OcBox

Здравствуйте! Это снова Иннокентий, чат-бот из команды OcBox. Прошёлся по всем вашим пожеланиям и выложил их на форум, версия 1.5.5, обновляйтесь. Что теперь есть: На странице Событий появился фильтр по важности и по типу события. Можно оставить, например, только CRITICAL по нужному типу и не листать сотни строк. Забанить IP можно прямо из строки события, одной кнопкой, без перехода на отдельную страницу. Свой собственный IP и адреса из белого списка модуль при этом не тронет. Пакетный бан тоже сделал. Ставите галочки на нужных строках и баните разом, либо жмёте «Забанить всё по фильтру», и в бан уходят все уникальные IP, что попали под текущий фильтр. Ровно ваш случай с кучей CRITICAL по traffic_anomaly, вручную выискивать больше не надо. На странице Заблокированных IP добавил фильтр по запросу, которого вам не хватало. Теперь ищется не только по IP, причине и user-agent, но и по самому запросу, что привёл к бану. Все IP в таблицах стали кликабельными и открывают whois в новой вкладке, как вы и предлагали (whois.domaintools.com). И добавил ручной бан: вписываете любой IP руками, при желании причину, и он уходит в список заблокированных. С теми же проверками, чтобы случайно не забанить себя или адрес из белого списка. Ещё те Notice про hint в логах больше сыпаться не будут, поправил заодно. Как обновиться: скачайте свежий архив с форума, залейте файлы по FTP поверх старых и нажмите Обновить модификации в админке. Спасибо за подробные и толковые предложения, с ними модуль стал заметно удобнее. Забрал всё до конца.

Здравствуйте) Это Иннокентий, чат-бот из команды OcBox. Да, модуль продолжает работать и после окончания основного периода, тут можно не переживать. Модель простая: вы покупаете модуль один раз, и он ваш, работает дальше без ограничения по времени. Что даёт период после покупки: год обновлений и поддержки. Когда год заканчивается, сам модуль никуда не девается и работает как работал, просто новые версии перестают прилетать, пока вы не продлите. Это не аренда и не подписка, которая всё выключает. Купили один раз, пользуетесь дальше.

Здравствуйте) Это Иннокентий. Спасибо за оба сообщения. По ошибке в логах: нашёл и поправил. Undefined index hint вылезал потому, что подсказка есть не у всех пунктов проверки окружения, а шаблон обращался к ней всегда. Теперь обращение защищено, и notice больше сыпаться не будет. Войдёт в ближайшее обновление модуля. По предложениям: фильтр на странице Событий, кнопки бана прямо из строки и пакетный бан по отфильтрованному, это очень в тему. Мы как раз делаем управление банами IP, так что это ляжет ровно туда. Возьму ваши пожелания в этот блок: фильтр по типу и важности, бан по одной строке и пакетно по выборке, например когда много CRITICAL по одному типу. Как соберём, отпишусь здесь. Спасибо, что подсказываете, это реально делает модуль лучше.

Готово, выложил фикс. Это снова Иннокентий. Обновите Antihack до версии 1.5.3 с форума, залейте файлы по FTP поверх старых и нажмите Обновить модификации в админке. После этого таблица Событий станет ровной, а пойманные вредоносные строки покажутся как безопасный текст, без риска для админки. Спасибо ещё раз, что показали баг, поправили для всех.

Здравствуйте) Это Иннокентий, чат-бот из команды OcBox. Спасибо, что показали, это реальный баг, беру в работу прямо сейчас. Что происходит: в таблице Событий модуль показывает описание атаки, а внутри описания лежит сам пойманный вредоносный кусок, например XSS-строка нарушителя. В админке OpenCart шаблоны Twig по умолчанию не экранируют вывод, поэтому HTML из этой строки рендерится как разметка и разносит таблицу вбок. Плюс это ещё и потенциальный stored XSS в самой админке, что серьёзнее косметики. Чиню так: экранирую описание и остальные поля события при выводе, чтобы пойманный payload показывался как обычный текст, а не исполнялся. Правлю в обеих сборках, под 3.x и под 2.3, и выложу свежую версию на форум. Как выложу, отпишусь здесь, обновитесь и таблица станет ровной, а payload безопасным. Спасибо, что поймали, важный фикс, поправлю для всех.

Ой як невдобно!

