Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Eventueller Malware Angriff auf nginx...

Frage Sicherheit Viren und Trojaner

Mitglied: linuxverbrezler

linuxverbrezler (Level 1) - Jetzt verbinden

06.03.2014, aktualisiert 00:00 Uhr, 2101 Aufrufe, 4 Kommentare, 1 Danke

Hab grad die Access Log von Nginx
durchgeforstet... hier taucht ab und an folgendes auf:

185.4.227.194 - - [05/Mar/2014:08:19:21 +0100] "GET http://24x7-allrequestsallowed.com/?PHPSESSID=1rmsxtj500143RUM%5CWHDD%5 ... HTTP/1.1" 200 15629 "-" "-"
92.240.68.152 - - [05/Mar/2014:08:36:14 +0100] "GET http://images4.byinter.net/say908.gif HTTP/1.1" 404 14015 "-" "webcollage/1.135a"


auf... was ja mit 200 beantwortet wird....
muß ich mir da Sorgen machen?


Kurze Mail
wäre sehr nett.
Danke!

Mitglied: quin83
06.03.2014 um 00:33 Uhr
Hi,

185.4.227.194 - - [05/Mar/2014:08:19:21 +0100] "GET
http://24x7-allrequestsallowed.com/?PHPSESSID=1rmsxtj500143RUM%5CWHDD%5 ... HTTP/1.1" 200 15629 "-"
Das ist ein ganz normaler Aufruf einer gültigen URL.
Ich kann auch http://24x7-allrequestsallowed.com/?blubb=test aufrufen. Und jetzt?

auf... was ja mit 200 beantwortet wird....
Da liegt ein Script, welches "Thank you for using our service" ausgibt.
Warum sollte da kein "HTTP 200 - OK" entstehen?

muß ich mir da Sorgen machen?
Also URL Injection und SQL Injection sieht man eigentlich schon immer wieder, wenn man einen Webserver im Netz betreibt.
Vielleicht klopft irgend wer oder was die Seite auf Schwachstellen ab. Meine private FritzBox wird alle paar Tage auf Port 22 / SSH getestet.
Mit sowas sollte man rechnen, wenn man ein System aus dem Internet erreichbar macht.

Grüße,

Daniel
Bitte warten ..
Mitglied: linuxverbrezler
06.03.2014 um 20:27 Uhr
Also URL Injection und SQL Injection sieht man eigentlich schon immer wieder, wenn man einen Webserver im Netz betreibt.
Vielleicht klopft irgend wer oder was die Seite auf Schwachstellen ab. Meine private FritzBox wird alle paar Tage auf Port 22 /
SSH getestet.
Mit sowas sollte man rechnen, wenn man ein System aus dem Internet erreichbar macht.



Daniel, Danke erstmal.
Also eher harmlos.

Kann ich sowas irgendwie unter Nginx unterbinden ?
Möchte eigentlich nicht das der WebServer irgendwelche fremden Seiten aufruft ausser seine eigenen
??
Bitte warten ..
Mitglied: quin83
07.03.2014, aktualisiert um 00:20 Uhr
Servus,

Kann ich sowas irgendwie unter Nginx unterbinden ?
Möchte eigentlich nicht das der WebServer irgendwelche fremden Seiten aufruft ausser seine eigenen

Sicher, aber dazu muss man erst mal verstehen, warum das passiert.
Der Webserver hat ja nicht Langeweile und läuft mal einfach so da hin. Irgendwo entsteht ja dieser Aufruf.

Ich kann mir aktuell 2 Szenarien vorstellen:

1. Include
Du hast irgendwo eine Datei, welche beim Aufruf wiederum zu dieser Adresse läuft.
Das kann z.B. eingebetteter Code, wie man das z.B. von Google Analytics kennt, oder ähnliches sein.

2. Falscher Header
Deine Webanwendung akzeptiert und verarbeitet Anfragen mit einem falschem HTTP "Host"-Header.
Beispiel: Du hast unter example.com eine Datei index.html liegen, welche das Bild /images/logo.jpg einbindet.
Sende ich dir jetzt eine falsche Anfrage, z.B. mit
wget --header "Host: www.nsa.gov" www.example.com/index.html
dann versucht dein Webserver für mich das Bild (/images/logo.jpg) von www.nsa.gov abzuholen.


Für mich verhält sich der Webserver korrekt und macht genau das, was er machen sollte.
In meinen Augen müsste man eher die dort verwendete Webanwendung zerlegen, warum dort sowas passiert.

Wenn das allerdings eine komplexere Anwendung ist, wäre ich dazu wohl zu faul.
Ich würde die Firewall vor dem Webserver anweisen: Webserver-IP, ausgehend -> Drop.
Fertig.
(Hinweis: Das geht natürlich nur, wenn die Firewall was taugt und SPI unterstützt. Andernfalls legt es den Webserver lahm.)

Grüße,

Daniel
Bitte warten ..
Mitglied: linuxverbrezler
20.04.2014 um 15:01 Uhr
Hi Daniel !

öhm... versuch das grad über GeoIp zu regeln...

IP aus China < Server sagt ok><Seitengröße 13,2Kb>
118.118.40.226 - - [20/Apr/2014:13:56:04 +0200] "GET / HTTP/1.0" 200 13248 "-" "-"

Ist das hier ein Bot ? wenn ja was soll diese Anfrage mit den "-" "-" ??

Kurze Mail wäre fein! Danke!
Bitte warten ..
Ähnliche Inhalte
Viren und Trojaner
Neue Magazin Ausgabe: Malware und Angriffe abwehren

Information von Frank zum Thema Viren und Trojaner ...

Mac OS X
Malware startet DoS-Angriffe gegen Macs

Link von transocean zum Thema Mac OS X ...

Webentwicklung
gelöst Nginx Redirect je nach Pfad (1)

Frage von certifiedit.net zum Thema Webentwicklung ...

Server
Nginx root directive not allowed (3)

Frage von Windows10Gegner zum Thema Server ...

Neue Wissensbeiträge
Windows Update

Novemberpatches und Nadeldrucker bereiten Kopfschmerzen

(14)

Tipp von MettGurke zum Thema Windows Update ...

Windows 10

Abhilfe für Abstürze von CDPUsersvc auf Win10 1607 und 2016 1607

(7)

Tipp von DerWoWusste zum Thema Windows 10 ...

RedHat, CentOS, Fedora

Fedora 27 ist verfügbar

Information von Frank zum Thema RedHat, CentOS, Fedora ...

Heiß diskutierte Inhalte
Windows Server
Kennwort vergessen bei Hyper vserver 2012r (12)

Frage von jensgebken zum Thema Windows Server ...

Linux Desktop
Bildschirmauflösung unter Linux festlegen (12)

Frage von itebob zum Thema Linux Desktop ...

Windows Userverwaltung
gelöst Administrator hat alle Rechte verloren (10)

Frage von mrdead zum Thema Windows Userverwaltung ...

LAN, WAN, Wireless
Gebäude mit WLAN ausstatten (9)

Frage von udobec zum Thema LAN, WAN, Wireless ...