[apache] Sommige IP's in de access_log verborgen?

Geplaatst op donderdag 24 juli 2008 12:08

Acties:

Door: LB06

Berichten: 574
Reg. datum: 05 september 2001

Laatst was ik wat data uit mijn access_log aan het crossreferencen met wat andere data vanwege een ondergespamd forum. Mij viel toen op dat er een aantal log-entries begonnen met een . (punt) in plaats van het ip waarmee de pagina is opgevraagd.

Het gaat wel steeds om 3 of 4 dezelfde pagina's (of iig dezelfde vhosts/userdir), maar volgens mij niet om dezelfde clients. De UA is namelijk steeds verschillend.

LogFormat:
code:

1	LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

Log entry:
code:

1	. - - [24/Jul/2008:06:39:03 +0200] "GET / HTTP/1.0" 200 14263 "http://blabla.nl/dir/phpBB2/posting.php?mode=reply&t=1" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.1.4322; FDM)"

Heeft iemand enig idee waardoor dit wordt veroorzaakt?

Geplaatst op donderdag 24 juli 2008 14:12

Acties:

Door: gertvdijk

live cam hieronder

Berichten: 852
Reg. datum: 03 november 2003

Heeft niet een spammer geprobeerd zijn sporen te wissen door zicht toegang te verschaffen tot je server en de logs heeft aangepast?
Immers:

quote:
(%h)
This is the IP address of the client (remote host) which made the request to the server. If HostnameLookups is set to On, then the server will try to determine the hostname and log it in place of the IP address. However, this configuration is not recommended since it can significantly slow the server. Instead, it is best to use a log post-processor such as logresolve to determine the hostnames. The IP address reported here is not necessarily the address of the machine at which the user is sitting. If a proxy server exists between the user and the server, this address will be the address of the proxy, rather than the originating machine.

Dus er moet in elk geval een ip adres vermeld staan. Anders zouden er requests komen van machines die geen ip adres hebben.

gertvdijk wijzigde dit bericht 24-07-2008 14:19 (75%)

You should try free software. Not just free like in costless, but free in more ways.

Geplaatst op donderdag 24 juli 2008 14:36

Acties:

Door: LB06

Berichten: 574
Reg. datum: 05 september 2001

quote:
gertvdijk schreef op donderdag 24 juli 2008 @ 14:12:
Heeft niet een spammer geprobeerd zijn sporen te wissen door zicht toegang te verschaffen tot je server en de logs heeft aangepast?
Immers:

[...]

Dus er moet in elk geval een ip adres vermeld staan. Anders zouden er requests komen van machines die geen ip adres hebben.

Precies. Ik had dat ook al nagezocht. Het is natuurlijk altijd mogelijk dat iemand zich toegang heeft verschaft tot de server, maar er zijn geen aanwijzingen die hierop wijzen. De server draait op een up-to-date Debian Stable versie met een dichtgetimmerde firewall. Ook heb ik geen verdachte processen of rootkits kunnen vinden. De permissies van de logs zijn root:root@0600, dus dat betekent dat de spammer root access zou moeten hebben. Maar ik zal nog wel eens dieper gaan graven.

Geplaatst op donderdag 24 juli 2008 14:42

Acties:

Door: gertvdijk

live cam hieronder

Berichten: 852
Reg. datum: 03 november 2003

quote:
LB06 schreef op donderdag 24 juli 2008 @ 14:36:
Precies. Ik had dat ook al nagezocht. Het is natuurlijk altijd mogelijk dat iemand zich toegang heeft verschaft tot de server, maar er zijn geen aanwijzingen die hierop wijzen. De server draait op een up-to-date Debian Stable versie met een dichtgetimmerde firewall. Ook heb ik geen verdachte processen of rootkits kunnen vinden. De permissies van de logs zijn root:root@0600, dus dat betekent dat de spammer root access zou moeten hebben. Maar ik zal nog wel eens dieper gaan graven.

Als iemand root access heeft en het slim aanpakt kan je er ook niet achter komen dat hij toegang heeft verschaft en rootkits zijn dan natuurlijk goed verborgen.

Mooie cover story/artikelen erover in Linux Magazine van Juli, met uitleg/kennismaking met tools die zijn ontwikkeld voor de Nederlandse politie. 'Going Dutch' heet ook een artikel.

gertvdijk wijzigde dit bericht 24-07-2008 14:43 (7%)

You should try free software. Not just free like in costless, but free in more ways.

Geplaatst op donderdag 24 juli 2008 14:42

Acties:

Door: benoni

Berichten: 2677
Reg. datum: 14 november 2003

Gebruik je de HostnameLookups directive, of een postprocessing die van de IP-nummers in de logfiles hostnames maakt?

Waar ik voor die gevallen aan zat te denken: stel dat iets met de DNS resolving niet helemaal lekker werkt, dat bij een onsuccesvolle reverse lookup een lege string gegenereerd zou worden (in plaats van een error) dan zou je alleen het puntje overhouden dat achter het tld hoort... zoiets kan dus lokaal bij de client gebeuren, of misschien wel op de DNS server zelf.
Kun je wellicht testen door zelf wat lookups te doen.

Geplaatst op donderdag 24 juli 2008 14:43

Acties:

Door: deadinspace

all flames intended

Berichten: 9262
Reg. datum: 02 juni 2001

quote:
gertvdijk schreef op donderdag 24 juli 2008 @ 14:12:
Heeft niet een spammer geprobeerd zijn sporen te wissen door zicht toegang te verschaffen tot je server en de logs heeft aangepast?

Niet dat het onmogelijk is, maar als dat het geval was, waarom zou hij dan alleen het IP adres aanpassen en niet gewoon de hele regel verwijderen uit de logfile?

Wel een raar probleem verder, ik heb zoiets nooit eerder gezien.

It isn't the software that's free, it's you.

Geplaatst op donderdag 24 juli 2008 14:46

Acties:

Door: gertvdijk

live cam hieronder

Berichten: 852
Reg. datum: 03 november 2003

quote:
benoni schreef op donderdag 24 juli 2008 @ 14:42:
Waar ik voor die gevallen aan zat te denken: stel dat iets met de DNS resolving niet helemaal lekker werkt, dat bij een onsuccesvolle reverse lookup een lege string gegenereerd zou worden (in plaats van een error) dan zou je alleen het puntje overhouden dat achter het tld hoort... zoiets kan dus lokaal bij de client gebeuren, of misschien wel op de DNS server zelf.

Je kan het inderdaad ook eens doen met een %a i.p.v. %h. In principe is het hetzelde zolang je het niet laat resolven natuurlijk.

You should try free software. Not just free like in costless, but free in more ways.

Gathering of Tweakers

Update Tracker

Active Topics

Frontpage Nieuws