Разработчикам

Форум

Заражение сайтов

Заглянувший

Сообщений: 3 Баллов: 1 Регистрация: 26.07.2024

#41

03.02.2025 21:49:40

Попробуйте вот так
для файла reload_basket_fly

<?define("STATISTIC_SKIP_ACTIVITY_CHECK", "true");?>
<?require($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");?>

<?if (!isset($_REQUEST["PARAMS"]) || empty($_REQUEST["PARAMS"])) die("No parameters");?>

<?include_once("action_basket.php");?>

<?
// Проверяем авторизацию пользователя
if (!$USER->IsAuthorized()) die("Access denied");

// Используем json_decode вместо небезопасного unserialize
$arParams = json_decode(urldecode($_REQUEST["PARAMS"]), true);

// Добавляем защиту от XSS
$arParams = filter_var_array($arParams, FILTER_SANITIZE_STRING);

$arParams['INNER'] = true;
$APPLICATION->IncludeComponent("bitrix:sale.basket.basket", "fly", $arParams, false, array("HIDE_ICONS" => "Y"));
?>

для файла show_basket_fly
<?define("STATISTIC_SKIP_ACTIVITY_CHECK", "true");?>
<?require($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");?>

<?if (!isset($_REQUEST["PARAMS"]) || empty($_REQUEST["PARAMS"])) die("No parameters");?>

<?
// Проверяем, авторизован ли пользователь
if (!$USER->IsAuthorized()) die("Access denied");

// Подключаем action_basket.php
include_once("action_basket.php");

// Используем json_decode вместо небезопасного unserialize
$arParams = json_decode(urldecode($_REQUEST["PARAMS"]), true);

// Фильтруем входные данные
$arParams = filter_var_array($arParams, FILTER_SANITIZE_STRING);

?>
<div id="basket_preload">
<?$APPLICATION->IncludeComponent("bitrix:sale.basket.basket", "fly", $arParams, false, array("HIDE_ICONS" => "Y"));?>
</div>

для show_basket_popup
<?require($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");?>

<?if (!isset($_REQUEST["PARAMS"]) || empty($_REQUEST["PARAMS"])) die("No parameters");?>

<?
// Проверяем авторизацию
if (!$USER->IsAuthorized()) die("Access denied");

// Подключаем action_basket.php
include_once("action_basket.php");

// Безопасно декодируем JSON вместо небезопасного unserialize
$arParams = json_decode(urldecode($_REQUEST["PARAMS"]), true);

// Фильтруем входные данные
$arParams = filter_var_array($arParams, FILTER_SANITIZE_STRING);
?>
<div id="basket_preload">
<?$APPLICATION->IncludeComponent("bitrix:sale.basket.basket.line", "normal", $arParams, false, array("HIDE_ICONS" => "Y"));?>
</div>

Пользователь 8745548 Заглянувший Сообщений: 7 Регистрация: 03.02.2025	#42 1 04.02.2025 08:24:32 После вечерних правок в comp_catalog_ajax.php всё прекратилось, наконец-то. В 3 ночи были стандартные попытки, но теперь они отфутболиваются с 403 кодом. Минус головная боль.

Пользователь 6091716

Посетитель

Сообщений: 36 Баллов: 5 Регистрация: 19.12.2022

#43

04.02.2025 09:10:45

У нас тоже Аспро Макс, началась такая вот ерунда, файлы корзины исправил, функционал вроде работает, дальше посмотрим как будет себя вести сайт.
Подскажите пожалуйста, как модифицировать файл comp_catalog_ajax, у меня сейчас вот такой код там:

