Opnieuw een inbraak poging?

[tripple]

Gisteren is het begonnen. Iemand met IP 88.164.2.23 surft naar een site op mijn server en maakt de URL iedere 5 seconden telkens langer en langer ...

Geen idee waarom men zoiets doet, de server zal er in ieder geval niet plat van gaan. Voor alle zekerheid heb ik 's avonds dit IP geblokt en een mail verstuurd naar abuse@....

Probleem is dat dit vandaag nog steeds bezig is. Wat doen jullie daarmee?

[mikeh]

Kun je ons voorzien van een stukje log ?

[Triloxigen]

Je omschrijving is wel erg vaag.

En om de 5 minuten is niet iets om wakker van te liggen lijkt mij?

[Enliven.nl]

Dit kan ook gebeuren door een programmeer fout hé

[mikeh]

Yeh, maar kan ook goed een crawl bot voor vulnerabilities zijn.

[tripple]

Je omschrijving is wel erg vaag.

En om de 5 minuten is niet iets om wakker van te liggen lijkt mij?

Ik dacht eventjes dat ik een tikfout had gemaakt. Dat kan natuurlijk altijd. Het is om de 5 seconden, niet om de 5 minuten.

[mikeh]

Nou, waar blijven die logs?

[t.bloo]

ook wel eens gezien, gaan ze een tijdje mee door en als de webserver er niet door omvalt dan gaan ze het ergens anders uitproberen

[tripple]

Kun je ons voorzien van een stukje log ?

Een willekeurig stukje uit httpd log file van gisteren:

88.164.2.23 - - [22/Jan/2009:17:59:56 +0100] "GET /syllabus/lesplaatsen/lesplaatsen/lesplaatsen/syllabus/praktijklesgever_motorfiets/praktijklesgever_motorfiets/theorielesgever/welkom/praktijklesgever_motorfiets/syllabus/lesplaatsen/lesplaatsen/praktijklesgever_motorfiets/hoe/infomoment/praktijklesgever/404/infomoment/infomoment/syllabus/theorielesgever/syllabus/index.php/syllabus/praktijklesgever/404/syllabus/wetteksten/brevetexamens/theorielesgever/praktijklesgever_motorfiets/syllabus/praktijklesgever/brevetexamens/welkom/infomoment/infomoment/hoe/welkom/brevetexamens/404/hoe/infomoment/theorielesgever/infomoment/brevetexamens/welkom/welkom/wetteksten/typo3temp/stylesheet_1dca4317bc.css/praktijklesgever/infomoment/praktijklesgever/praktijklesgever/lesplaatsen/theorielesgever/praktijklesgever/lesplaatsen/hoe/hoe/infomoment/fileadmin/css/rijschoollesgever.css HTTP/1.1" 302 1126 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
88.164.2.23 - - [22/Jan/2009:17:59:57 +0100] "GET /syllabus/lesplaatsen/lesplaatsen/lesplaatsen/syllabus/praktijklesgever_motorfiets/praktijklesgever_motorfiets/theorielesgever/welkom/praktijklesgever_motorfiets/syllabus/lesplaatsen/lesplaatsen/praktijklesgever_motorfiets/hoe/infomoment/praktijklesgever/404/infomoment/infomoment/syllabus/theorielesgever/syllabus/index.php/syllabus/praktijklesgever/404/syllabus/wetteksten/brevetexamens/theorielesgever/praktijklesgever_motorfiets/syllabus/praktijklesgever/brevetexamens/welkom/infomoment/infomoment/hoe/welkom/brevetexamens/404/hoe/infomoment/theorielesgever/infomoment/brevetexamens/welkom/welkom/wetteksten/typo3temp/stylesheet_1dca4317bc.css/praktijklesgever/infomoment/infomoment/brevetexamens/praktijklesgever_motorfiets/praktijklesgever_motorfiets/brevetexamens/theorielesgever/ HTTP/1.1" 404 10889 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET)"

Om een idee te geven hoe het er momenteel uit ziet, de firewall:

Jan 23 20:14:09 lcl kernel: Shorewall:net2fwROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=19725 DF PROTO=TCP SPT=4716 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:12 lcl kernel: Shorewall:net2fwROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=19919 DF PROTO=TCP SPT=4716 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:18 lcl kernel: Shorewall:net2fwROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=20269 DF PROTO=TCP SPT=4716 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:31 lcl kernel: Shorewall:net2fwROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=21137 DF PROTO=TCP SPT=4746 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
Jan 23 20:14:34 lcl kernel: Shorewall:net2fwROP:IN=eth0 OUT= MAC=00:0c:29:e8:26:5d:00:14:22:b1:08:fc:08:00 SRC=88.164.2.23 DST=87.238.161.253 LEN=52 TOS=0x00 PREC=0x00 TTL=54 ID=21351 DF PROTO=TCP SPT=4746 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0

[DiedX]

Maak je gebruik van mod_rewrite?

[Triloxigen]

Ik heb eerder het vermoeden dat er gewoon een fout zit in een van je websites waardoor de browser steeds wordt doorgestuurd.

Probleem ligt dan denk ik eerder bij jezelf

[systemdeveloper]

Denk ook dat er gewoon ergens een / is vergeten in het begin van een url.

[tripple]

Enkele bedenkingen:

- Er is een verzoek van buitenaf naar de webserver
- IP blokken heeft geen zin, er blijven verzoeken komen naar de server
- Na een herstart van Apache blijven de verzoeken komen, tot op vandaag

Mag ik hieruit afleiden dat de fout niet op mijn server gezocht moet worden?

[Geert-Jan]

Enkele bedenkingen:

- Er is een verzoek van buitenaf naar de webserver
- IP blokken heeft geen zin, er blijven verzoeken komen naar de server
- Na een herstart van Apache blijven de verzoeken komen, tot op vandaag

Mag ik hieruit afleiden dat de fout niet op mijn server gezocht moet worden?

yep, maar de beveiliging wel....

Maak je gebruik van mod_rewrite?

......???

[DiedX]

......???

Een mod_rewrite kan hele rare URLS geven. Dit lijkt hier wel op, alleen verwacht ik dan dat heel snel, en niet elke 5 seconden.

Ik vermoed toch een programmeerfout icm een exotische extentie. Prefetching oid?