Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Eventueller Malware Angriff auf nginx...

Frage Sicherheit Viren und Trojaner

Mitglied: linuxverbrezler

linuxverbrezler (Level 1) - Jetzt verbinden

06.03.2014, aktualisiert 00:00 Uhr, 2081 Aufrufe, 4 Kommentare, 1 Danke

Hab grad die Access Log von Nginx
durchgeforstet... hier taucht ab und an folgendes auf:

185.4.227.194 - - [05/Mar/2014:08:19:21 +0100] "GET http://24x7-allrequestsallowed.com/?PHPSESSID=1rmsxtj500143RUM%5CWHDD%5 ... HTTP/1.1" 200 15629 "-" "-"
92.240.68.152 - - [05/Mar/2014:08:36:14 +0100] "GET http://images4.byinter.net/say908.gif HTTP/1.1" 404 14015 "-" "webcollage/1.135a"


auf... was ja mit 200 beantwortet wird....
muß ich mir da Sorgen machen?


Kurze Mail
wäre sehr nett.
Danke!

Mitglied: quin83
06.03.2014 um 00:33 Uhr
Hi,

185.4.227.194 - - [05/Mar/2014:08:19:21 +0100] "GET
http://24x7-allrequestsallowed.com/?PHPSESSID=1rmsxtj500143RUM%5CWHDD%5 ... HTTP/1.1" 200 15629 "-"
Das ist ein ganz normaler Aufruf einer gültigen URL.
Ich kann auch http://24x7-allrequestsallowed.com/?blubb=test aufrufen. Und jetzt?

auf... was ja mit 200 beantwortet wird....
Da liegt ein Script, welches "Thank you for using our service" ausgibt.
Warum sollte da kein "HTTP 200 - OK" entstehen?

muß ich mir da Sorgen machen?
Also URL Injection und SQL Injection sieht man eigentlich schon immer wieder, wenn man einen Webserver im Netz betreibt.
Vielleicht klopft irgend wer oder was die Seite auf Schwachstellen ab. Meine private FritzBox wird alle paar Tage auf Port 22 / SSH getestet.
Mit sowas sollte man rechnen, wenn man ein System aus dem Internet erreichbar macht.

Grüße,

Daniel
Bitte warten ..
Mitglied: linuxverbrezler
06.03.2014 um 20:27 Uhr
Also URL Injection und SQL Injection sieht man eigentlich schon immer wieder, wenn man einen Webserver im Netz betreibt.
Vielleicht klopft irgend wer oder was die Seite auf Schwachstellen ab. Meine private FritzBox wird alle paar Tage auf Port 22 /
SSH getestet.
Mit sowas sollte man rechnen, wenn man ein System aus dem Internet erreichbar macht.



Daniel, Danke erstmal.
Also eher harmlos.

Kann ich sowas irgendwie unter Nginx unterbinden ?
Möchte eigentlich nicht das der WebServer irgendwelche fremden Seiten aufruft ausser seine eigenen
??
Bitte warten ..
Mitglied: quin83
07.03.2014, aktualisiert um 00:20 Uhr
Servus,

Kann ich sowas irgendwie unter Nginx unterbinden ?
Möchte eigentlich nicht das der WebServer irgendwelche fremden Seiten aufruft ausser seine eigenen

Sicher, aber dazu muss man erst mal verstehen, warum das passiert.
Der Webserver hat ja nicht Langeweile und läuft mal einfach so da hin. Irgendwo entsteht ja dieser Aufruf.

Ich kann mir aktuell 2 Szenarien vorstellen:

1. Include
Du hast irgendwo eine Datei, welche beim Aufruf wiederum zu dieser Adresse läuft.
Das kann z.B. eingebetteter Code, wie man das z.B. von Google Analytics kennt, oder ähnliches sein.

2. Falscher Header
Deine Webanwendung akzeptiert und verarbeitet Anfragen mit einem falschem HTTP "Host"-Header.
Beispiel: Du hast unter example.com eine Datei index.html liegen, welche das Bild /images/logo.jpg einbindet.
Sende ich dir jetzt eine falsche Anfrage, z.B. mit
wget --header "Host: www.nsa.gov" www.example.com/index.html
dann versucht dein Webserver für mich das Bild (/images/logo.jpg) von www.nsa.gov abzuholen.


Für mich verhält sich der Webserver korrekt und macht genau das, was er machen sollte.
In meinen Augen müsste man eher die dort verwendete Webanwendung zerlegen, warum dort sowas passiert.

Wenn das allerdings eine komplexere Anwendung ist, wäre ich dazu wohl zu faul.
Ich würde die Firewall vor dem Webserver anweisen: Webserver-IP, ausgehend -> Drop.
Fertig.
(Hinweis: Das geht natürlich nur, wenn die Firewall was taugt und SPI unterstützt. Andernfalls legt es den Webserver lahm.)

Grüße,

Daniel
Bitte warten ..
Mitglied: linuxverbrezler
20.04.2014 um 15:01 Uhr
Hi Daniel !

öhm... versuch das grad über GeoIp zu regeln...

IP aus China < Server sagt ok><Seitengröße 13,2Kb>
118.118.40.226 - - [20/Apr/2014:13:56:04 +0200] "GET / HTTP/1.0" 200 13248 "-" "-"

Ist das hier ein Bot ? wenn ja was soll diese Anfrage mit den "-" "-" ??

Kurze Mail wäre fein! Danke!
Bitte warten ..
Ähnliche Inhalte
Viren und Trojaner
Node-Server im Nvidia-Treiber ermöglicht Malware-Ausführung

Link von transocean zum Thema Viren und Trojaner ...

Backup
Hacker-Angriff auf Berlin Story! Sämtliche Daten weg B.Z. Berlin (18)

Link von Lochkartenstanzer zum Thema Backup ...

Linux Tools
gelöst Kann man sich eine Malware mit "curl" einfangen? (8)

Frage von MikePost zum Thema Linux Tools ...

Debian
Nginx, VirtualHosts und Mail (3)

Frage von chri.s zum Thema Debian ...

Neue Wissensbeiträge
Drucker und Scanner

Samsung SL-M4025ND, firmware update und (kompatible) Tonerkassetten

(1)

Erfahrungsbericht von markus-1969 zum Thema Drucker und Scanner ...

Router & Routing

PfSense auf Supermicro Intel Xeon D-15x8 SoC Bare Bone

Tipp von Dobby zum Thema Router & Routing ...

Windows Server

Exchange 2010 auf Windows Server 2016 und AD

(2)

Tipp von Herbrich19 zum Thema Windows Server ...

Heiß diskutierte Inhalte
LAN, WAN, Wireless
Brauche Hilfe: Mit (schnellem) WLAN Strecke überbrücken (22)

Frage von pierrehansen zum Thema LAN, WAN, Wireless ...

Windows 10
Windows für Privatanwender "nicht mehr handhabbar" (11)

Frage von FA-jka zum Thema Windows 10 ...

Basic
Programmierung von Windows Programmen (10)

Frage von Ghost108 zum Thema Basic ...