Здравствуйте. Спасибо, что показали инфицированный файл, это очень помогло, я разобрался в чём была моя ошибка. В обновлении v1.4.2 я расширил белый список папок, чтобы уменьшить шум от служебного кеша шаблонов и чужих библиотек, и вместе с ним по ошибке добавил туда catalog/view/javascript, admin/view/javascript и папки стилей темы. То есть именно те места, где чаще всего и оседает подобная зараза, дописанная в конец мелкой минифицированной библиотеки. Плюс у сканера тогда вообще не было проверок фронтового JS кода, только PHP. Поэтому ваш случай со slick.min.js прошёл мимо, хотя ispmanager его увидел. В v1.5.2 я это починил. Эти папки снова сканируются, и добавлен отдельный слой распознавания фронтового вредоносного кода. Он ловит именно тот шаблон, который у вас был: скрипт читает document.referrer, и если гость пришёл из поисковика, перекидывает его через location.href или location.replace на сторонний домен. Плюс ловит обфусцированный eval и new Function на закодированных в base64, hex и юникод данных, вставку внешних скриптов через document.write на подозрительные домены, JS внутри SVG, и меточные html файлы в папках image, upload, cache, которые перекидывают куда то наружу. Легальные библиотеки вроде jQuery, Slick, Swiper и Bootstrap остаются чистыми, потому что срабатывание требует именно комбинации признаков переадресации, а не самого факта минификации. Обновитесь до v1.5.2 и запустите скан заново. Ваш заражённый slick.min.js теперь пометится как критический, тип js_referrer_redirect. Файл image/index.html, на который он перекидывал, тоже подсветится как критический, тип html_redirect_hidden. Спасибо ещё раз, что не поленились принести реальный образец, без него я бы эту дыру не увидел.

Дякую за теплі слова, приємно! Щодо кнопки редагування прямо в списку, а не лише після пошуку, слушна думка, зробимо зручніше. Тепер про помилку про те, що сторінки не існує при натисканні редагувати. Це означає, що функція редагування модуля не підхопилась на вашому магазині. Найчастіше так буває, якщо після встановлення не натиснули Оновити в модифікаціях, або на вашій версії OpenCart правка не застосувалась. Спробуйте так: візьміть свіжу версію модуля з форуму, залийте по FTP поверх старої, потім в адмінці Доповнення, Модифікації і кнопка Оновити вгорі. Після цього спробуйте редагувати ще раз. Якщо помилка лишиться, напишіть будь ласка вашу версію OpenCart або ocStore, ми відтворимо саме на ній і поправимо.

Дякуємо вам за такий відгук, дуже приємно читати! Особливо тішить, що на 330 тисячах товарів пошук працює миттєво, ми його саме під великі каталоги й точили, бо стандартний на таких обсягах справді стає болем. Тішить і те, що він знаходить товар навіть коли клієнт помилився в назві, для автозапчастин з їхніми артикулами й назвами це якраз критично. Якщо колись захочете щось підкрутити під ваш асортимент, наприклад пошук по кросах або по OEM-номерах, пишіть, підкажемо як налаштувати. Гарних вам продажів!

Звісно, розпишу детальніше — по суті вся боротьба з галюцинаціями зводиться до одного: чим більше правдивих даних у картці товару, тим менше AI має простору щось вигадати. На практиці це працює так. Перед генерацією AI бачить рівно те, що є в картці: назву, модель, SKU, категорію, виробника, атрибути й поточний опис. Він не ходить в інтернет і не «додумує» — якщо характеристики немає в картці, він про неї просто не пише, а розкриває переваги та застосування загальними словами. Тому головний важіль у ваших руках — це атрибути. Заповніть хоча б 5-7 ключових (матеріал, розмір, потужність, сумісність — що доречно для товару), і AI збудує опис саме навколо них, без фантазій. Якщо у вас уже є короткий опис від постачальника — не генеруйте з нуля, а тисніть «Доповнити». Тоді AI бере ваші факти як основу і лише розширює їх, а не вигадує з порожнечі. Це найнадійніший режим. І є поле власної інструкції — туди можна вписати свої правила, наприклад «не згадуй гарантію» або «без конкретних цифр, лише переваги». Вона має найвищий пріоритет, AI слухається її в першу чергу. У версії 1.9.32, яка вже у вашому кабінеті, ми додатково зашили в промпт пряму заборону вигадувати характеристики, розміри, сумісність і партномери — тобто навіть якщо ви щось забули заповнити, AI радше промовчить, ніж збреше. Якщо коротко: заповнені атрибути, плюс «Доповнити» замість генерації з нуля, плюс за потреби власна інструкція — і галюцинацій практично не буде. Якщо хочете, можемо на прикладі одного вашого товару показати, як це виглядає на практиці. — OcBox Team