Код

<?$bAjaxMode = (isset($_POST["AJAX_POST"]) && $_POST["AJAX_POST"] == "Y");
if($bAjaxMode)
{
   require_once($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");
   global $APPLICATION;
   if(\Bitrix\Main\Loader::includeModule("aspro.max"))
   {
      $arRegion = CMaxRegionality::getCurrentRegion();
   }
}?>
<?if((isset($arParams["IBLOCK_ID"]) && $arParams["IBLOCK_ID"]) || $bAjaxMode):?>
   <?
   $arIncludeParams = ($bAjaxMode ? $_POST["AJAX_PARAMS"] : $arParamsTmp);
   $arGlobalFilter = ($bAjaxMode ? unserialize(urldecode($_POST["GLOBAL_FILTER"])) : ($_GET['GLOBAL_FILTER'] ? unserialize(urldecode($_GET['GLOBAL_FILTER'])) : array()));
   $arComponentParams = unserialize(urldecode($arIncludeParams));

   $_SERVER['REQUEST_URI'] = SITE_DIR;

   $application = \Bitrix\Main\Application::getInstance();
   $request = $application->getContext()->getRequest();

   $context = $application->getContext();
   $server = $context->getServer();

   $server_get = $server->toArray();
   $server_get["REQUEST_URI"] = $_SERVER["REQUEST_URI"];

   $server->set($server_get);

   \Aspro\Functions\CAsproMaxReCaptcha::reInitContext($application, $request);
   // $APPLICATION->reinitPath();

   $GLOBALS["NavNum"]=0;
   ?>
   
   <?
   if(is_array($arGlobalFilter) && $arGlobalFilter)
      $GLOBALS[$arComponentParams["FILTER_NAME"]] = $arGlobalFilter;

   if(/*$bAjaxMode &&*/ $_REQUEST["FILTER_HIT_PROP"])
      $arComponentParams["FILTER_HIT_PROP"] = $_REQUEST["FILTER_HIT_PROP"];

   /* hide compare link from module options */
   if(CMax::GetFrontParametrValue('CATALOG_COMPARE') == 'N')
      $arComponentParams["DISPLAY_COMPARE"] = 'N';
   /**/

   if(CMax::checkAjaxRequest() && $request['ajax'] == 'y')
   {
      $arComponentParams['AJAX_REQUEST'] = 'Y';
   }

   ?>
   
   <?$APPLICATION->IncludeComponent(
      "bitrix:catalog.section",
      "catalog_block",
      $arComponentParams,
      false, array("HIDE_ICONS"=>"Y")
   );?>
   
<?endif;?>

Если можно, то целиком код для этого файла, буду очень благодарен.

Пользователь 36834

Заглянувший

Сообщений: 10 Баллов: 1 Регистрация: 02.02.2009

#44

04.02.2025 09:32:51

Цитата
написал: Если можно, то целиком код для этого файла, буду очень благодарен.

Обернул [fix]...[/fix]

Код

   <?$bAjaxMode = (isset($_POST["AJAX_POST"]) && $_POST["AJAX_POST"] == "Y");
   if($bAjaxMode)
   {
   require_once($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");
   global $APPLICATION;
   if(\Bitrix\Main\Loader::includeModule("aspro.max"))
   {
     $arRegion = CMaxRegionality::getCurrentRegion();
   }
   }?>
   <?if((isset($arParams["IBLOCK_ID"]) && $arParams["IBLOCK_ID"]) || $bAjaxMode):?>
   <?
   //[fix]
   //$arIncludeParams = ($bAjaxMode ? $_POST["AJAX_PARAMS"] : $arParamsTmp);
   //$arGlobalFilter = ($bAjaxMode ? unserialize(urldecode($_POST["GLOBAL_FILTER"])) : ($_GET['GLOBAL_FILTER'] ? unserialize(urldecode($_GET['GLOBAL_FILTER'])) : array()));
   //$arComponentParams = unserialize(urldecode($arIncludeParams));
   if ($_POST["AJAX_PARAMS"] && !is_array(unserialize(urldecode($_POST["AJAX_PARAMS"]), ["allowed_classes" => false]))) {
      header('HTTP/1.1 403 Forbidden');
      $APPLICATION->SetTitle('Error 403: Forbidden');
      echo 'Error 403: Forbidden_1';
      require_once($_SERVER['DOCUMENT_ROOT'] . '/bitrix/modules/main/include/epilog_after.php');
      die();
   }
   $arIncludeParams = ($bAjaxMode ? $_POST["AJAX_PARAMS"] : $arParamsTmp);
   $arGlobalFilter = ($bAjaxMode ? unserialize(urldecode($_POST["GLOBAL_FILTER"]), ["allowed_classes" => false]) : ($_GET['GLOBAL_FILTER'] ? unserialize(urldecode($_GET['GLOBAL_FILTER']), ["allowed_classes" => false]) : array()));
   $arComponentParams = unserialize(urldecode($arIncludeParams), ["allowed_classes" => false]);
   //[/fix]
   
