Версия 1.3.6 была удачно атакована (и взломана) в течение нескольких часов после запуска

Абсолютно новый проект.

Утром начал работу.
Поставил Evo 1.3.4. Сразу обновил до 1.3.6.
Сейчас зашел и увидел на сервере директории «sizzler» и «sitemap» плюс был модифицирован .htaccess
Ссылку видело 4-5 человек всего.
Как такое может быть?

35 комментариев

avatar
а по соседству ничего не стоит? или хостинг только под один этот проект?
avatar
Надеюсь логи web сервера ведутся!
Очень поможет.
avatar
Стоит. Там много проектов и ломают редко и не на Evo
avatar
По логике про дыру которую закрыли никто еще особо не знает атак новых не было.
Надо просить логи сервера смотреть что кудой залили
avatar
Сейчас начну смотреть.
Пока всё чисто на FTP
avatar
пару лет назад, купил каплю на digitalocean, установил свой сервер, проверил конфигурацию, всё отлично, поставил MODx и с радостью лёг спать.
Утром весь сервер рассылал уже спам, им пришлось даже остановить сервер.
И конечно я грешу на дырявый модекс, сервак то отличный)
  • 64j
  • 0
avatar
Логи просмотрел.
Всё в пределах нормы. Никаких лишних действий не было.
Вот логи. Может быть я туплю уже под вечер. Если не сложно, посмотрите.

www.dropbox.com/s/ev1ehppvdphsvvh/dartc2-2017-09-04-nginx.log.gz?dl=0
  • 3fir
  • 0
avatar
Наличие модуля evoGallery — уже вне пределов нормы :))
avatar
Дело личное. В Extras есть. Работает нормально.
Давайте будем обсуждать не личные предпочтения.
avatar
вам только что дыру показали, а вы про личные предпочтения
avatar
Ни один проект с EvoGallery У меня не заражен.
С чего вы взяли?
avatar
будем спорить по EvoGallery?

EvoGellery — Эксплойт
modx.im/blog/security/1151.html
avatar
Литературу бывает почитываю. Из последнего — новость от 21.08.2017 :)

А уж сколько про это раньше было исписано (что лучше не использовать evoGallery, ajaxSearch и index-ajax.php) — так и не сосчитать :)
avatar
Не ругайтесь. Я может и дурак, но не злой дурак :)
avatar
Вот файл в самом начале
www.kjohn.ml/move/move2.txt — разве это в пределах нормы?:)

Он влез через файл в корне /getfile.php — ну а что было раньше — логи не показывают, т.к. это самая первая строчка приведенного лога.
avatar
Хрень какая-то.
Я такой адрес первый раз вижу вообще.
avatar
Ну хрень так хрень, не буду больше беспокоить :)
avatar
Да вы меня не так поняли :)
Хрень, в смысле — хрень на сайте.
Я очень благодарен за помощь вне зависимости от результата.
avatar
Если эту хрень открыть, то там как раз и видно, что откуда взялось, в том числе изменения htaccess и всякие файлы вроде move2.php и move.php.
avatar
А их и нет. В этом и прикол.
avatar
Прикол не в этом, а в том, что вы даже не смотрите то, что вам показывают. А именно
строка 1
rename("./move2.php","./move.php");

строка 2
unlink("move.php");


очевидно, что ни одного из этого файла и не будет, следы давно уничтожены :)
avatar
Подскажите куда копать.
avatar
Найти логи между
04/Sep/2017:09:48:48
и
03/Sep/2017:23:27:35 т.к. их просто нет. Если в это время ничего не происходило — то или с компа залез или с другого сайта на том же сервере, т.к. в 04/Sep/2017:09:48:48 сразу пошло на обращение на уже созданный файл.
avatar
Да. В это время ничего и не происходило.
Спасибо. Буду искать причину у себя. Может реально у меня на компе гадость поселилась.
avatar
GET /move2.php?rdir=sizler
вот и папочку создал
  • 64j
  • 0
avatar
Осталось узнать откуда этот move2.php взялся.
Жесть.
avatar
нужны логи ещё чуток пораньше
  • 64j
  • 0
avatar
Логи за вчера

Вчера домен купил и хостинг создал.

www.dropbox.com/s/phzio3uq3oxdhb0/dartc2-2017-09-03-nginx.log.gz?dl=0
Комментарий отредактирован 2017-09-04 19:02:18 пользователем 3fir
avatar
Ребята.
Я всем очень благодарен за поддержку.
Проблема совсем не в новом движке и даже не в одном сайте. Я просмотрел остальные сайты на этом сервере и нашел похожую проблему на некоторых.
Думаю, это проблема дырявого хостинга.

Еще раз благодарю всех за поддержку.
  • 3fir
  • 0
avatar
а вот вам возможная дыра в вашем EvoGallery, вполне возможно что и инъекцию через неё могли сделать

github.com/extras-evolution/EvoGallery/blob/master/assets/modules/evogallery/action.php#L19
avatar
Благодарю. Я не знал. Порекомендуйте что нибудь лучше и такое же удобное.
По поводу заражения от него не уверен. Там почти весь сервер в заразе. Но все проекты — отдельные виртуальные сервера.
Комментарий отредактирован 2017-09-04 19:12:05 пользователем 3fir
avatar
SimpleGallery
avatar
Я чаще встречаю, когда вирус с компа админа сайта попадает, чем из-вне (в том числе при загрузке файлов как через evoGallery, так и через tinyMCE).
Т.е. в первую очередь надо свои комп и компы всех «причастных» гонять на вирусы :)
avatar
Стоит касперский. Регулярно прогоняю еще и CureIt
Вроде бы проблем не было.
Сейчас буду проверять всё остальное.
avatar
Всё. Всем спасибо за поддержку.
Как оказалось (мне сообщили друзья с нашего сайта). Проблема в хостинге, не в системе или модулях.
  • 3fir
  • 0
Только зарегистрированные и авторизованные пользователи могут оставлять комментарии.