Критические уязвимости безопасности Opencart

Тема в разделе "OpenCart", создана пользователем Владимир Z, 15 янв 2013.

  1. vupik

    vupik

    Регистрация:
    6 ноя 2012
    Сообщения:
    58
    Симпатии:
    12
    я бы глянул.

    Старо как мир! уже обсуждалось в других топиках на этом форуме!
     
  2. Gera

    Gera

    Регистрация:
    3 мар 2013
    Сообщения:
    39
    Симпатии:
    2
    В общем достаточно будет спрятать админку по другому адресу и отключить загрузку файлов пользователям?
     
  3. Veles

    Veles

    Регистрация:
    27 янв 2013
    Сообщения:
    212
    Симпатии:
    141
    Бесплатные ЦМС всегда поносили, всем в голову с детства вдалбливается: "бесплатно только сыр в мышеловке" этот стереотип работает как швейцарские часы (кстати ещё один стереотип о их крутости, запчасти производят в китае). Я одно время работал в вебстудии базирующейся на разработке сайтав Битрикс в ценовом диапазоне от 50т и до полумиллиона, естественно основной аргумент: надёжность и авторитетность, непоколебимость и универсальность.... так вот ломали наш сайт раз в месяц стабильно, при том что автообновления происходят регулярно, пишем в офф техподдержку там естественно вину за вредоносный код списывают на вмешательство в исходный код (шаблон-то уникализирован) и так по кругу.. в общем одно лечится другое калечится.
    А по поводу самописных движков - с чего вы взяли что отдельно написанный движок под конкретный сайт будет стабильнее чем вылизанный под наблюдением миллионов разработчиков по всему миру опен сорсовских цмс? Просто нет статистики и не может существовать "самописных движков сломано столько-то" потому что их нельзя классифицировать.
     
    karavan и cereberlum нравится это.
  4. noobie

    noobie

    Регистрация:
    27 мар 2013
    Сообщения:
    173
    Симпатии:
    22
    Тут больше влияет показатель популярность а не свободный/платный.
    Т.е. чем движек популярнее тем усиленнее его пытаються проломить.
    Еще нужно понимать что ломают чаще всего по готовым эксплойтам. Т.н. скрипткидди. Самописный движек (если в нем нет тривиальных дыр) могут ломать только немногие профи.
     
  5. markimax

    markimax

    Регистрация:
    3 дек 2012
    Сообщения:
    9
    Симпатии:
    4
    Самопальные легче ломать :Smile: Там особым профи быть не надо. Готовые конструкции, немного анализа и самопальный быстрее поломается. Когда движок популярный, его пытаются ломать все кому не лень, поэтому заметить там дырку гораздо быстрее. Другое дело, что в основном ломают, через сторонние модули, а сам бесплатный движок из коробки очень тяжело поломать
     
  6. nix

    nix php, MySQL, UNIX, MikroTik ROSAPI

    Регистрация:
    16 янв 2013
    Сообщения:
    1.000
    Симпатии:
    889
    markimax, Пожалуй не совсем согласен с Вами. Самопальный(самописный) движок не имеет открытого исходного кода, по этому мало кто(зачастую почти никто кроме разработчика) видет сам код и его недостатки (уязвимости), никто не делает всякие там эксперименты на нем и т.д. по этому поломать его труднее чем открытый исходный код
     
  7. markimax

    markimax

    Регистрация:
    3 дек 2012
    Сообщения:
    9
    Симпатии:
    4
    :Smile: Вы не правы. Обычно самопальные движки делаются дидлайн и там столько дыр, что вам и не снилось

    А выявить их всегда довольно легко.

    http://habrahabr.ru/company/badoo/blog/175865/
    http://habrahabr.ru/post/175939/
     
  8. Rrrichard

    Rrrichard

    Регистрация:
    29 ноя 2012
    Сообщения:
    105
    Симпатии:
    32
    А если копнуть немного глубже?
    Кто делает бесплатный движок? Кто финансирует? Какой получает из этого профит?
    Я предполагаю, что к автору или к организации, пишущей бесплатную программу, стоит большая очередь на изготовление сайта. Потому что, как тут уже писали, миллионная аудитория протестировала работу программы и вносит свои рекомендации по поводу улучшения. А самому автору (организации), который свою программу знает очень хорошо, остается быстро прикрутить шаблон и сайт готов.
     
