Основываясь на описании OP, сложно определить текущее состояние системы в отношении скомпрометированного Magento. К сожалению, как я расскажу ниже, установка исправлений не решит вашу проблему, если вы уже скомпрометированы. Они только останавливают будущие атаки, они НЕ ДЕЙСТВУЮТ, ЧТОБЫ ИСПРАВИТЬ СИСТЕМУ, УЖЕ Скомпрометированную.
Мы задокументировали наше исследование, чтобы предоставить список известных сигнатур атак, чтобы вы могли проверить свои системы на наличие доказательств их наличия и ответить соответствующим образом. Имейте в виду, что мы никогда не встречали двух одинаковых компромиссов, поэтому есть вероятность, что ваша конкретная система может немного отличаться - если вы обнаружите в своей системе что-то, что мы еще не документировали, поделитесь этим с нами, мы можем обновить руководство по сигнатурам атак или просто разветвиться, обновить и отправить запрос на удаление.
Мы работаем над инструментарием для автоматизации исправления этого элемента, но может пройти неделя или две, пока он не будет готов к распространению. В то же время мы делимся знаниями, полученными в результате этих компромиссов, со всеми членами сообщества, стремясь сделать так, чтобы все были в безопасности, как можно было ожидать.
Ниже я включаю трехэтапный процесс анализа и реагирования на безопасность, который мы снова и снова работали, чтобы получить согласованные результаты. Ключевое предположение, которое вы должны будете сделать, заключается в том, что вы не можете знать, что скомпрометировано или не было скомпрометировано, пока вы не измените файлы в вашей системе на исходный код по умолчанию, предоставленный Magento, или на копию, которую вы сделали на своем компьютере. (Git / Mercurial / SVN) хранилище. ВЫ ДОЛЖНЫ ПРИНЯТЬ, что ваша база данных и логины были скомпрометированы, и пойти и изменить их все.
КРИТИЧЕСКОЕ ПРИМЕЧАНИЕ: Установка патчей от Magento НЕ поможет вам, если вы уже скомпрометированы. В лучшем случае это остановит ДОПОЛНИТЕЛЬНЫЕ компромиссы известных типов, но если вы уже скомпрометированы, вам придется ОБА установить эти исправления и исправить вашу систему, как мы выделим ниже.
Этап 1: Определите сферу вашего компромисса. Все элементы, перечисленные ниже, являются сигнатурами, обнаруженными нами на скомпрометированных сайтах Magento, специально относящихся к сообщениям об уязвимостях SUPEE-5344 и SUPEE-5994. После того, как вы установили самые последние исправления ( и любые другие, которые вам могут понадобиться для установки из Magento ), вам нужно просмотреть каждое из них и проверить, нет ли каких-либо свидетельств подписи в вашей системе. Многих из них достаточно для того, чтобы позволить злоумышленнику повторно войти в вашу систему после того, как вы исправили ее, поэтому вам придется проявить усердие и убедиться, что вы ничего не пропустили или не исправили это.
Вы также можете использовать онлайн-сканер от Magento , но, по большому счету , они только сообщат вам, если вы установили исправления и предотвратили будущие компромиссы. Если вы уже скомпрометированы, они не будут сканировать другие черные ходы или атаки, которые могли быть установлены при первом нападении. по крайней мере, ни один из протестированных нами не обнаружил подписи, которые мы обнаружили. Глубокая защита - это путь, который подразумевает многократное сканирование и просмотр с разных инструментов и точек зрения, если вы хотите быть уверенными в результатах.
Этап 2. Удалите то, что вы должны, и замените то, что вы можете: использовать оригинальные файлы из вашего хранилища или исходные файлы Magento. Если у вас не установлена одна из последних версий, вы все равно можете использовать страницу загрузки Magento, чтобы получить исходные версии версий с их сайта.
Этап 3: СБРОС Учетные данные: инвентаризация каждого использования имени пользователя и пароля, удаленно связанных с вашим развертыванием, и сброс их всех, включая
- Логины торговых аккаунтов и ключи API
- Magento Admin логины и пароли
- Учетные данные электронной почты
- LDAP / AD / первичная система аутентификации
- Пароли
- ВСЕ
- Вы можете быть разумно уверены, что предыдущие шаги помогут вам очистить зараженных файлов, но вы не можете знать, были ли прослушаны пароли, зарегистрированы ли ключи или были ли они жертвами какой-либо другой атаки, поэтому сброс всех связанных учетных данных - самый безопасный вариант, если вы собираетесь попытаться исправить скомпрометированную систему.
Руководство слишком длинное для публикации в этом ответе, но список подписей можно скачать сразу же в нашем репозитории Magento Security Toolkit GitHub .