| Цитата |
|---|
| написал: Проверьте файл siteheads.php очень многоСейчас вроде пока тишина. 1. Почистил index.php и bitrix/footer.php там был код. 2. Удалил все .htaccess (25 штук). Создал базовый набор средствамии битрикс.3. Сканером проверил все файлы, удалил кучу файлов вида sdfsf654654.php4. Прогнал файлом fixit.php скачал последнюю версию. ( у меня Аспро Максимум) было 30 ошибок - исправил скрипт, ошибок в работе сайта нет. 5. удалил все siteheads.php - более 206. В бан загнал: 45.142.122.46 7. Проверил все агенты - пусто, подозрений нет.8. Заодно снес все php.ini в каталогах - более 10 штук. |
|
Разработчикам |
Форум
Заражение сайтов
|
|||
|
|
|
|
В моём случае всё оказалось банально. Сразу же нашел, откуда ноги растут, отписаться забыл.
Во время первого заражения помимо основного сайта увидел, что есть еще два - old.* и test.*, внутри так же оба оказались заражены. Спросил у заказчика, говорит не нужны - снёс. Кроме них был еще один сайт - заглушка техдомена (что-то вроде vm31337.hostername.com), в ней было пусто, кроме голого html файла, мол "это такой-то сервер")) Ну и забил на него... Во время повторного заражения злоумышленники уже и туда напихали!!) А я, помня по старой памяти, что там пусто, даже логи не грепал по этому техдомену! Смотрел содержимое и логи только одного оставшегося основного сайта... Снёс его, сейчас всё благополучно (хотя в логах попытки по прежнему фиксирую). Меня только смущает один момент, прошу помощи. Я сам с битриксом постольку-поскольку, прочитал в этой теме про агенты, что есть такие. Решил глянуть, нет ли у меня в них ничего такого. И обнаружил, что агенты не выполняются с момента первого взлома (хотя активность у всех выставлена "Да"). Подскажите, что могло поломаться и как проверить агенты на легитимность (вдруг туда что-то тоже засунули, мало ли после включения какой backconnect запустится)? |
|
|
|
|
Вот эта запись должна каждую минуту проверять агенты. |
|||||
|
|
|
|
Да, по любому! как раз только что подумал, что мне же в первый раз cron задачи переписали... Всё грохнули и злые добавили
 Остается открытым вопрос, как грамотно провести аудит запускаемых агентов? Есть может какой-то перечень легитимных, чтобы свериться? UPD: скачал дамп БД до взлома, сейчас сравню таблицы b_agent |
|
|
|
|
|
|||||
|
|
|
|
Александр Будников, я в 10:34:49 описал где в моем случае была проблема.
Во время второго заражения закинули скрипты в папку техдомена (во время первого заражения проверял - в ней было пусто, ну и благополучно вычеркнул её из всевозможных проверок, в т.ч. чтения логов по техдомену)  |
|
|
|
|
|
|||
|
|
|
|
После удаления всех вирусов обязатьельно меняйте пароли у админских пользователей.
Вирус заменяет пароль на свой у давно не заходивших пользователей-админов и дальше возвращается, логинится и заливает файлы с сессией админа. Еще проверьте директорию /bitrix/fonts/ на предмет сторонних скриптов  |
|
|
|
|
ngx_limit_req_zones = [^"]+ #badstrings = file_put_contents|file_get_contents|base64_decode|js_error.txt failregex = ^<HOST> -.-.*(GET|POST|HEAD).*(file_put_contents|file_get_contents|base64_decode|js_error.txt).* ignoreregex = datepattern = {^LN-BEG} Ваше правило не сработало, только в таком виде все заработало.. |
||||
|
|
|
|||
