Форум

Корректировка по пп3 после вчерашних атак:

if ($_SERVER['REQUEST_METHOD'] == 'POST'){
   $cont=mb_strtolower(file_get_contents('php://input'));
    if (strpos($cont,'base64_decode') !== false ||  strpos($cont,'file_put_contents') !== false ||  strpos($cont,'file_get_contents') !== false || strpos($cont,'fwrite')  !== false || (strpos($cont,'action=getphpversion')!==false &&  strpos($cont,'path=')!==false &&  strpos($cont,'echo')!==false)  ){
       die('Все, лесом ребята');
   }
}

20 часов - полет нормальный.

Просто в самом начале скрипта init.php добавьте этот код. Я еще перед die() добавил логирование в файл. И в настройках Проактивного фильтра в битриксе включил блокировать IP адреса. И в итоге ИП адрес заблокированный совпадает с ИП адресом в лог-файле попыток взлома.

Добрый день. да, в начало /bitrix/php_interface/init.php (либо если в папке local он - туда).
Только версия кода чуть другая:
if ($_SERVER['REQUEST_METHOD'] == 'POST'){
   $cont=mb_strtolower(file_get_contents('php://input'));
    if (strpos($cont,'base64_decode') !== false || strpos($cont,'file_put_contents') !== false || strpos($cont,'file_get_contents') !== false || strpos($cont,'fwrite') !== false || strpos($cont,'action=getphpversion')!==false){
   die('Все, лесом ребята');
}

}
Либо дополнительно с корректировкой предложенной Артур Голубев, :

if ($_SERVER['REQUEST_METHOD'] == 'POST'){
  $cont=mb_strtolower(file_get_contents('php://input'));
}else{
  $cont=mb_strtolower($_SERVER['QUERY_STRING']);
}

if (strpos($cont,'base64_decode') !== false || strpos($cont,'file_put_contents') !== false || strpos($cont,'file_get_contents') !== false || strpos($cont,'fwrite') !== false || strpos($cont,'action=getphpversion')!==false){
   die('Все, лесом ребята');
}

только по ftp файл редактируйте, т.к. через браузер и редактор файлов битрикса он уже не отредактируется - отсечка пойдет данным кодом.

Александр Каменский, если блокирует битрикс/аспро - хорошо. но по мне - лучше перестраховаться всем чем можно. Спасение утопающих...

Выше писал - клиенту повезло очень что база данных большая у сайта и был бэкап сделан, т.к. вирус зашифровал все файлы и удалил первый файл бэкапа.
Бэкап восстановили, но поврежденный. в поврежденной части только дамп базы был. Иначе клиенту пришлось бы сайт с 0 делать. там на аспро был а импорт из экселя модуль - через него заходили.

Поэтому лучше все что написал сделать - и правило nginx и код в init.php и обязательно бэкапы, которые не на сервере сайта хранить а на удаленном хранилище + локально копию.
Это дешевле чем с 0 все делать.