Как менеджер без полных прав смог установить расширение в базе ЕРП

08.09.25

Администрирование - Информационная безопасность

Это небольшая история как за час шелковистые волосы могут превратиться волосы из мема про Гарольда. Выясним как менеджер с небольшим набором прав смог установить расширение в базе ЕРП 2.5. Обсудим сейчас так носят или нет.

Эмоции немного стихли - поэтому поехали:

Перед обновлением я пошел в список расширений и увидел там расширение mag1cДляУТКАУП.  Оповещений от пользователей с полными / админскими правами не было - поэтому пошел в журнал регистрации. Выяснилось, что расширение установлено от пользователя, который должен работать только с заказами клиента. В базе смотрим, что у него нет полных прав / админских прав / прав на запуск внешних обработок, нет временного подкидывания полных прав / изменения профиля и т.д.
Вот тут полный ступор - а как тогда смог?
Поиск по конфигурации показал, что в списке заказов можно нажать кнопку с манящим логотипом волшебной палочки (менеджеры любят магию) и дальше программа все сделает сама.

// Скачивает и устанавливает расширение для работы с сервисом mag1c
Функция УстановитьРасширение(ПараметрыБазы) Экспорт

А именно:
 - выставит привилегированный режим
 - сходит на сайт https://service.mag1c.ru
 - скачает расширение и установит его

Теперь риторический вопрос: что делать...
 - заглушил эту установку расширения, если нет полных прав
 - написал код оповещения команды через Sentry о новых расширениях

 
 Код оповещения о новых расширениях в ЖР - Sentry вычитывает ЖР и делает рассылку

 - нужно пройтись по конфигурации и поискать такие места

Вопрос не в конкретном расширении, а в подходе "тихой" установки расширений без участия администратора.
Остался вопрос к коллегам по профессии - если в коде есть такие "тихие" установки расширений в коде - кто и как такое отслеживает. Полное ревью конфигурации не предлагать ))

ЕРП 2.5.21.116

Вступайте в нашу телеграмм-группу Инфостарт

Расширения безопасность ревью Sentry журнал регистрации проверка расширений

Вы можете заказать платную адаптацию этой статьи под ваши задачи на «Бирже заказов».

  • 0% комиссии — оплата напрямую исполнителю;
  • Исполнители любого масштаба — от отдельных специалистов до команд под проект;
  • Прямой обмен контактами между заказчиком и исполнителем;
  • Безопасная сделка — при необходимости;
  • Рейтинги, кейсы и прозрачная система откликов.

См. также

Информационная безопасность Чистка данных Системный администратор Разработчик Руководитель проекта 1С 8.3 1С:Бухгалтерия 3.0 Платные (руб)

Обезличивает копию рабочей базы 1С перед передачей наружу и возвращает настоящие данные обратно, когда база вернулась. Это обратимая псевдонимизация: соответствия «исходное - псевдоним» пишутся в отдельный зашифрованный датасет, который остаётся у владельца. Работает на любой конфигурации - обходит метаданные и находит персональные данные сам, без списка реквизитов под конкретную базу. Суммы, количества, даты и номера документов не трогает никогда, оборотно-сальдовая до и после совпадает до копейки. Проверено на трёх конфигурациях: 106 031 объект, 215 642 замены, ноль ошибок, возврат 100 процентов.

42700 руб.

18.08.2026    1617    4    0    

3

Информационная безопасность Инструменты администратора БД Инструментарий разработчика Учет документов Системный администратор Разработчик Аналитик Бухгалтер Пользователь Руководитель проекта 1С 8.3 1С 8.5 Розничная и сетевая торговля (FMCG) Платные (руб)

Контроль ввода данных в 1С: проверка заполнения реквизитов, обязательные поля, контроль перед записью и проведением, запрет проведения документа. Позволяет настраивать любые проверки данных в 1С 8.3/8.5 от обязательных полей до сложных условий – без открытия конфигуратора и написания кода. Готовое расширение, которое подключается и работает сразу.

6000 руб.

