Взломали сайт

Здравствуйте.
У меня взломали сайт.
Залили шел (start.php)
Залили какой-то err_class.
prntscr.com/4w2nxg

Все это я могу убрать.
Но на сайте взломщик сейчас размещает ссылки prntscr.com/4w2wdd
sdm-lab.ru/

И как он это делает — вообще непонятно. Как будто какой-то modx plugin срабатывает на событие. Но в плагинах ничего незнакомого не вижу. prntscr.com/4w2x1g

Версия modx-2.2.6.

Да сейчас буду обновляться до последней.

Но можете подсказать, как он это сделал. И где еще искать жучков.
Сергей Бевзенко
Сергей Бевзенко
14 октября 2014, 13:19
modx.pro
4 193

Комментарии: 17

Алексей Ерохин
Алексей Ерохин
14 октября 2014, 17:25
Пройдитесь поиском по базе с названием файла. Может сниппет какой или еще что-нибудь.
    Василий Наумкин
    Василий Наумкин
    14 октября 2014, 17:49
    Все версии MODX до 2.2.15 уязвимы.

    Да и про 2.2.15 я совсем не уверен.
      Сергей Бевзенко
      Сергей Бевзенко
      14 октября 2014, 18:25
      Похоже делали через админку.
      Поискал по базе файл start.php.
      Нашел в логах (modx_manager_log) — prntscr.com/4w3fnd

      Пользователь — какой-то тест. prntscr.com/4w3gzr
        Владимир Кисилица
        Владимир Кисилица
        14 октября 2014, 20:43
        смотри index.php в корне, если не помнишь какой должен быть, открой нормальный или посмотри в пакете установки. Или просто замени его чистым, но советую посмотреть, что тебе там поменяли, плюс в assets смотри папка левая должна была появится, в этой папке хранится база и файл php, который ее грузит, я уже точно не помню.
          Сергей Бевзенко
          Сергей Бевзенко
          14 октября 2014, 21:59
          Вот блин. Точно в index.php добавили функцию. Вот же засранцы)) Спасибо
        Владимир Кисилица
        Владимир Кисилица
        14 октября 2014, 21:18
        Пардон, не смотрел сразу скрины, вижу нашел ту папку, и там же в assets смотри есть файл start.php и bkp_index.php(является бекапом index.php перед взломом). Пользователя советую не удалять, а просто заблокировать.
          Сергей Бевзенко
          Сергей Бевзенко
          14 октября 2014, 22:00
          Почему пользователя не удалять?
            Владимир Кисилица
            Владимир Кисилица
            14 октября 2014, 22:55
            Можно и удалить, но уязвимость нужно закрыть, иначе через пару дней опять появятся эти ссылки
          Илья Уткин
          Илья Уткин
          14 октября 2014, 21:25
          Внимательно осмотри еще и файл .htaccess
            Сергей Бевзенко
            Сергей Бевзенко
            14 октября 2014, 22:04
            Ага посмотрел. Он вроде нормальный.
            Там все почти закоментено. Включен UrlRewriteEngine. И дружеские url'ы.
            Мордынский Николай
            Мордынский Николай
            15 октября 2014, 01:41
            Была дыра в версиях кажись вплоть до 2,2,7 или даже выше, когда была возможность инжекции и получения полного доступа к сайту. Уязвимость была закрыта быстро — обновитесь до актуальных версий. Потом о чем то можно уже говорить будет. Потому то и нельзя жить на старых версиях любых cms, что их дырки известны.
              Сергей Шлоков
              Сергей Шлоков
              16 октября 2014, 12:38
              Вот важная информация для админов сайтов — Как защитить MODX Revolution от взлома
              Вот еще от себя могу добавить —
              Сергей Бевзенко
              Сергей Бевзенко
              21 октября 2014, 02:42
              Что-то после этих вмешательств самые важные страницы админки и не работают.
              Редактирование документов и пользователей.

              prntscr.com/4y5cda

              PS: Это уже после обновления. До обновления было также.((
              Олег Захаров
              Олег Захаров
              02 апреля 2018, 23:53
              Хороший мануал по этому поводу тут — я сам по нему делаю.
                Авторизуйтесь или зарегистрируйтесь, чтобы оставлять комментарии.
                17