Форум Сайтостроение Администрирование серверов

Непонятные запросы

D
На сайте с 16.04.2008
Offline
41
desti
576

Suhosin постоянно ругается на странные запросы, не могу понять, откуда они берутся:

Oct 26 21:19:13 *** suhosin[7814]: ALERT - configured GET variable name length limit exceeded - dropped variable '!!iterator_call(context,_value,_index);______if_(!result)_throw_$break;____});____return_result;__}' (attacker '178.95.129.175', file '/***/***/index.php')

Атакеры разные.

Сам запрос выглядит примерно так:

46.250.114.131 - - [26/Oct/2013:22:59:21 +0200] "GET /topic/84431/function%20sortBy(iterator,%20context)%20%7B%20%20%20%20return%20this.map(function(value,%20index)%20%7B%20%20%20%20%20%20

return%20%7B%20%20%20%20%20%20%20%20value:%20value,%20%20%20%20%20%20%20%20criteria:%20iterator.call(context,%20value,%20index)

%20%20%20%20%20%20%7D;%20%20%20%20%7D).sort(function(left,%20right)%20%7B%20%20%20%20%20%20var%20a%20=%20left.criteria,%20b%20

=%20right.criteria;%20%20%20%20%20%20return%20a%20%3C%20b%20?%20-1%20:%20a%20%3E%20b%20?%201%20:%200;%20%20%20%20}).pluck('value');%20%20} HTTP/1.1" 301 37 "http://www.***.ru/topic/84431/" "Opera/9.80 (Windows NT 6.1; MRA 8.1

(build 6327)) Presto/2.12.388 Version/12.15"

Т.е. рефер мой, это не внешняя ссылка. В инете ничего похожего не нашел.

draff
На сайте с 30.03.2010
Offline
65
draff
#1

Бань по IP 46.250.114.131

А что запросы,что реферы могут быть разные.

Удалю вирус с сайта Джумла! (http://joomlaforum.ru/index.php/topic,254903.0.html)
servercraft
На сайте с 03.07.2013
Offline
8
servercraft
#2
desti:

Т.е. рефер мой, это не внешняя ссылка.

refer - это просто один из заголовков http запроса, его клиент может ставить любой, как и user-agent 🙄

http://serverсraft.com.ua (http://servercraft.com.ua) настраиваем сервера, удаляем вирусы с сайтов
D
На сайте с 16.04.2008
Offline
41
desti
#3

Вопрос не в банить/не банить, мне хочется понять, что это? Если это какой-то ботнет, то какую уязвимость он пытается эксплуатировать? Если это DDOS, то он дохлый какой-то, чтобы на него вообще внимание обращать.

D
На сайте с 16.04.2008
Offline
41
desti
#4

Посмотрел по IP, это не пользователи форума, добавил в IPTABLES

iptables -I INPUT 1 -p tcp --dport 80 -m string --string "iterator" --algo kmp -j DROP

Посмотрю на результат, может потом чуть уточню фильтр по реальным данным.

Google добавил документацию для Вебмастера заметили признаки крупного Яндекс Вебмастер добавил в
bsyomov
На сайте с 25.01.2012
Offline
31
bsyomov
#5

Скорее всего, это просто перебор в автоматическом режиме по списку уязвимостей для какого-то скрипта. "А вдруг прокатит".

Банить тут лучше не по ip, а например, анализируя логи каким-нить fail2ban.

Через сравнение содержимого пакета накладно, да и получить false-positive легко.

В WordPress закрыли три BatchUniqueChecker - новый бесплатный Компания MOAB запустила новый
freezebreeze
На сайте с 31.10.2013
Offline
9
freezebreeze
#6

могу ошибаться, но следы в логе похожи на действия http://ru.wikipedia.org/wiki/XRumer

Верить никому нельзя. Мне — можно.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий