Newsgroup: it.lavoro.professioni.webmaster
Titolo: Tentativo di attacco? Che fare?

Sto ricevendo decine di migliaia di email di segnalazione di errore 404 dal
server (ho impostato la gestione di errore tramite file .htaccess).
I file che non vengono trovati sono stringhe prive di significato (quasi un
insieme di caratteri casuali) almeno per me.
L'IP di provenienza e' sempre 82.56.117.239 ma non corrisponde a nessun sito
raggiungibile.
Per ora ho disattivato la gestione errori ma vorrei venire a capo del
problema.
Cosa mi capita? Che fare?
Esempio di segnalazione:
------------------------------------------------------------------------------
Sito: Brianza Popolare (
www.brianzapopolare.it
)
Codice Errore: 404 File non trovato ()
Avvenuto il: Sun 20 Nov 20:06:39 CET 2005
URL in errore: //%2Ep%61ssw%6Frds
Indirizzo IP del browser: 82.56.117.239
Browser: Mozilla/4.0 (compatible)
Pagina di provenienza:
------------------------------------------------------------------------------
-- 
http://www.brianzapopolare.it
http://digilander.libero.it/PRCseregno

 dal
Scusate il doppio messaggio ma ho Outlook incasinato per via delle mail che
devo scaricare e cancellare.
Comunque ho trovato che l'IP 82.56.117.239 corrisponde a
host239-117.pool8256.interbusiness.it
 cioe' Aruba (dove peraltro ho il
sito). Ho informato l'assistenza del fatto ma, essendo domenica, dubito che
mi risolvano il problema celermente. In ogni caso mi piacerebbe sapere cosa
capita.
Romeo


 sito).
Non credo sia aruba....
http://www.whois.sc/82.56.117.239
Ciao! 

 
Appurato che è Telecom invia un log delle richieswte al loro 
ab...@tin.it

Come mai ti arrivano le e-mail?
Anch'io sono su Aruba ed ho un problema simile: ricevo vari tentativi di
accesso ad alcuni files del forum inesistenti (sia ieri che oggi da due IP
con numero diverso per solo l'ultima cifra e da un altro IP e da alcuni IP
a questo simili), ma ritengo siano ex-messaggi del forum (da me postati e
poi cancellati.. mi capita di farlo), che google ha probabilmente
indicizzato e non più cancellato dal database. Ho poi fatto la ricerca su
whois.sc
 ma sorpresa ho scoperto, dopo molta attesa per la ricerca, nel
primo caso, che l'IP è della MS: hotmail abuse --> come interpretare ciò,
per caso i crawlers di MSN?). Per gli altri IP non sono riuscito più ad
accedre al database di whois, che apare intasato.. 
Altra cosa strana che mi capita da un pò di tempo è di trovare nelle
statistiche tra le "bad requests" tentativi di accesso a files del sito
inesistenti (e mai esistiti) tutte pagine dal nome "default.html" in
corrispondenza di varie directory incui tali files non esistono. E' per
caso un problema del server?
ciao
l'apprendista
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 -- 
Quello che ti capita e' normale ed e' ben diverso dal ricevere dal server 
circa trentamila email di segnalazione di errore 404 da parte di un unico 
IP. Un conto e' ipotizzare l'esistenza di un file default.htm ed un altro 
trovare nelle segnalazioni che il file richiesto e' 
//pr%69v/aaaaaa/../%49NST%41LL%2Ez%69p.
Comunque ho scritto alla telecom ed all'abuse. Speriamo in bene.
Romeo


 Cosa mi capita? Che fare
su -
Password: #la password di root
echo "ALL : 82.56.117.239 : DENY" >> /etc/hosts.deny
Così ranzi tutto il traffico proveniente dall'ip in questione che viene
automaticamente scartato dal kernel
Buon lavoro!

"ADM" <A...@ADM.net> ha scritto nel messaggio 
news:pan.2005.11.21....@ADM.net...

Io pero' non ho accesso alla root del server. Pertanto, nel file .htaccess, 
ho applicato la direttiva
<Limit GET>
order allow,deny
deny from 82.56.117.239
allow from all
</Limit>
Pare che funzioni.
Rimane il problema che ho messo una pezza a posteriori.
Come fare, a priori, ad evitare  che mi succeda di nuovo da un altro IP?
Grazie comunque dell'attenzione.
Romeo
