Последнее время в чате телеграмм Битрикс-сообщества все чаще мелькают сообщения о появлении пользователей даже на сайтах без регистрации, об обходе капчи и обязательных полей в кастомной регистрации, а так же о рассылках через сайты на Битриксе спама с помощью уведомлений об успешной регистрации.
Стало интересно, как это можно провернуть.
Всплыла серьезная уязвимость многих сайтов под управлением 1С-Битрикс.
1) При наличии на странице у публичном разделе установленной константы NEED_AUTH, на данной странице выводится стандартные старые-добрые компоненты оформления и регистрации.
И это норма.
2) Но даже, если данная константа не установлена ЛЮБАЯ страница сайта все-равно успешно обработает данные отправленные формой из пункта 1. Вы спросите, но откуда же POST запрос с этими данными возникнет, если форма не выводится и заполнить её невозможно?
Да этот запрос можно составить вручную, если знать, какой набор полей ожидается. Т.е. для любого злоумышленника это не проблема.
Для примера набросал такой запрос для POSTMAN и он отработал на куче сайтов-визиток и лендингах, на которых регистрация в принципе не предусмотрена, а так же получилось это провернуть в интернет-магазинах, обойдя капчу в форме регистрации. Подробнее тут:
В техподдержке подветрдили, что проблема имеет место быть и об этом стало известно. Любопытно, конечно, что раньше ни кто не додумался использовать этот баг, а в последние пол года "фича" снискала такую популярность у спамеров.
Если вкратце, то запрещайте самостоятельную регистрацию или, как минимум, делайте капчу обязательным полем в настройках главного модуля.
Для более тонкой настройки регистрации/авторизации/восстановления пароля пишите обработчики соответствующих событий.
Стало интересно, как это можно провернуть.
Всплыла серьезная уязвимость многих сайтов под управлением 1С-Битрикс.
1) При наличии на странице у публичном разделе установленной константы NEED_AUTH, на данной странице выводится стандартные старые-добрые компоненты оформления и регистрации.
И это норма.
2) Но даже, если данная константа не установлена ЛЮБАЯ страница сайта все-равно успешно обработает данные отправленные формой из пункта 1. Вы спросите, но откуда же POST запрос с этими данными возникнет, если форма не выводится и заполнить её невозможно?
Да этот запрос можно составить вручную, если знать, какой набор полей ожидается. Т.е. для любого злоумышленника это не проблема.
Для примера набросал такой запрос для POSTMAN и он отработал на куче сайтов-визиток и лендингах, на которых регистрация в принципе не предусмотрена, а так же получилось это провернуть в интернет-магазинах, обойдя капчу в форме регистрации. Подробнее тут:
В техподдержке подветрдили, что проблема имеет место быть и об этом стало известно. Любопытно, конечно, что раньше ни кто не додумался использовать этот баг, а в последние пол года "фича" снискала такую популярность у спамеров.
Если вкратце, то запрещайте самостоятельную регистрацию или, как минимум, делайте капчу обязательным полем в настройках главного модуля.
Для более тонкой настройки регистрации/авторизации/восстановления пароля пишите обработчики соответствующих событий.
Иначе рассылка спама с сайта не заставит себя долго ждать.
Группы на сайте создаются не только сотрудниками «1С-Битрикс», но и партнерами компании. Поэтому мнения участников групп могут не совпадать с позицией компании «1С-Битрикс».
