Форум

[QUOTE] написал:
У меня на аспро оптимус ночью все сайты заразили, после патча аспро, залили мусор в папку ajax, есть решения у того кто на хосте ?[/QUOTE]
Логи смотрели?
Через какой файл прошло заражение? Он был пропатчен?

вчера смотрел по логам и обнаружил немного новое поведение - наши крысы прям перебирали айпишники для атакующих запросов (запросы всё те же). И запросы были по 1 или по 2 с каждого ip (разный ip относился к разной ASN), точечно, а не десятками сразу скриптом, как раньше.

[QUOTE] написал:
если удалять не хочется, то тогда закооментировать строку с AddMessage2Log — это обязательно[/QUOTE]
То что они не нужны это понятно, но тут речь о том, что при обращении к ним вы лепите банан, а сам битрикс в некоторых сценариях как я понимаю "посылает" юзера на эти файлы (даже при том, что их не существует на сервере, как в моем случае)
Ну смотрите сами.

[QUOTE] написал:
/ajax/error_log_logic.php[/QUOTE]
В своих логах видел, что запрос к этой странице поступает и от обычных юзеров иногда.

[QUOTE] написал:
Только сегодня уже более двадцати раз блокировка срабатала на искателей дыр от WordPress.[/QUOTE]
Ip адреса те же самые, которые атакуют и битрикс?

[QUOTE] написал:
взломали4) обязательно смотрим лог!!![/QUOTE]
5) Добавляем список диапазонов по AS в блок-лист

[QUOTE] написал:
Я использовал этот патч, предварительно локально проверив его работу. У меня он ничего не поломал, применил на 3х сайтах, все ок.Кто-то еще применял патч? После него были заражения?Этот патч находит все файлы с уязвимым кодом и меняет его на $arParams = unserialize(urldecode($_REQUEST["PARAMS"]), ['allowed_classes' => false]); Может еще что-то добавляет в аспрошных классах, там не смотрел.[/QUOTE]
Скорее всего в новых версиях баг уже пофиксили. Самый 1ая версия патча клала сайт беспощадно.
Но сам я запускать его уже всё равно пока ещё не буду))) пусть настоится :D

[QUOTE] написал:
В /form/index.php
/ajax/form.php

[/QUOTE]
Так а за что вообще эти 2 файла отвечают, кто-то знает? Я оба эти файла киданул в архив и удалил с папок, функционал сайта вроде никак не поменялся.

/ajax/error_log_logic - а этого файла у меня вообще никогда и не было, скорее всего это и спасло от вчерашней утренней атаки

[QUOTE] написал:
Увидел у себя подобное в логах. Видимо меня спасло, что права на папку ajax стояли 500. Поленился в свое время и после фикса уязвимостей не сменил обратно.[/QUOTE]
Защита может и хорошая, да вот только с такой настройкой не работает корзина от слова совсем, т.е. функционал сайта по сути критично поломан.

[QUOTE] написал:
а потом проверяете наличие новых файлов через bash (на данный момент это новые файлы в папке ajax, а также новые index.php в самых разных директориях сайта, но потом этот принцип изменится скорее всего).[/QUOTE]
Я же правильно понимаю, что например если в папке вирус что-то бы даже создал и удалил в корнях папок, то эта папка поменяла бы дату своего последнего изменения в этот момент? Через winSCP например это отображено. Или это не панацея, и могут ухитрится и поменять атрибуты даты:времени, замаскировавшись ?