   $_SERVER['REQUEST_URI'] = SITE_DIR;
   
   $application = \Bitrix\Main\Application::getInstance();
   $request = $application->getContext()->getRequest();
   
   $context = $application->getContext();
   $server = $context->getServer();
   
   $server_get = $server->toArray();
   $server_get["REQUEST_URI"] = $_SERVER["REQUEST_URI"];
   
   $server->set($server_get);
   
   \Aspro\Functions\CAsproMaxReCaptcha::reInitContext($application, $request);
   // $APPLICATION->reinitPath();
   
   $GLOBALS["NavNum"]=0;
   ?>
   
   <?
   if(is_array($arGlobalFilter) && $arGlobalFilter)
     $GLOBALS[$arComponentParams["FILTER_NAME"]] = $arGlobalFilter;
   
   if(/*$bAjaxMode &&*/ $_REQUEST["FILTER_HIT_PROP"])
     $arComponentParams["FILTER_HIT_PROP"] = $_REQUEST["FILTER_HIT_PROP"];
   
   /* hide compare link from module options */
   if(CMax::GetFrontParametrValue('CATALOG_COMPARE') == 'N')
     $arComponentParams["DISPLAY_COMPARE"] = 'N';
   /**/
   
   if(CMax::checkAjaxRequest() && $request['ajax'] == 'y')
   {
     $arComponentParams['AJAX_REQUEST'] = 'Y';
   }
   
   ?>
   
   <?$APPLICATION->IncludeComponent(
     "bitrix:catalog.section",
     "catalog_block",
     $arComponentParams,
     false, array("HIDE_ICONS"=>"Y")
   );?>
   
   <?endif;?>

Пользователь 6091716 Посетитель Сообщений: 36 Баллов: 5 Регистрация: 19.12.2022	#45 0 04.02.2025 09:40:09 Отлично! Большое спасибо!

Пользователь 36834

Заглянувший

Сообщений: 10 Баллов: 1 Регистрация: 02.02.2009

#46

04.02.2025 10:28:06

Цитата
написал: Отлично! Большое спасибо!

Проверьте атаки на /include/mainpage/comp_sections.php – у меня нет такого файла, но по логам этот же бот ломится.
Дополнительно проверьте наличие бэкдора /aspro_regions/robots/connector.php – он позволяет атакующей стороне получить полный контроль над проектом. Удалить.
Проверка проекта поиском трояна /bitrix/admin/xscan_worker.php, проверьте измененные файлы с октября 2024 года.
После фиксы рестарт httpd и mysql, чтобы убить возможные процессы и вычистить ресурсы сервера.

Пользователь 6091716

Посетитель

Сообщений: 36 Баллов: 5 Регистрация: 19.12.2022

#47

04.02.2025 12:43:22

Цитата

написал:

Проверьте атаки на /include/mainpage/comp_sections.php – у меня нет такого файла, но по логам этот же бот ломится.
Дополнительно проверьте наличие бэкдора /aspro_regions/robots/connector.php – он позволяет атакующей стороне получить полный контроль над проектом. Удалить.
Проверка проекта поиском трояна /bitrix/admin/xscan_worker.php, проверьте измененные файлы с октября 2024 года.
После фиксы рестарт httpd и mysql, чтобы убить возможные процессы и вычистить ресурсы сервера.