15.04.2026    4258    12    0    

25

Чистка данных Информационная безопасность Разработчик 1С 8.3 1С 8.5 1С:Библиотека стандартных подсистем Абонемент ($m)

Обезличиватель баз 1С — внешняя обработка для подготовки обезличенных копий информационных баз. Заменяет персональные данные на случайные значения, сохраняя структуру и связи объектов. Универсальный обход всех типов метаданных: справочники, документы, регистры всех видов, ПВХ, планы счетов. Обезличивание по ссылкам с ограничением глубины. Генерация валидных ИНН/КПП/ОГРН/СНИЛС с контрольными суммами. Отбор через СКД для каждого объекта. Работает в любой конфигурации на БСП 2.x/3.x.

1 стартмани

13.11.2026    759    14    war41k    18    

23

Информационная безопасность Архивирование (backup) Системный администратор Разработчик 1С 8.3 Бесплатно (free)

Утром базы не открылись: ночью хакеры зашифровали серверы, базы 1С, почту, кассы, мобильные приложения и бэкапы в сети. Критичные базы подняли из копий на отключённых дисках и потеряли около 10 часов данных. Рассказываю, как прошли первые сутки, что увидел только человек, что мы закрыли после атаки и какие двери в самой базе 1С программист может проверить у себя уже сегодня.

10.11.2026    16025    nedomolkov.ivan    67    

20

Информационная безопасность Нейросети Разработчик 1С 8.3 Бесплатно (free)

Скрипт, который написал Claude Code и каждый час запускал планировщик, ночью пометил на удаление тысячи документов перемещений в продуктивной базе 1С на 5 ТБ. Остатки уехали на миллиардные суммы, база стояла до обеда, около 500 заказов с маркетплейсов и сайта ушли в отмены. Как это произошло, где была ошибка в определении дублей и что я сделал, чтобы это не повторилось: агентам только чтение, алерты в Telegram на массовую запись, ревизия планировщиков.

06.10.2026    6670    nedomolkov.ivan    164    

48

Информационная безопасность Поиск данных ServiceDesk, HelpDesk Журналы и реестры данных 1С 8.3 Россия Бухгалтерский учет Бюджетный учет Налоговый учет Управленческий учет Платные (руб)

Полный контроль над изменениями в 1С без нагрузки на вашу базу. Мгновенный доступ к истории изменений, удобное сравнение и откат данных в один клик. Простой отчет с визуальным отображением изменений Откат на любую версию объекта в два клика История изменения данных хранится во внешней базе

180000 руб.

05.09.2025    5975    2    1    

4

Информационная безопасность Пароли 1С:Предприятие 8 Бесплатно (free)

Все еще храните пароли в базе? Тогда мы идем к вам! Безопасное и надежное хранение секретов. JWT авторизация. Удобный интерфейс. Демо конфигурация. Бесплатно.

30.05.2024    17693    kamisov    20    

66

Информационная безопасность Разработчик 1С:Предприятие 8 Бесплатно (free)

Рассмотрим в статье более подробную и последовательную настройку аутентификации в 1С с использованием распространенной технологии JWT, которая пришла в программу в платформе версии 8.3.21.1302.

27.02.2024    27384    AlexeyPROSTO_1C    10    

46
Комментарии
Подписаться на ответы Инфостарт бот Сортировка: Древо развёрнутое
Свернуть все
1. AlxPop 37 08.09.25 10:04 Сейчас в теме
"что в списке заказов можно нажать кнопку с манящим логотипом волшебной палочки" - для тех кто в танке - это про что?
2. mrcamomile 107 08.09.25 17:30 Сейчас в теме
(1) Вот эта кнопка в списке заказов и в заказе устанавливает расширение. Только у меня она в меню "Отправить" уходит - у менеджера просто в командной панели полностью висит
Прикрепленные файлы:
3. lestate 15.09.25 12:55 Сейчас в теме
В рознице я столкнулся с этим, там продавец так же поставил mag1c. Решил аналогичным способом.
4. Nadushka74 6 22.12.25 14:18 Сейчас в теме
Как приятно что мы не одиноки в этой проблеме
Для отправки сообщения требуется регистрация/авторизация