LINUX.ORG.RU
Форум — Security  

Регистрация посещений моего сервера.


0

2

Что обозначает запись? 

217.83.119.208 - - [28/Nov/2010:15:29:38 +0300] "|\xb5\xa5\x1f\x10)\xae\xf7r\xe87\xa3\x1eL" 401 401 "-" "-"
А еще вот: 
85.190.0.3 - - [28/Nov/2010:15:30:41 +0300] "GET http://vlad-tepes.bofh.it/proxy.txt HTTP/1.0" 401 656 "-" "-"
85.190.0.3 - - [28/Nov/2010:15:30:41 +0300] "POST http://213.92.8.7:31204/ HTTP/1.0" 401 656 "-" "-"
85.190.0.3 - - [28/Nov/2010:15:30:41 +0300] "CONNECT 213.92.8.7:31204 HTTP/1.0" 401 656 "-" "-"
85.190.0.3 - - [28/Nov/2010:15:30:41 +0300] "GET http://vlad-tepes.bofh.it/proxy.txt HTTP/1.0" 401 656 "-" "-"
85.190.0.3 - - [28/Nov/2010:15:30:41 +0300] "CONNECT 213.92.8.7:31204 HTTP/1.0" 401 656 "-" "-"
85.190.0.3 - - [28/Nov/2010:15:30:41 +0300] "POST http://vlad-tepes.bofh.it/proxy.txt HTTP/1.0" 401 656 "-" "-"
85.190.0.3 - - [28/Nov/2010:15:30:41 +0300] "CONNECT 213.92.8.7:31204 HTTP/1.0" 401 656 "-" "-"

Whois выдает: 

******************************************************************
* Abuse Contact: http://www.t-com.de/ip-abuse in case of Spam,   *
* Hack Attacks, Illegal Activity, Violation, Scans, Probes, etc. *
******************************************************************



Последнее исправление: Lenny (всего исправлений: 3)
← skype vs apparmor: no protocol specified
Подбор пароля для openvpn →
Ответ на: комментарий от Lenny

ну если прокси не появилась на твоем сервере, значит уязвимостей не нашли //КЭП

derlafff ★★★★★
()

поздравляю, теперь вы узнали не только о ботах, подбирающих пароли для sshd, но и о ботах ищущих уязвимости и огрехи в конфигурации веб серверов,

первая запись - скорее всего попытка переполнить буфер или эксплуатировать еще какую-то уязвимость в обработке строки запроса

второй кусок - попытка использовать сервер как прокси.

Sylvia ★★★★★
()
Ответ на: комментарий от Sylvia

Можно ещё раз написать тоже самое, только другими словами :)

Deleted
()
Ответ на: комментарий от Sylvia

>первая запись - скорее всего попытка переполнить буфер

Нагугли хоть один пример переполнения буфера прежде чем постить такие глупости, детка. Буфер сначала нужно заполнить, прежде чем писать выше.

anonymous
()
Ответ на: комментарий от Sylvia

ps: для дурновоспитанных анонимусов мне лень искать в логах запрос на 65 кб
«|\xb5\xa5\x1f\x10)\xae\xf7r\xe87\xa3\x1eL»
вот примерно такого же вида, на какой-то из популярных скриптов поиска и индексации, суть там была именно в переполнении буфера, у ТС в логе запрос короткий (порезан?)


Sylvia ★★★★★
()
Ответ на: комментарий от Sylvia

У меня в логах вебсервера полной такой хрени. Наборы байтиков, естественно, совершенные разные. 

[Tue Nov 30 22:10:19 2010] [error] [client 156.34.224.169] Invalid URI in request \xb0c\xf6WZ\x94%\xf4\xd2\xc9ra\xccgW\x15\x07
jZ\x94\xe1\xfd\xb9\xe2h\xc8\xacl\x8c\xbdr(<\x1e\x10\xaao\x10\xd0\xc3\xd1P\x8cQ@^U\xee\xed\xa7UW\r\xd8\x9c^\x95sC\xeaF\xffbW\xa
e\x9c\xd0\xd30584\xc3$h\x1e
[Tue Nov 30 22:10:20 2010] [error] [client 154.20.62.11] Invalid URI in request \xc9~\x95\x11\x19\xbd"\xdbwR5\xdc\x02;\xabT\xa
1\x19\x8d(8d\xc8\xa9(\x1d\xfcw\xfe2\x95\xfc\xb4\xf9;\xb6\x96+\xc6\xd5n\xa1\x97U\xc5+\xf4\xec\xe41}\xd3q}\x8e:"D\x91\xdb\xed\xf
7\xb3s\xba\x19\xf0\x80;\x96]\xdc\x8ef\x19Od.\x15\x82\xc5\xac\xf6]BZE\xb6\xe1\b\xe8C\x17SM\x97d\xf4\xe75(\xde_\x82Nvd\x1f\xa0W3
\xc8\xec\xe66\x80\x8d\xd3\xba3\xb6\x14k\x83C\xdc#~\xea5\x86\x9b\xc8Xgo\x85\x8d\x1d8\xd2\x7fM\xf2E`$\xdb\x02\x9ca\xd6\xbc\xf7Yr
?\xe3\xe2y\x11=-\x1c\xc1%\xbc\xac\xf5fF\xbeT\x8eLz\x19\xc6\rVf\xae\x19\xa6
[Tue Nov 30 22:10:21 2010] [error] [client 154.20.62.11] Invalid URI in request \xc4\x96\x96.z\x91\x035\x8aGF\xd3\xcd~h,i2\xd5
\xd9\x80qYXH\xc8\xc5\x01\xa94\xc85\xaaz\xb8O\x89S\xb4g\x04\xae[\x93:\xdb\x8b8\x06x\xed\xe9\x1c\xfan^\xfe\xd0p~\xf4"\xf3f\x14\x
d6B\x9e\xa6\x02\xc1!\xe7\xfc\xa0\x89J\xd9t!L\xf4\xd1\x0e\x11\xac3\xe93\xee\xaf@\r\xcf1G\x88\x85\xcf\x014\xc5\xb0\x06.\xba\xe6
[Tue Nov 30 22:10:34 2010] [error] [client 92.26.251.160] Invalid URI in request \x13\x9f5-\x8e\x97\xd7\xb0t\x8c\xfcM\xc1\x1dC
\b\xb8\xe5\x07\xfa>c\x9a0\x9d\xae\x90.\xd0\x8f\xf2L\xba/N\xfah\x8a \xdc\x0e\x9e\x1c\xd9\xac\xb0\x11\x1c\xad\xd32\x1b,#\x04\xfe
\xf0r\x15`\xd5\xc9\xe6\xebg>\xb2\xd2!\xaf/\xf3\xe9g\x13k#w\x1f\xe9c\xd8:\xf9\xa2\xb91u\xd9N\xbe\x92\x89R\xf6\xb8\x89\xe9\xd4\x
e1|\xda\xe5B\xddgf\x84

Больше всего похоже на стучащиеся не по адресу P2P клиенты.

frozen_twilight ★★
()
Ответ на: комментарий от Sylvia

>вот примерно такого же вида, на какой-то из популярных скриптов поиска и индексации, суть там была именно в переполнении буфера, у ТС в логе запрос короткий (порезан?)

Точность диагноза поражает. Я очень рад, что вы не работаете по специальности, много жизней сохранили.

anonymous
()
Ответ на: комментарий от anonymous

ну а вы, уважаемый эксперт, как бы это действие классифицировали?

Pinkbyte ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← skype vs apparmor: no protocol specified
Security
Подбор пароля для openvpn →