Проверил, таких файлов не нашел, спасибо за помощь!

Пользователь 2784769

Заглянувший

Сообщений: 21 Баллов: 2 Регистрация: 27.12.2018

#48

04.02.2025 23:11:47

Цитата

написал:
Попробуйте вот так
для файла reload_basket_fly

<?define("STATISTIC_SKIP_ACTIVITY_CHECK", "true");?>
<?require($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");?>

<?if (!isset($_REQUEST["PARAMS"]) || empty($_REQUEST["PARAMS"])) die("No parameters");?>

<?include_once("action_basket.php");?>

<?
// Проверяем авторизацию пользователя
if (!$USER->IsAuthorized()) die("Access denied");

// Используем json_decode вместо небезопасного unserialize
$arParams = json_decode(urldecode($_REQUEST["PARAMS"]), true);

// Добавляем защиту от XSS
$arParams = filter_var_array($arParams, FILTER_SANITIZE_STRING);

$arParams['INNER'] = true;
$APPLICATION->IncludeComponent("bitrix:sale.basket.basket", "fly", $arParams, false, array("HIDE_ICONS" => "Y"));
?>

для файла show_basket_fly
<?define("STATISTIC_SKIP_ACTIVITY_CHECK", "true");?>
<?require($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");?>

<?if (!isset($_REQUEST["PARAMS"]) || empty($_REQUEST["PARAMS"])) die("No parameters");?>

<?
// Проверяем, авторизован ли пользователь
if (!$USER->IsAuthorized()) die("Access denied");

// Подключаем action_basket.php
include_once("action_basket.php");

// Используем json_decode вместо небезопасного unserialize
$arParams = json_decode(urldecode($_REQUEST["PARAMS"]), true);

// Фильтруем входные данные
$arParams = filter_var_array($arParams, FILTER_SANITIZE_STRING);

?>
<div id="basket_preload">
<?$APPLICATION->IncludeComponent("bitrix:sale.basket.basket", "fly", $arParams, false, array("HIDE_ICONS" => "Y"));?>
</div>

для show_basket_popup
<?require($_SERVER["DOCUMENT_ROOT"]."/bitrix/modules/main/include/prolog_before.php");?>

<?if (!isset($_REQUEST["PARAMS"]) || empty($_REQUEST["PARAMS"])) die("No parameters");?>

<?
// Проверяем авторизацию
if (!$USER->IsAuthorized()) die("Access denied");

// Подключаем action_basket.php
include_once("action_basket.php");

// Безопасно декодируем JSON вместо небезопасного unserialize
$arParams = json_decode(urldecode($_REQUEST["PARAMS"]), true);

// Фильтруем входные данные
$arParams = filter_var_array($arParams, FILTER_SANITIZE_STRING);
?>
<div id="basket_preload">
<?$APPLICATION->IncludeComponent("bitrix:sale.basket.basket.line", "normal", $arParams, false, array("HIDE_ICONS" => "Y"));?>
</div>

Спасибо большое поставил посмотрим, а то уже 4 дня ада

Пользователь 1242163

Посетитель

Сообщений: 23 Баллов: 3 Регистрация: 30.06.2017

#49

04.02.2025 23:43:22

Вопрос по файлам:
reload_basket_fly.php
show_basket_fly.php
show_basket_popup.php

А какой именно код является небезопасным?
Правильно понимаю, что речь идет про проблемный код:
<?$arParams = unserialize(urldecode($_REQUEST["PARAMS"]));?>

И если в файлах он уже исправлен на:

<?$arParams = Solution::unserialize(urldecode($_REQUEST["PARAMS"]));?>

то дыра уже была закрыта ранее?

Пользователь 922555

Заглянувший

Сообщений: 3 Баллов: 1 Регистрация: 26.07.2024

#50

05.02.2025 05:52:06

Цитата
написал: json_decode

Доброе утро! Должно быть json_decode вместо небезопасного unserialize

Форум

Центр поддержки

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером