Bekijk Volledige Versie : Opnieuw een inbraak poging?
Gisteren is het begonnen. Iemand met IP 88.164.2.23 surft naar een site op mijn server en maakt de URL iedere 5 seconden telkens langer en langer ...
Geen idee waarom men zoiets doet, de server zal er in ieder geval niet plat van gaan. Voor alle zekerheid heb ik 's avonds dit IP geblokt en een mail verstuurd naar abuse@....
Probleem is dat dit vandaag nog steeds bezig is. Wat doen jullie daarmee?
Kun je ons voorzien van een stukje log ?
Triloxigen
23/01/09, 18:43
Je omschrijving is wel erg vaag.
En om de 5 minuten is niet iets om wakker van te liggen lijkt mij?
Enliven.nl
23/01/09, 19:35
Dit kan ook gebeuren door een programmeer fout hé
Yeh, maar kan ook goed een crawl bot voor vulnerabilities zijn.
Je omschrijving is wel erg vaag.
En om de 5 minuten is niet iets om wakker van te liggen lijkt mij?
Ik dacht eventjes dat ik een tikfout had gemaakt. Dat kan natuurlijk altijd. Het is om de 5 seconden, niet om de 5 minuten.
Nou, waar blijven die logs?
ook wel eens gezien, gaan ze een tijdje mee door en als de webserver er niet door omvalt dan gaan ze het ergens anders uitproberen
Kun je ons voorzien van een stukje log ?
Een willekeurig stukje uit httpd log file van gisteren:
88.164.2.23 - - [22/Jan/2009:17:59:56 +0100] "GET /syllabus/lesplaatsen/lesplaatsen/lesplaatsen/syllabus/praktijklesgever_motorfiets/praktijklesgever_motorfiets/theorielesgever/welkom/praktijklesgever_motorfiets/syllabus/lesplaatsen/lesplaatsen/praktijklesgever_motorfiets/hoe/infomoment/praktijklesgever/404/infomoment/infomoment/syllabus/theorielesgever/syllabus/index.php/syllabus/praktijklesgever/404/syllabus/wetteksten/brevetexamens/theorielesgever/praktijklesgever_motorfiets/syllabus/praktijklesgever/brevetexamens/welkom/infomoment/infomoment/hoe/welkom/brevetexamens/404/hoe/infomoment/theorielesgever/infomoment/brevetexamens/welkom/welkom/wetteksten/typo3temp/stylesheet_1dca4317bc.css/praktijklesgever/infomoment/praktijklesgever/praktijklesgever/lesplaatsen/theorielesgever/praktijklesgever/lesplaatsen/hoe/hoe/infomoment/fileadmin/css/rijschoollesgever.css HTTP/1.1" 302 1126 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
88.164.2.23 - - [22/Jan/2009:17:59:57 +0100] "GET /syllabus/lesplaatsen/lesplaatsen/lesplaatsen/syllabus/praktijklesgever_motorfiets/praktijklesgever_motorfiets/theorielesgever/welkom/praktijklesgever_motorfiets/syllabus/lesplaatsen/lesplaatsen/praktijklesgever_motorfiets/hoe/infomoment/praktijklesgever/404/infomoment/infomoment/syllabus/theorielesgever/syllabus/index.php/syllabus/praktijklesgever/404/syllabus/wetteksten/brevetexamens/theorielesgever/praktijklesgever_motorfiets/syllabus/praktijklesgever/brevetexamens/welkom/infomoment/infomoment/hoe/welkom/brevetexamens/404/hoe/infomoment/theorielesgever/infomoment/brevetexamens/welkom/welkom/wetteksten/typo3temp/stylesheet_1dca4317bc.css/praktijklesgever/infomoment/infomoment/brevetexamens/praktijklesgever_motorfiets/praktijklesgever_motorfiets/brevetexamens/theorielesgever/ HTTP/1.1" 404 10889 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET)"
Om een idee te geven hoe het er momenteel uit ziet, de firewall:
Jan 23 20:14:09 lcl kernel: Shorewall:net2fw:DROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=19725 DF PROTO=TCP SPT=4716 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:12 lcl kernel: Shorewall:net2fw:DROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=19919 DF PROTO=TCP SPT=4716 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:18 lcl kernel: Shorewall:net2fw:DROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=20269 DF PROTO=TCP SPT=4716 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:31 lcl kernel: Shorewall:net2fw:DROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=21137 DF PROTO=TCP SPT=4746 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:34 lcl kernel: Shorewall:net2fw:DROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=21351 DF PROTO=TCP SPT=4746 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Maak je gebruik van mod_rewrite?
