Форум PHP программистов > Попытка взлома

[ Поиск ] - [ Пользователи ] - [ Календарь ]

alex12060

30.11.2010 - 23:24

В логах Апача обнаружил очень интересную запись:

109.87.71.111 - - [27/Nov/2010:17:16:38 +0300] "------------------------------bcf26e508e70" 200 7895

Код 200 говорит о том, что запрос прошел, и злоумышленник что-то получил.
Сбсна вопрос, что это значит? Что он сделал? И как избежать такого...

Спустя 6 минут, 33 секунды (30.11.2010 - 22:31) waldicom написал(а):

как можно понять, что было сделано, если Вы все удалили из строчки.

Спустя 5 минут, 44 секунды (30.11.2010 - 22:36) alex12060 написал(а):

Цитата (waldicom @ 30.11.2010 - 19:31)

как можно понять, что было сделано, если Вы все удалили из строчки.

Я ничего не удалял, просто скопировал строку.
Ну вот побольше:

127.0.0.1 - - [24/Nov/2010:17:02:06 +0300] "GET /images/parikvoz.jpg HTTP/1.1" 404 217
127.0.0.1 - - [24/Nov/2010:17:02:21 +0300] "GET /images/parikvoz.jpg HTTP/1.1" 404 217
66.249.66.87 - - [26/Nov/2010:21:00:47 +0300] "GET /admins/index.php?option=com_sections&scope=content HTTP/1.1" 404 214
195.18.53.18 - - [26/Nov/2010:21:48:11 +0300] "E\xd4\xbf%\x88\xa6T\x0e\x9b\x1ao!\xb0\xee\xa7\xb7\x84\x0f\xa5\x0c\xb3\xbc\x9a\xfe\xc0_%\x97\x97\x145hT@\xe6\x98" 400 226
89.136.100.192 - - [26/Nov/2010:22:44:26 +0300] "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 226
109.87.71.111 - - [27/Nov/2010:17:16:37 +0300] "POST http://loo.is-a-chef.com/indix.php HTTP/1.1" 404 207
109.87.71.111 - - [27/Nov/2010:17:16:38 +0300] "------------------------------bcf26e508e70" 200 7895
127.0.0.1 - - [27/Nov/2010:17:47:11 +0300] "GET /update/a120.ini HTTP/1.1" 404 213
66.249.66.104 - - [27/Nov/2010:22:18:37 +0300] "GET /robots.txt HTTP/1.1" 404 208
66.249.66.104 - - [27/Nov/2010:22:18:38 +0300] "GET /admins/index.php?option=com_templates HTTP/1.1" 404 214
127.0.0.1 - - [27/Nov/2010:23:39:56 +0300] "GET /diary HTTP/1.1" 301 231
127.0.0.1 - - [27/Nov/2010:23:39:56 +0300] "GET /diary/ HTTP/1.1" 200 867

Спустя 5 часов, 58 минут, 9 секунд (1.12.2010 - 04:35) kirik написал(а):

Цитата (alex12060 @ 30.11.2010 - 14:36)

Я ничего не удалял, просто скопировал строку.

Это прямо вот такая строка?
Код 200 не обязательно означает что кто-то что-то получил.

Спустя 6 часов, 53 минуты, 13 секунд (1.12.2010 - 11:28) DySprozin написал(а):

kirik
;;Код 200 не обязательно означает что кто-то что-то получил.
вот только интересно: 7 Кб чего-то куда-то отправилось :blink:

alex12060
хм... странно... попробовал у себя воспроизвести - вроде ничего страшного, просто открылась главная страница, а в логах прописалась вот эта самая фигня (причем, неважно какое сочетание символов). Но что напрягает: получилось это только на локалхосте:
127.0.0.1 - - [01/Dec/2010:11:15:28 +0300] "dgdrrsgerger" 200 7219
127.0.0.1 - - [01/Dec/2010:11:22:26 +0300] "reeryerg" 200 7301
127.0.0.1 - - [01/Dec/2010:11:22:57 +0300] "ijoioiu" 200 7166

Думаю, у тебя тупо не срабатывает "400 Bad Request" (не знаю как такое может быть - обратись к хостеру).

Скинь сюда, либо в личку мне адрес своего сайта, но походу ничего страшного нет: просто "злоумышленник" еще раз полюбовался на твою главную страницу, впрочем ты и сам можешь это проверить - пошли себе на сервер запрос

------------------------------bcf26e508e70

и сам все увидишь (;

Спустя 51 минута, 28 секунд (1.12.2010 - 12:19) DySprozin написал(а):

а вообще, это потенциальная опасность, лучше запретить методы кроме GET и POST: пропиши в htaccess


RewriteEngine on 
RewriteCond %{REQUEST_METHOD} !=POST 
RewriteCond %{REQUEST_METHOD} !=GET
RewriteRule ^.*$ / [R=400]

вместо 400 можешь прописать и другой код ошибки (;

Быстрый ответ:

Здесь расположена полная версия этой страницы.