אבטחת ביטריקס: בדיקת פגיעויות והקשחה

תקלת אבטחה אחת — הפניות לאתרי פישינג או ירידה בביצועים — יכולה לעלות לעסק למעלה מ-1,000 דולר ליום של השבתה. אנחנו יודעים זאת ממקור ראשון: במשך למעלה מ-10 שנים, ביצענו ביקורת על 500+ פרויקטים של Bitrix. בכל פרויקט שני מצאנו פרצות קריטיות: מ-XSS ועד SQL injection, מהרחבת הרשאות ועד לוחות ניהול פתוחים לחלוטין עם סיסמאות ברירת מחדל. חיסול פרצות אינו פעולה חד-פעמית אלא תהליך שיטתי. אנחנו לא רק סותמים חורים; אנו מיישמים מערך מקיף של אמצעים: חיזוק, ניטור שלמות, סינון פרואקטיבי. זה מפחית את הסיכון להדבקה חוזרת ב-90%. העלות של גישה זו היא חלק קטן מהמחזור שלך, והחיסכון מאירוע בודד מכסה את כל ההוצאות. הצוות שלנו משתמש בכלים מודרניים: סורקי פרצות, fuzzing, ביקורת קוד ידנית. זה מאפשר לנו למצוא אפילו בעיות נסתרות. אבטחת אתר אינה אופציה אלא הכרח. דליפת נתוני לקוחות עלולה להוביל לתביעות ולפגיעה במוניטין. יישום אמצעי אבטחה משתלם לאחר אירוע אחד. בדוק את האתר שלך היום — אל תחכה עד שתוקפים ימצאו פרצה. אנו מציעים מחזור מלא: מביקורת ועד חיזוק וניתוח לאחר אירוע. להלן — מה אנחנו עושים, איך, ואילו תוצאות אנו מבטיחים.

פרצות אופייניות באתרי Bitrix

לפי הסטטיסטיקות שלנו, 70% מהפרויקטים מכילים פרצות XSS. Cross-site scripting מתרחש כאשר נתונים מ-$_GET/$_POST מוצגים ללא escape ברכיבים ובתבניות מותאמות אישית. דוגמה:

// Уязвимо: echo $_GET['search'];
// Правильно: echo htmlspecialchars($_GET['search'], ENT_QUOTES, 'UTF-8');
// Или через Битрикс D7: echo \Bitrix\Main\Text\HtmlFilter::encode($_GET['search']);

XSS רפלקטיבי בכתובת ה-URL של דף החיפוש הוא וקטור אופייני. בדוק את כל פרמטרי ה-URL המוצגים בתבנית.

SQL injections — נמצאו ב-30% מהפרויקטים. הם מיושנים בשימוש ב-D7 ORM אך חיים בקוד legacy עם // Уязвимо: echo $_GET['search']; // Правильно: echo htmlspecialchars($_GET['search'], ENT_QUOTES, 'UTF-8'); // Или через Битрикс D7: echo \Bitrix\Main\Text\HtmlFilter::encode($_GET['search']); :

// Уязвимо: $DB->Query("SELECT * FROM b_user WHERE LOGIN = '" . $_POST['login'] . "'");
// Правильно: $DB->Query("SELECT * FROM b_user WHERE LOGIN = '" . $DB->ForSql($_POST['login']) . "'");

PHP injection באמצעות העלאת קבצים — חוסר אימות סיומת בעת העלאה דרך טפסים מותאמים אישית. קובץ $DB->Query() יכול להיות משונה שם ובוצע.

IDOR (הפניות ישירות לא מאובטחות לאובייקטים) — בקשות כמו // Уязвимо: $DB->Query("SELECT * FROM b_user WHERE LOGIN = '" . $_POST['login'] . "'"); // Правильно: $DB->Query("SELECT * FROM b_user WHERE LOGIN = '" . $DB->ForSql($_POST['login']) . "'"); ללא בדיקת בעלות על ההזמנה. ברכיבי Bitrix סטנדרטיים זה מטופל; במותאמים אישית לעיתים קרובות לא.

כיצד אנו מחסלים הדבקות

אם האתר כבר נגוע — הרצף:

1. בידוד: מעבר למצב תחזוקה או חסימת גישה חיצונית.
2. חיפוש קוד זדוני:

find /var/www -name "*.php" -exec grep -l "base64_decode|eval|system|exec" {} \; 

3. ניתוח תאריכי שינוי: קבצים ששונו לאחר תאריך הפריסה האחרון הם חשודים.
4. השוואה עם הפצה נקייה: הורד גרסת Bitrix נקייה והשווה קבצי ליבה באמצעות shell.php.jpg.
5. שינוי כל פרטי הכניסה: סיסמאות מנהל, מפתחות API, סיסמת DB, גישת FTP.
6. עדכון הליבה והמודולים לגרסאות האחרונות.

טבלת /order/?ID=12345 — בדוק אירועים עד לרגע ההדבקה. לעיתים קרובות ניתן לראות את ה-IP ממנו נוצלה הפרצה.

מה כולל חיזוק מלא

מערך אמצעים שסוגר 90% מהווקטורים האופייניים להתקפה. יום השבתה עקב הדבקה עולה לעסקים סכומים גדולים — אובדן מכירות ופגיעה במוניטין.

מדוע חיזוק הכרחי

לאחר חיזוק, האתר עומד בתקני OWASP Top 10 ובדרישות 54-FZ. 90% מההתקפות האופייניות נחסמות אוטומטית. קרא עוד על סוגי התקפות בוויקיפדיה: Cross-site scripting ו-SQL injection.

מקרה מעשי: הפניות לבוטים

חנות מסחר אלקטרוני גדולה, מערכת "Business Plus". תסמינים: הפניות תקופתיות לאתרי צד שלישי, אך רק עבור בוטים של מנועי חיפוש (User-Agent). סורק Bitrix — נקי. ניתוח קבצים לפי תאריך שינוי חשף chmod 755 ששונה — קוד עם בדיקת User-Agent והפנייה הוזרק. בנוסף: דלת אחורית ב-644. וקטור כניסה — סיסמת FTP שנפרצה (לא שונתה במשך שנים, דלפה דרך שירות אחר).

תיקון: שחזור קבצי ליבה מהפצת ייחוס, שינוי כל הסיסמאות, הפעלת אימות דו-שלבי ל-FTP ו-SSH, הגדרת SFTP עם אימות מבוסס מפתחות במקום סיסמאות.

אמצעי מניעה לאחר ניקוי

• ניטור שלמות קבצים: הגדר 440 או השתמש במודול "Integrity Control" של Bitrix. זה מהיר פי 10 מבדיקות ידניות פעם בחודש.
• WAF: הפעל והגדר מסנן פרואקטיבי במצב חסימה.
• עדכונים שוטפים: הירשם לרשימת תפוצה של עדכוני אבטחה של Bitrix.
• הגבלת גישה: FTP/SSH רק מ-IPs ספציפיים, פריסה דרך CI/CD ללא גישת FTP קבועה.

בנוסף, אנו ממליצים לעיין בתיעוד האבטחה של Bitrix.

לוחות זמנים

לוחות הזמנים תלויים במידת ההדבקה, בהיקף הקוד המותאם אישית ובזמינות גיבויים מלפני ההדבקה.

הזמן ביקורת אבטחה לאתר ה-Bitrix שלך — קבל דוח מפורט ותוכנית לתיקון פרצות. צור קשר לייעוץ.