Triloxigen
24/01/09, 00:33
Ik heb eerder het vermoeden dat er gewoon een fout zit in een van je websites waardoor de browser steeds wordt doorgestuurd.
Probleem ligt dan denk ik eerder bij jezelf ;)
systemdeveloper
24/01/09, 00:37
Denk ook dat er gewoon ergens een / is vergeten in het begin van een url.
Enkele bedenkingen:
- Er is een verzoek van buitenaf naar de webserver
- IP blokken heeft geen zin, er blijven verzoeken komen naar de server
- Na een herstart van Apache blijven de verzoeken komen, tot op vandaag
Mag ik hieruit afleiden dat de fout niet op mijn server gezocht moet worden?
Enkele bedenkingen:
- Er is een verzoek van buitenaf naar de webserver
- IP blokken heeft geen zin, er blijven verzoeken komen naar de server
- Na een herstart van Apache blijven de verzoeken komen, tot op vandaag
Mag ik hieruit afleiden dat de fout niet op mijn server gezocht moet worden?
yep, maar de beveiliging wel....
Maak je gebruik van mod_rewrite?
......???
......???
Een mod_rewrite kan hele rare URLS geven. Dit lijkt hier wel op, alleen verwacht ik dan dat heel snel, en niet elke 5 seconden.
Ik vermoed toch een programmeerfout icm een exotische extentie. Prefetching oid?
Maak je gebruik van mod_rewrite?
Doelde eigenlijk op een bevestiging van TS....
Op deze server draaien Typo3 sites, enkel die ene site zorgt voor problemen.
Er wordt gebruik gemaakt van mod_rewrite ism met de extensie RealURL om een leesbare URL te produceren.
Doelde eigenlijk op een bevestiging van TS....
Ah, ack
Op deze server draaien Typo3 sites, enkel die ene site zorgt voor problemen.
Er wordt gebruik gemaakt van mod_rewrite ism met de extensie RealURL om een leesbare URL te produceren.
Als je die extentie uit (kan) zetten, is je probleem dan voorbij?
Nee, ook zonder deze extensie blijven de hits komen.
Triloxigen
24/01/09, 13:04
Als je de website uitzet, dus geen links bereikbaar heb je het probleem dan ook nog?
(ik vermoed van niet, want dan klikt er niemand meer door)
Wat is eventuele het website adres?
Dit is de site:
http://www.rijschoollesgever.be/
Door de webserver opnieuw op te starten hadden interne problemen toch opgelost moeten zijn? Zeker nu dit IP niet verder komt dan de firewall.
Momenteel is dit nog altijd bezig, gisteren waren er 12171 hits of ongeveer om de 7 seconden.
ik zie niet in waarom de "aanval" zou moeten stoppen met het restarten van apache.
Mooie website trouwens. Ik onthoud me heel even van commentaar: ik zie het even niet. Ik zie echter geen reden voor het verdenken van inbraak.
Ik onthoud me heel even van commentaar:
Yep, daarvoor zou ik ook idd meer willen zien, logs, wat zegt /server-status,
blablabla
Als je echter de
GET /syllabus/lesplaatsen/lesplaatsen/lesplaatsen/syllabus/praktijklesgever_motorfiets/praktijklesgever_motorfiets/theorielesgever/welkom/praktijklesgever_motorfiets/syllabus/lesplaatsen/lesplaatsen/praktijklesgever_motorfiets/hoe/infomoment/praktijklesgever/404/infomoment/infomoment/syllabus/theorielesgever/syllabus/index.php/syllabus/praktijklesgever/404/syllabus/wetteksten/brevetexamens/theorielesgever/praktijklesgever_motorfiets/syllabus/praktijklesgever/brevetexamens/welkom/infomoment/infomoment/hoe/welkom/brevetexamens/404/hoe/infomoment/theorielesgever/infomoment/brevetexamens/welkom/welkom/wetteksten/typo3temp/stylesheet_1dca4317bc.css/praktijklesgever/infomoment/praktijklesgever/praktijklesgever/lesplaatsen/theorielesgever/praktijklesgever/lesplaatsen/hoe/hoe/infomoment/fileadmin/css/rijschoollesgever.css
ziet zou je toch zegen dat er in dit script iets niet goed zit...
Ik heb dit wel eens eerder gezien, wat je kan proberen is om de verwijzingen naar je .js en .css als absolute paden in te geven in plaats van relatief.
In jouw geval dus van:
<link rel="stylesheet" type="text/css" href="typo3temp/stylesheet_1dca4317bc.css" />
<link rel="stylesheet" type="text/css" href="fileadmin/css/rijschoollesgever.css" />
<script type="text/javascript" src="typo3temp/javascript_93077bb238.js"></script>
naar:
<link rel="stylesheet" type="text/css" href="http://www.rijschoollesgever.be/typo3temp/stylesheet_1dca4317bc.css" />
<link rel="stylesheet" type="text/css" href="http://www.rijschoollesgever.be/fileadmin/css/rijschoollesgever.css" />
<script type="text/javascript" src="http://www.rijschoollesgever.be/typo3temp/javascript_93077bb238.js"></script>
ik zie niet in waarom de "aanval" zou moeten stoppen met het restarten van apache.
Een intern probleem zou opgelost kunnen zijn na een herstart, een aanval niet?
Ik heb dit wel eens eerder gezien, wat je kan proberen is om de verwijzingen naar je .js en .css als absolute paden in te geven in plaats van relatief.
Die verwijzingen worden door Typo3 op verzoek aangemaakt. Ik kan dat manueel wijzigen maar zodra er een pagina niet uit de cache maar opnieuw opgebouwd wordt ben ik er aan voor de moeite.
Een test ziet er niet zo best uit.
Domein volledig uit mijn httpd.conf gehaald met als gevolg dat er nu iedere seconde een hit is.
Enliven.nl
24/01/09, 16:49
het moge duidelijk zijn dat het hier om een fout van het path gaat:
<link rel="stylesheet" type="text/css" href="typo3temp/stylesheet_1dca4317bc.css" />
<link rel="stylesheet" type="text/css" href="fileadmin/css/rijschoollesgever.css" />
Als ik nu bijvoorbeeld naar http://www.rijschoollesgever.be/theorielesgever/ ga, dan zal hij proberen om de CSS op te halen uit: http://www.rijschoollesgever.be/theorielesgever/fileadmin/css/rijschoollesgever.css"
Op te lossen door aan het begin van een path een '/' te plaatsen!
Enliven.nl
24/01/09, 16:50
Een test ziet er niet zo best uit.
Domein volledig uit mijn httpd.conf gehaald met als gevolg dat er nu iedere seconde een hit is.
Van hetzelfde IP?
Anders komt dit omdat het domein nog gekoppeld is aan de server...dus verkeer zal blijven binnenkomen.
IP is nog steeds 88.164.2.23
Het is blijkbaar druk want ook mod_evasive moet gaan blacklisten.
Een intern probleem zou opgelost kunnen zijn na een herstart, een aanval niet?
Tenzij een intern probleem een programmeerfout is. Bugs verdwijnen over het algemeen niet na een restart ;)
Ik twijfel aan een bug. Die zou er altijd al moeten geweest zijn terwijl dit fenomeen uit het niets begon. Verder gebruikt deze site extensies en instellingen die ook bij andere sites gebruikt worden waar geen problemen mee zijn.
Dit ip bezoekt wel meer websites, hier de hostname op google:
http://www.google.com/search?q=dre28-1-88-164-2-23.fbx.proxad.net
Aangezien hij op sites komt met veel verschillende talen, zou het ook een geflipte crawler kunnen zijn ;)
Wil je er achter komen wat het is?
Forward zijn ip naar een eigen pagina.
- Een javascript dat een andere pagina aanroept of plaatjes, zo kun je checken of scripts worden uitgevoerd, of het dus wel echt een browser is, misschien is het een fake identificatie en roept hij het aan via een programma.
- Zoek een javascript of stuk code dat zijn specifieke browser laat stoppen (of crashen), en kijk of het daarna stopt?
Enliven.nl
25/01/09, 14:47
Kan je hem niet gewoon in je firewall blokkeren?
Zolang het geen vulnerability probeerd te zoeken of te exploiten (via ddos) dan hoef je je nergens zorgen over te maken.
Je maakt toch gebruik van logrotate en dergelijke ?
Logrotate wordt zeer zeker gebruikt.
Ik kan natuurlijk ook de geblokte hits niet in mijn log opslaan maar ik ben liever op de hoogte.
Kan je hem niet gewoon in je firewall blokkeren?
Dat doe ik al. Ergens blijf ik het wel vervelend vinden.