Если люди потом мучаются
У три сайта у клиентов взломали
|
Доброе время суток! зачем они продают такое г.....
Если люди потом мучаются У три сайта у клиентов взломали |
|
|
|
|
|
|||||||
|
|
|
если сайт уже взломан - тут только вручную надо всё чистить (без специалиста Вы врят ли сможете) ну и обязательно обновить ядро до актуального - последние версии вроде не ломают, по крайней мере я не встречался |
|||
|
|
|
|
|
|||||||||
|
|
|
|
ну значит у вас в бэкапе зараза сидит, иначе не объяснить
врят ли Вам готовое решение тут озвучат - нужно анализировать, искать заразу для начала попробуйте просканировать на заразу встроенным сканером, потом запустите проверку изменённых файлов ядра - если такие будут найдены, обратитесь в саппорт - помогут восстановить ps иньекцию можно деабфуцировать, но это так - чисто ради интереса ... сам бэкдор оно найти не поможет |
|
|
|
|
|
главное все защиты включены, все обновлено, а это дырявое корыто все равно пропускает))
|
|
|
|
|
|
ну так если у вас зараза уже сидит - тут позно пить Боржоми
предположу, что ядро сайта регулярно не обновлялось? |
|
|
|
|
|
1 мая были взломаны сразу 2 сайта на разных готовых решении Интек (INTEC). Восстановили из архива, тут же снова произошло заражение, прямо на глазах. Хостинг Таймвеб, выполнили рекомендацию от их поддержки:
"ещё есть некий шелл, запущенный скрипт, который работает автономно от Апач. Удалили его командой в SSH killall -9 -u $(whoami) или запасной вариант killall -u $(whoami) (лучше первый он убивает процессы лучше). Посмотреть запущенные процессы можно командой ps aux Процессы были сформированы запросами к сайту и остались висеть на площадке, даже когда файл был удален. Возможно вредоносные скрипты запускают процессы при помощи функции php exec () и добавляют к команде запуска символ "&" (Символ & в конце команды переводит процесс в фоновый режим)." После этого восстановили сайты заново. Один был на обновлении - обновили Битрикс и Интек модуль ядро до последней версии (по рекомендации поддержки Интек). Для старого сайта - Интек выдал свежий файл Handler.php по пути: /bitrix/modules/intec.core/classes/handling/Handler.php , в нем содержатся правки ядра, которые закрывают уязвимости в обновлении, такой вариант нам в теории позволит ничего не обновлять, и закрыть уязвимости. Два дня - пока полёт нормальный. Включили логирование, следим если что-то будет. Плюс у нас есть собственный скриптик, который раз в сутки анализирует все изменения в файлах сайтов и присылает отчёты. Админки также были закрыты по IP, но это кстати не помогло. По логам заметили один POST запрос,которым удалось кому-то загрузить в /upload/main/*** кривой файл txt который даже как php не запускается, явно битый и обрывается. Но так как в папке upload есть htaccess который не позволяет запускать скрипты, то этот взлом не пройдёт в теории. |
||||
|
|
|
|||