Newsgroup: it.news.net-abuse
Titolo: Bast...rdi spammer

Stavo notando in questi giorni tra i log del mio sito web degli 
*arrivi* un po' strani, provenienti da mezzo mondo... Uh? Che ci 
faranno? Smanetto un po' per memorizzare più informazioni ed ecco: 
migliaia di collegamenti direttamente alla pagina di login che 
tentano il brute force... Da migliaia di IP diversissimi ma tutti con
la stessa modalità.
Con facilità ho approntato un filtro automatico di banning che 
impedisce a detti ip di raggiungere (dal secondo collegamento in poi,
con il primo che cmq non riesce a raggiungere alcuno scopo) il sito 
stesso, anzi... vengono redirezionati verso uno degli ip già bannati 
pescato a caso (questo per puro sadismo e spirito di vendetta).
Beh, fin'ora ho collezionato oltre 1000 IP e l'attacco pare solo 
leggermente diminuito...
Analizzando diversi di questi ip si notano come al solito open proxy 
(il più gettonato sembra analogX), ftp più o meno aperti, relay di 
posta, etc... etc...
Qualche delinquente sta quindi gestendo una botnet di proporzioni 
discrete giusto per rompermi le palle... Probabilmente quei pc sono 
utilizzati in contemporanea anche per spam e chissà cos'altro.
Molti di questi ip sono già listati nelle RBL molti no... Mi 
chiedevo: è possibile appoggiarsi alle liste di ban anche per un sito
web? La cosa è fattibile su un hosting di cui non posso toccare quasi
nulla del server?
-- 
Everybody needs a little love sometime; stop hacking and fall in love!
News 2000 [v 2.06] - 
http://www.akapulce.net/socket2000

 nulla del server?
Dipende da come lo vuoi fare.
Puoi farlo mettendo mano al codice delle pagine, facendo sì che sia il
codice stesso a bannare l'IP dopo aver fatto i lookup del caso.
C'è anche il modo di effettuare i controlli a livello di webserver (ci
son dei moduli di apache che lo fanno, ad esempio), ma ovviamente
richiede di metter mano alla conf del webserver.
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGX+Xd8THo01J+SBERAsFNAKDPi06HPLjb9Sym9+hQJIhaXuVD3wCfbA2E
e5CCcjWljA81m4RnWy+lJmI=
=KvYh
-----END PGP SIGNATURE-----

 valide per i più svariati servizi.
Oh giusto bene, mi ero scordato di postare per dire che ho visto un
phishing delle Poste che come descrizione del logo Poste aveva
"CHASE" (ossia chase manhattan bank immagino)!
Quindi la stessa mano produce i phishing più svariati a livello
bancario.
Già che ci siamo, 
bancaintesa.it
 si può bloccare , visto che ora ha un
altro nome ?
Gabriele

 son dei moduli di apache che lo fanno, ad esempio),
Puoi snocciolare i nomi dei suddetti moduli, plis? :)
-- 
Vide

 richiede di metter mano alla conf del webserver.
nix... Eppoi è su winzozz... Grazie delle info.
-- 
IBM: Infernal Blue Machines
News 2002 [v 2.07] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 
Con poca fantasia, partirei da mod_dnsbl.
So che ne esistono anche altri, ma non ne ho mai usato direttamente
nessuno, quindi sono solo info di seconda mano...
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGYhH28THo01J+SBERAlN7AKC4bp9l6HayTxJKvU5R+BQ7eWHRvgCfSwyH
8X2zHMeeT1Xcmsdb38D+CM0=
=EnKm
-----END PGP SIGNATURE-----