  9. elguero

    elguero

    Регистрация:
    7 янв 2014
    Сообщения:
    21
    Симпатии:
    2
    как закрыть раскрытия путей ?
    /admin/controller/common/header.php
    /admin/controller/payment/alertpay.php
    /admin/controller/localisation/length_class.php
    /admin/model/localisation/geo_zone.php
    /admin/model/sale/customer_group.php
     
  10. Женя Мельник

    Женя Мельник

    Регистрация:
    11 мар 2013
    Сообщения:
    10
    Симпатии:
    0
    На 1.5.4.1 ещё сидеть можно или надо обновляться?
     
  11. DreamClassic

    DreamClassic

    Регистрация:
    23 июн 2013
    Сообщения:
    109
    Симпатии:
    9
    Вообще-то поломать можно все что угодно, но здесь с тобой соглашусь. К тому же на исследование самопального движка можно истратить столько времени, да игра просто не будет стоить свеч.

    п.с. есичестно, не понимаю смысл взлома интернет-магазина вообще, это ведь не банкомат, там ничего не хранится, это только инструмент. Ну сломал ты, ну и чего.... Конечно не беру в расчет крупные магазины рунета. Но меня середнячка смысл ломать, хз, че взять с моего магаза.
     
  12. moneymc

    moneymc

    Регистрация:
    22 янв 2013
    Сообщения:
    200
    Симпатии:
    36
    Итак. Появилась у меня уязвимость в версии 1.5.4.1. в catalog/view/theme/default/template/common/header.php в самый конец файла вставляются ифрэймы на сайты http://dataney.ru/1/index.php и http://banati-bags.ru/. Возможно это из-за модулей, я не знаю. Такое чувство, что стоит стучалка какая-то. Потому что я только вчера поставил на хостинг опенкарт из коробки (накидал туда фильтерпро, сеопак про, шаблон) и уже сегодня утром обнаружил эту фигню.

    Кто знает что это и как закрыть? Не хочу переходить на новые версии, ибо на эту все модули заточены. Закрыть от записи только этот файл можно, но ведь так и любой другой инфицировать можно.

    В общем, надеюсь на помощь, проекты горят )
     
  13. mmaaxx9

    mmaaxx9

    Регистрация:
    11 сен 2013
    Сообщения:
    24
    Симпатии:
    4
    А можно более детально описать проблему (желательно с ссылками)?
     
  14. moneymc

    moneymc

    Регистрация:
    22 янв 2013
    Сообщения:
    200
    Симпатии:
    36
    Так а что тут описывать? Кто-то залез на хостинг и добавил в файл вредоносный код.
     
  15. kama812

    kama812

    Регистрация:
    30 мар 2013
    Сообщения:
    311
    Симпатии:
    194
    ищи шеллы, ищи вообще по всему хостингу, поменяй пассы на хостинг, закрой от исполнения все папки куда пользователь может загружать файлы (а там ищи шеллы более тщательно), или вообще убери загрузку пользовательскую, и проверяй файлы левых модулей
     
  16. cereberlum

    cereberlum

    Регистрация:
    26 май 2013
    Сообщения:
    740
    Симпатии:
    266
    А не может ли быть это следствием знаменитого вредоносного кода в файле респонс.пхп?
     
  17. moneymc

    moneymc

    Регистрация:
    22 янв 2013
    Сообщения:
    200
    Симпатии:
    36
    Что за файл? И где можно почитать про отключение загрузки файлов для пользователей и т.д.?
     
  18. cereberlum

    cereberlum

    Регистрация:
    26 май 2013
    Сообщения:
    740
    Симпатии:
    266
    Я говорил о /system/library/response.php - проверьте на наличие кода base64 на всякий.