Разработчикам

Форум

Заражение сайтов

Посетитель

Сообщений: 23 Баллов: 3 Регистрация: 30.06.2017

#121

12.02.2025 14:13:01

Цитата
написал: Цитата написал:/ajax/error_log_logic.phpВ своих логах видел, что запрос к этой странице поступает и от обычных юзеров иногда.

здесь затрудняюсь сказать,
сам исходил из последней версии патча от Аспро, у них на удаления стоят следующие файлы из всех директорий (и рабочих и установочных):

Код
'unlink_files' => [ '/ajax/error_log_logic.php', '/ajax/_error_log_logic.php.back', '/ajax/js_error.php', '/ajax/_js_error.php.back', '/ajax/js_error.txt', '/ajax/_js_error.txt.back', ],

раз Аспро их удаляет, значит не особо и нужны они.

если удалять не хочется, то тогда закооментировать строку с AddMessage2Log — это обязательно

Пользователь 108318

Постоянный посетитель

Сообщений: 51 Баллов: 10 Регистрация: 23.11.2011

#122

12.02.2025 14:37:01

Цитата
написал: если удалять не хочется, то тогда закооментировать строку с AddMessage2Log — это обязательно

То что они не нужны это понятно, но тут речь о том, что при обращении к ним вы лепите банан, а сам битрикс в некоторых сценариях как я понимаю "посылает" юзера на эти файлы (даже при том, что их не существует на сервере, как в моем случае)
Ну смотрите сами.

Пользователь 1242163

Посетитель

Сообщений: 23 Баллов: 3 Регистрация: 30.06.2017

#123

12.02.2025 16:56:28

Цитата

написал:
То что они не нужны это понятно, но тут речь о том, что при обращении к ним вы лепите банан, а сам битрикс в некоторых сценариях как я понимаю "посылает" юзера на эти файлы (даже при том, что их не существует на сервере, как в моем случае)Ну смотрите сами.

да, думал об этом,
но решил перестраховаться и банить с избытком, в т.ч. при обращении к '/ajax/show_basket_fly.php' и '/ajax/reload_basket_fly.php' (мы их в проектах не используем),
а далее уже разбираться и смотреть логи, кого и почему забанили... и, если что, то вносить правки в логику.

за несколько дней защита сработала два раза,
в обоих случаях была именно атака с попыткой засунуть вредоносный контент с использованием file_put_contents.

Пользователь 407969

Посетитель

Сообщений: 32 Баллов: 6 Регистрация: 12.01.2017

#124

13.02.2025 09:54:58

Цитата
Артём написал: Кто-нибудь анализировал вредноносный код?

Проанализировал код главной нашей модифицированной страницы. Код нацелен на отправку данных из переменной $_SERVER на сторонний ресурс ( в нашем случае это cw1320.hearingtell.com) и получения от него ответа, и в случае получения ответа 200 идёт вывод страницы с этого сайта и выполнение exit. То есть наша главная страница и битрикс даже не загружались. PHP код прерывался после подмены страницы. IP адрес этого сайта (там около 50 000 сайтов на этом ip) заблокирован роскомнадзором в январе. Я очень надеюсь, что этот код не работал.

Пользователь 1729369

Заглянувший

Сообщений: 2 Регистрация: 30.12.2022

#125

16.02.2025 14:56:37

это код для проверки присутствия в запросе запрещенных команд и прерывания обработки запроса. в моем случае команды file_put_contents и base64_decode находились в заголовке Referer

Код

$arr_data = array_merge($_POST, $_GET, $_SERVER);

$fix_asd = array_filter($arr_data, function ($value) {
    $minus_values = [

'file_put_contents', 

'base64_decode'

];
    foreach ($minus_values as $minus) {
        if (is_string($value) && str_contains($value, $minus)) {
            return true;
        }
    }

    return false;
});

if (!empty($fix_asd)) {
    http_response_code(403);
    die('not allowed action');
}

Пользователь 108318

Постоянный посетитель

Сообщений: 51 Баллов: 10 Регистрация: 23.11.2011

#126

18.02.2025 10:11:02

вчера смотрел по логам и обнаружил немного новое поведение - наши крысы прям перебирали айпишники для атакующих запросов (запросы всё те же). И запросы были по 1 или по 2 с каждого ip (разный ip относился к разной ASN), точечно, а не десятками сразу скриптом, как раньше.

Пользователь 1729369

Заглянувший

Сообщений: 2 Регистрация: 30.12.2022

#127

19.02.2025 00:33:20

в результате я решил запретить в nginx запросы с признаками вредоносного кода

Цитата
/etc/nginx/bx/site_avaliable/ssl.s1.conf - только тут, доступ по 80-му порту и так закрыт, других сайтов нет.

Цитата
server { # всякое # attack blocker if ($query_string ~* "(file_put_contents\|file_get_contents\|base64_decode\|js_error.txt)") { return 403; # Deny access with HTTP status 403 } if ($http_referer ~* "(file_put_contents\|file_get_contents\|base64_decode\|js_error.txt)") { return 403; # Deny access with HTTP status 403 } # всякое }

Пользователь 2784769 Заглянувший Сообщений: 21 Баллов: 2 Регистрация: 27.12.2018	#128 0 19.02.2025 10:43:45 У меня на аспро оптимус ночью все сайты заразили, после патча аспро, залили мусор в папку ajax, есть решения у того кто на хосте ?

Пользователь 108318

Постоянный посетитель

Сообщений: 51 Баллов: 10 Регистрация: 23.11.2011

#129

19.02.2025 11:20:39

Цитата
написал: У меня на аспро оптимус ночью все сайты заразили, после патча аспро, залили мусор в папку ajax, есть решения у того кто на хосте ?

Логи смотрели?
Через какой файл прошло заражение? Он был пропатчен?

Пользователь 8788352

Заглянувший

Сообщений: 7 Регистрация: 19.02.2025

#130

19.02.2025 11:36:24

Цитата

написал:
в результате я решил запретить в nginx запросы с признаками вредоносного кода

Цитата
/etc/nginx/bx/site_avaliable/ssl.s1.conf - только тут, доступ по 80-му порту и так закрыт, других сайтов нет.

Цитата
server { # всякое # attack blocker if ($query_string ~* "(file_put_contents\|file_get_contents\|base64_decode\|js_error.txt)") { return 403; # Deny access with HTTP status 403 } if ($http_referer ~* "(file_put_contents\|file_get_contents\|base64_decode\|js_error.txt)") { return 403; # Deny access with HTTP status 403 } # всякое }

Лучше сделать через fail2ban и вообще блочить этот IP, а не только nginx, да и конфигурация для fail2ban более "переносимая" плюс через него удобно банить мусорных роботов, ибо от них даже 403-й не всегда спасает.
Пример конфига:

Код

/etc/fail2ban/filter.d/nginx-antihacking.conf
[Definition]

badstrings = file_put_contents|file_get_contents|base64_decode|js_error.txt

failregex = ^<HOST> -.*"(GET|POST|HEAD).*%(badstrings)s.*"$

ignoreregex =

datepattern = ^[^\[]*\[({DATE})
{^LN-BEG}

Код
/etc/fail2ban/jail.d/nginx-antihacking.conf [nginx-antihacking] enabled = true port = http,https filter = nginx-antihacking logpath = %(nginx_access_log)s maxretry = 1 bantime = 100d

Форум

Центр поддержки

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером