утром на сайт а вместо сайта, какая то фигня арабская.. зайдя на фтп увидел, что подменили файл index на это: сайт стоит на maxystore 1.5.4.1 подскажите как могли взломать и как закрыть уязвимость
blessed, могли по разному. нужно анализировать access.log 1. через соседей 2. через баги в php, apache, ftp и т.д. 3. плохой пароль к фтп
найди access лог от Апачи (если он у тебя стот, расположение зависит от Оси) в нем по имени файла: omar1.php.6d90c3a62f1ee1dfbb0b4221fbf0d5a6 найди IP и время взлома, а там в обратном порядке по IP восстановишь картину
не храни пароли в программах типа (total commander). Это раз. А во-вторых почисти все страницы от кодов типа <iframe> и <script>. Посмотри где что подозрительно выглядит и удаляй. Это обычный вирус. Ничего особенного. А еще лучше создавать файлы типа .passwrd на ftp. Подробности есть в FAQ по OPENCART
Один из путей вторжения - вирусы на компьютере. После исправления поставьте на файлы index.php и .htaccess в корне и в папке admin права 444
Для начало: Меняем путь в админку, закрываем файлы ошибок через хтаццес, ставим сложный пароль, не сохраняем пароли в блокноты, любые текст файлы, не сохраняем в разных программах и ставим пароль в админку такой, чтоб больше он нигде не использовался, не забываем делать резервные копии( ну на всякий пожарный) и радуемся жизни))) Ах да, и с умом ставим стороннии модули))
OpenCart не использует какой-либо защиты от CSRF в панели пользователя. Уязвимость присутствует вплоть до последней версии CMS. не думаю что maxystore исключение http://atsec.ru/csrf-v-paneli-polzovatelya-opencart/
ёк макарёк , отЭц... а ну-ка залейся через csrf .... ) зы. не писал бы уже бред... или не набивал бы посты... зыы. дядюшка $id дело сказал, в своём посте...
Глянул статью, могу сказать "Миф развенчан"... Для смены пароля, в пользовательском интерфейсе использйется функция: PHP: $this->model_account_customer->editPassword($this->customer->getEmail(), $this->request->post['password']); Теперь резонный вопрос, где в той форме, берётся идентификатор емей-ла ? (если с сессии - то сменится пароль залогиненного пользователя) иначе - false.