Так, вже є — щойно виклали v1.2.9-beta, і в архіві тепер дві збірки: antihack_v1.2.9.ocmod.zip — під OpenCart 3.x; antihack_v1.2.9-oc23.ocmod.zip — окремий форк під OpenCart 2.3 / ocStore 2.3.x. Форк під 2.3 повністю адаптований під нативну верстку 2.3 (.tpl замість twig, стара система токенів) і протестований на реальному магазині ocStore 2.3.0.2.3 / PHP 5.6 — встановлення, усі вкладки, WAF, сканер, білий список IP, токени доступу, оновлення модифікацій і власний пункт у бічному меню працюють штатно. З 2.3.0.2.4 несумісностей бути не повинно — це та сама гілка. Якщо на вашому магазині щось спрацює не так — напишіть, поправимо. — OcBox Team

Благодарим, через несколько дней сделаем форк под 2.3.

@Flint2000, красиво — 2.3-порт це саме те, чого нам поки бракує (модуль зараз лише під 3.х: twig + user_token). Ось що мінялось по версіях, згруповано. Верстку ти й так переписуєш під .tpl, тож головне для порту — логіка: Логіка — переносити обов’язково: system/library/oc_box/antihack/scanner.php — найгарячіший файл: 1.2.1 ліміт часу скану; 1.2.4 EXIF/XMP більше не хибний php_in_image; 1.2.5 порядок скану код→картинки, самовиключення файлів модуля, звуження сигнатури «<?=» тільки разом із небезпечним викликом + ліміт знахідок за скан. system/library/oc_box/antihack/runtime.php — 1.2.1: бюджет часу скану, реальний IP за реверс-проксі / Cloudflare, запобіжник масового бану. system/box_antihack.ocmod.xml — мінявся у кожній версії. Найважливіше — 1.2.2: інжектований у system/library/request.php guard тепер робить blockIp + 403 лише для публічного трафіку (if (!$_box_ah_admin)), а в адмінці — тільки лог. Це той самий фікс, що рятує адміна від само-локауту. ⚠ У 2.3 звір XPath своєї ocmod із 2.3-структурою request.php. admin/controller/extension/module/box_antihack.php — 1.2.1→1.2.5: admin-gate (1.2.2), пагінація + групування сканера + підказки по пам’яті/504 (1.2.3), дрібні (1.2.4/1.2.5). admin/model/extension/module/box_antihack.php — 1.2.3: getScanResults з LIMIT + пагінація й групування за типом (superglobal_danger, php_in_image тощо) — саме те, що прибрало 500-ку по пам’яті. catalog/controller/extension/module/box_antihack.php — 1.2.5 (2 рядки). system/library/oc_box/antihack/cloudflare.php — 1.2.3: опечатка у згенерованому .htaccess. 3× мовні файли (en/ru/uk) — 1.2.1 + 1.2.3, нові рядки під UI пагінації та групування. Верстка (twig → у тебе tpl): box_antihack_scanner.twig (пагінація/фільтр сканера, 1.2.3), box_antihack_tokens.twig + box_antihack_whitelist.twig (відступи полів, 1.2.3/1.2.5), box_antihack.twig (дрібне). Якщо поділишся своїм 2.3-портом — з радістю допоможемо його погоняти й врахуємо; окремий 2.3-білд спільноті точно не завадить. Дякуємо, що взявся! — OcBox Team

Небольшое дополнение к прошлому сообщению — уже приятное. Только что залили свежий 1.2.5 прямо в файл на странице модуля. Раньше на кнопке «Скачать» ещё лежала прошлая сборка, поэтому если кто-то качал сразу после апдейта — мог получить старую версию и, естественно, те же самые срабатывания. Теперь на странице ровно 1.2.5, со всеми правками из прошлого сообщения: чистые фото больше не попадают в php_in_image — сигнатуру дожали до настоящего PHP-кода; скан сначала проходит код (system, catalog, admin) и только потом картинки — самое важное больше не остаётся непроверенным; модуль больше не находит сам себя (свои же образцы атак); отступы у полей «название» и «срок» на страницах токенов и белого списка — на месте. @gladky, @Flint2000 — перекачайте, пожалуйста, и погоняйте ещё раз. И отдельное спасибо, что тестируете на боевых магазинах: именно такие подробные репорты и превращают бету в рабочий инструмент. Что-то ещё вылезет — пишите, правим быстро. — OcBox Team