| Цитата |
|---|
| написал: Да, js_error.txt отсутствовал. |
посмотрите лог, там в конце длинных строк идет удаление этого файла:
| Код |
|---|
DY1Il0pO319Pz4K%22));unlink($_SERVER[%22DOCUMENT_ROOT%22].%22/ajax/js_error.txt%22); |
В логах видел попытки обращения к ним со статусом 404. Похоже появился третий способ записи в js_error.txt - через Referer )) Сейчас буду экспериментировать сам с этими запросами |
|||
|
|
|
Если патчер спрашивает "запускать в режиме просмотра", то скорее-всего у Вас ранняя версия патчера, он проверяет только дыру с unserialize. В последней версии патчера такой галочки нет. Отдельно кнопки: - Сканировать - Удалить скрипт - Исправить выбранные |
|||
|
|
|
а в файлах /ajax/form.php или /form/index.php дыра закрыта у Вас была? вместо: elseif($form_id === 'TABLES_SIZE'): так: elseif($form_id === 'TABLES_SIZE' && false): |
|||
|
|
|
|
в /form/index.php да, исправлено.
В /ajax/form.php строка чуть другая:
попробовал, сайт не сломался, буду мониторить... |
|||
|
|
|
но у Аспро в патчере так:
но мы тупо сразу отключили данный вариант через добавление "&& false", если правильно понял — это возможность использования собственных кастомных форм, код которых хранится в отдельных инклюд-файлах.скорее-всего это мало кто использовал, мы точно нет. сама дыра была в том, что через эти формы "TABLES_SIZE" можно было загружать инклюду из файла в любой дерриктории, в т.ч. текущей, чем и пользовались негодяи — подгружая js_error.txt из текущей директории,или, возможно как пишете Вы, с удаленного сервера (???). после закрытия дыры, инклюду можно загружать только при условии, что она обязательно лежит строго на сервере и в папке /include/ |
|||||||
|
|
|
|
Посмотрел код /ajax/form.php до патча - там была строка
UPD: вижу в логах две попытки атаки - ~в 18:00 и 21:00, но файлы создать не удалось негодяям. Хороший признак) На всякий набросал в cron скрипт - каждые 15 мин. мониторю создание .php файлов в папке сайта, если вдруг что подозрительное появится, в телегу алерт придёт. |
|||
|
|
|
|
нда, в cron задачах появилось:
![]() Что за напасть такая... |
|||
|
|
|
|
Проверьте файл siteheads.php очень много
Сейчас вроде пока тишина. 1. Почистил index.php и bitrix/footer.php там был код. 2. Удалил все .htaccess (25 штук). Создал базовый набор средствамии битрикс. 3. Сканером проверил все файлы, удалил кучу файлов вида sdfsf654654.php 4. Прогнал файлом fixit.php скачал последнюю версию. ( у меня Аспро Максимум) было 30 ошибок - исправил скрипт, ошибок в работе сайта нет. 5. удалил все siteheads.php - более 20 6. В бан загнал: 45.142.122.46 7. Проверил все агенты - пусто, подозрений нет. 8. Заодно снес все php.ini в каталогах - более 10 штук. |
|
|
|
|
|
И да, сканером битрикс проверил куча файлов с типом опасности no_prolog/ Все что были, в карантин поставил. Вроде пока норм
|
||||
|
|
|
|||