По проблеме внедрения суперадминов в Битрикс, часть 2

По проблеме внедрения суперадминов в Битрикс, часть 2

14.11.2015

Эта статья по сути является дополнением к той проблеме, которую я рассматривал ранее. В процессе своей профессиональной деятельности очень часто приходиться брать на обслуживание сайты разработанные другими разработчиками. Так вот и выяснилось, что помимо внедрения вредоносных скриптов, которые дают возможность несанкционированного доступа на сайт, также можно внедрить так называемые почтовые события, когда при изменении административного пароля или паролей в файле dbconn.php, злоумышленнику высылаются измененные данные на его почту. Обычно все привязывается к пользователю админу с ID=1, так как по факту в Битрикс это и есть супер пользователь, которого нельзя удалить.

Для борьбы с такими явлениями нам нужно настроить логирование всех отправляемых писем и посмотреть, отправляются ли письма по данной проблеме, чтобы увидеть несанкционированную отправку данных. Это обеспечивается следующим образом:

В файле /bitrix/php_interface/init.php (если нет — создайте) определяем функцию:

function custom_mail($to,$subject,$body,$headers) {
$f=fopen($_SERVER[«DOCUMENT_ROOT»].»/maillog.txt», «a+»);
fwrite($f, print_r(array(‘TO’ => $to, ‘SUBJECT’ => $subject, ‘BODY’ => $body, ‘HEADERS’ => $headers),1).»n========n»);
fclose($f);
return mail($to,$subject,$body,$headers);
}

Затем инициируем отправку почты и смотрим результат в логе maillog.txt в корне сайта.Для этого достаточно отправить сообщение с помощью формы обратной связи. Далее тестируем смену паролей у админа. смотрим логи если есть. Если у вас кроме тестового лога ничего нет, значит несанкционированная отправка паролей не осуществляется.

Результат лога выглядит так:

Array
(
[TO] => кому@mail.ru
[SUBJECT] => =?UTF-8?B?Q9Cw0LnRgiBXZWIt0L/QtdC60LDRgNC90Y86INCh0L7QvtCx0YnQtdC90LjQtSDQuNC3INGE0L7RgNC80Ysg0L7QsdGA0LDRgtC90L7QuSDRgdCy0Y/Qt9C4?=
[BODY] => Информационное сообщение сайта _______
——————————————

Вам было отправлено сообщение через форму обратной связи

Автор: Вася
E-mail автора: автор@mail.ru

Текст сообщения:
Проверка почтовых событий

Сообщение сгенерировано автоматически.

[HEADERS] => From: автор@mail.ru
Reply-To: кому@mail.ru
X-EVENT_NAME: FEEDBACK_FORM
X-MID: 1461.7 (13.11.2015 10:10:03)
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
)


Ещё статьи:

15.02.2024 История о жадности или как клиент свободное место искал на сервере
Случилась у меня одна история с клиентом, который свободное место искал на сервере, но на самом деле это больше о жадности, но в итоге всё равно пришл... ID: 466

08.11.2023 Хроники БУС упадка
На днях произошли очередные изменения в БУС битрикс. Полезный модуль bitrix.xscan включили в состав проактивной защиты и убрали из бесплатного сегмента... ID: 465

26.07.2023 Kwork.com закрыл доступ для резидентов РФ
Доступ к выставлению услуг теперь ограничен "К сожалению, вынуждены сообщить, что резиденты РФ в настоящее время не могут использовать сайт Kwork... ID: 463

Новые статьи в блоге:

20.05.2025 Во что можно влететь при обновлении или почему важно ТЗ
Получил запрос от клиента, что "нам просто нужно обновить битрикс", который автоматически тянет за собой перевод старого сайта на версию РНР... ID: 619

20.05.2025 В устаревших версиях модулей от eSolutions и Маяк есть уязвимости.
Устаревшие версии eSolutions и Маяк - риск взлома вашего сайта. Обновите эти решения на вашем сайте. ID: 618

18.05.2025 Успешный IT фрилансер - кто это и как им стать?
Кто такой фрилансер
Часто вижу темы с вопросом как найти работу фрилансером, как начать и т.д., но все задающие вопросы не понимают базу, саму суть ID: 617

Возврат к списку

© 2015-2025 Web админ
Связаться по WhatsApp