже самое
"снос" данной папки Вам вообще ничего не даст - это следы взлома, нужно защищать html_editor_action.php либо обновляться

забавно - на мой вопрос, скинули мне решение из моего блога
надо было когда решил вопрос сюда самому запостить  ...

Дак это ж всё - сразу "Привет"
Скрипт будет выполняться от рута, со всеми вытекающими ...

Зачем кому-то это делать?

Алексей Чебанов, Вас оскорбляли?

Так и не понял, чем решение для vps будет отличаться от решения для шаред хостинга

Алексей Чебанов, поясните этот момент . В чем разница?

Какие именно виды атак на свежей сборки прошли?
Какие дыры Вы залатали?