1С-Битрикс Разработчикам

Заглянувший

Сообщений: 4 Регистрация: 22.08.2015

#31

28.06.2022 14:37:38

Были взломаны 2 сайта (основной и сайт для разработки) , оба на разных виртуальных машинах под Bitrix VM 7, сайт под разработку был под htpasswd.

Основной был восставлен из вчерашнего бекапа, обновлён до актуальной версии, как и сам сервер, второй оставлю для поисков проблемы, такое ощущение, что было что-то залито ранее.

Сайт другого клиента не был тронут, обновления были установлены 4 апреля 2022 года, работает не на Bitrix VM.

Пользователь 239353

Посетитель

Сообщений: 54 Баллов: 8 Регистрация: 31.01.2014

#32

28.06.2022 14:46:38

Цитата

написал:
Были взломаны 2 сайта (основной и сайт для разработки) , оба на разных виртуальных машинах под Bitrix VM 7, сайт под разработку был под htpasswd.

Основной был восставлен из вчерашнего бекапа, обновлён до актуальной версии, как и сам сервер, второй оставлю для поисков проблемы, такое ощущение, что было что-то залито ранее.

Сайт другого клиента не был тронут, обновления были установлены 4 апреля 2022 года, работает не на Bitrix VM.

Маловероятно, мы на этих выходных получили 2 сайта и полностью проверяли, один обновлённый сайт не был тронут, на втором без обновлений было абсолютно чисто, взломали сегодня утром.

Пользователь 369761

Заглянувший

Сообщений: 1 Регистрация: 14.06.2017

#33

28.06.2022 14:48:09

Цитата

написал:
Коллеги, имейте ввиду дело не только в модуле vote. У нас его нет, а сайты поломали. Перед поломкой зафиксированы POST запросы к /bitrix/tools/html_editor_action.php

Так что когда этот бот обходит сайты он проверяет уязвимости разные, а не только vote

есть еще информация по данному моменту? не хотелось бы в августе, на день прапора поиметь такое же приветствие

Пользователь 4914450 Заглянувший Сообщений: 1 Регистрация: 28.04.2021	#34 0 28.06.2022 14:54:45 2 сайта на базе корппортала, bitrixvm Обновления стояли, сайты нетронуты POST запросов не наблюдали (возможно плохо смотрел, но не было). Скажите, а меняли пароли админа с ID 1 или всей группы администраторов?

Пользователь 1089577

Заглянувший

Сообщений: 7 Регистрация: 19.06.2017

#35

28.06.2022 15:00:04

А вот по поводу уничтоженных инфоблоков - кому-то удалось выяснить, это непосредственно информация удалена из бд, или какие-то менее глобальные изменения? На проекте не создавались бэкапы, теперь непонятно, где искать утраченное.

Пользователь 5846006

Заглянувший

Сообщений: 1 Регистрация: 16.12.2021

#36

28.06.2022 15:02:12

Цитата

написал:
А вот по поводу уничтоженных инфоблоков - кому-то удалось выяснить, это непосредственно информация удалена из бд, или какие-то менее глобальные изменения? На проекте не создавались бэкапы, теперь непонятно, где искать утраченное.

нет бэкапа, нет данных, увы

Пользователь 365135

Заглянувший

Сообщений: 4 Регистрация: 22.08.2015

#37

28.06.2022 15:05:39

Цитата

написал:

Цитата

Смотрю на тестовом папку tmp как написал Анатолий Ерофеев, видимо сначала залили (по логам с IP 185.180.199.209), потом запустили c IP 128.14.133.58.

По поводу какие изменения сделали:
- удалили файл .settings.php,

- заменили главную страницу,

- потерли инфоблоки,

- изменили содержимое агента с ID = 1,

- изменили пароли и хеш пароли на такое содержимое как на третьем скрине.

Прикрепленные файлы

Пользователь 61272

Посетитель

Сообщений: 35 Баллов: 5 Регистрация: 12.09.2011

#38

28.06.2022 15:11:15

На двух сайтах был взлом через /bitrix/tools/vote/uf.php
1) Заменили index.php
2) Удалили /bitrix/.settings.php
3) Добавили агента и ID 1

Пароли не меняли, инфоблоки не затерли.

Как лечил
1) Для /bitrix/tools/vote/uf.php добавил die
2) Для /bitrix/tools/html_editor_action.php добавил die
3) Почистил /upload/tmp
4) Удалил агента с ID 1
5) Удалил /bitrix/tools/putin...
6) Восстановил Index.php и .settings.php

Пользователь 431805

Постоянный посетитель

Сообщений: 58 Баллов: 10 Регистрация: 13.01.2016

#39

28.06.2022 15:26:03

Цитата

написал:

Цитата

написал:

Цитата
написал: location = /bitrix/tools/vote/uf.php { if ($request_method = POST) { return 404; } try_files return @php;}

А в каком файле прописать этот локейшен?

В файле /bitrix/tools/vote/uf.php перед require:

Код
$request = \Bitrix\Main\Context::getCurrent()->getRequest(); if ( $request ->isPost()) { CHTTP::SetStatus( "404 Not Found" ); @define( "ERROR_404" , "Y" ); die (); }

Если прописать его перед require, то словим исключение , т.к. невозможно найти класс.

Пользователь 104919 Заглянувший Сообщений: 10 Регистрация: 14.03.2012	#40 0 28.06.2022 15:44:55 У меня взломаны два сайта, все вышеперечисленные признаки, плюс еще один агент изменен (ID=2) https://skr.sh/sEfOEYlAGQN И при редактировании юзера, ошибка https://skr.sh/sEfTxMnwXTP

Форум

Центр поддержки

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером