Форум

[URL=https://github.com/AmminaSolutions/ispmanager.ammina.plugins/blob/main/core/files/server/etc/nginx/vhosts-includes/antihack.conf]тут[/URL] интересно, но опять же - это жесть, такое на прод нельзя (или очень осторожно)
в отправке сообщения на форум в теле все эти сигнатуры легко могут встретиться, например вот в этой ветке

с модулем аккуратно надо - там сингатуры довольно широкие по вхождению в тело запроса, например echo
сингатуры в модуле "прибиты" хардкодом - не "порулить"
к примеру если бы этот модуль был активирован на этом сайте - это пост бы не прошел

в целом идея хорошая - хакерские запросы рубит, только нужно понимать куда подключать

но если сайт уже заражен, тут только ручная чистка ... т.к. пролог может и не подключаться

Во первых - логи. А логи это уже постфактум.
Во вторых тело POST запроса не логируется.

Тут важнее во-первых.

глянул я модуль, я в "обсуждение" на маркетплейсе уже написал
имхо такие сигнатуры, причём прибитые хардкодом на боевом сайте выглядят очень рисковано
к примеру - 'echo' может легко в качестве подстроки в теле какого нить полезного post запроса присутствовать

на сайт о котором выше писал модуль поставил, там контент редко меняют - понаблюдаю ... в целом то модуль полезный, хакерские запросы режет

в идеале придумать бы как анализировать тело POST запросов где нить пораньше - например на уровне nginx и блочить на уровне фаервола с занесением в блэклист - сейчас модуль сработает только с уже подключенным прологом Битрикса

На днях лечил сайтик с Аспро - такого количества бэкдоров я ещё не видел!

Причём сама лицензия на Битрикс актуальна - движек отностительно недавно обновлен, а вот на решение клиент денежек видимо зажал.

Ну и как результат - "заходи кто хочешь, бери что хочешь"...
Аспро пофиксил, что можно пролечил - но тут гарантию уже не даш, т.к. найти замаскированные бэкдоры в таком количестве файлов дело не простое.

Паблик скриптики можно и вручную "пройти", со стороны движка вся надежда на инструмент "файлы ядра не модифицировались".
Ну и надеюсь в Аспро кроме того, что пофиксил больше ничего не дыряво.

Плюс на fail2ban всяких ловушек повесил от сканирования уязвимостей - всё посложнее будет сканить, да и сайту полегче без такого трафика.

[QUOTE]Антон Иванов написал:
Хотелось бы получить точный ответ  [/QUOTE]

врят ли за Вас кто-то будет проводить эту аналитическую работу

именно поэтому я и написал
[QUOTE]Алексей Вдовин написал:
сильно сомневаюсь в корректности такого совета по отношению к этим файлам[/QUOTE]

[QUOTE]Антон Иванов написал:
Движок НЕ актуален.[/QUOTE]

имхо тогда смысла мало латать - в старых движках очень много дыр
а если сайт ломанули, там скорее всего бэкдоров везде и всюду понапихали

в самое начало вставьте, но я чёт сильно сомневаюсь в корректности такого совета по отношению к этим файлам

грубо говоря для всех этих файлов POST запросы будут заблокированы

если у Вас движек актуален дополнительно ничего делать не нужно