Наказать взломщика сайтов

спешу тебя огорчить, это не «взломщик», а боты сканируют, и вряд ли они будут исполнять жабоскрипт код, который ты им подсунешь.

просто забей, они безобидные.

Вычисли его по айпи, а потом приди к нему домой и отлупи, как Джей и Молчаливый Боб.

На каждый такой запрос отдавать 10 гиг данных рандомных, а можно и просто нули.

Оооооочень медленно отдавать ему содержимое /dev/random.

Запасся попкорном

медленно отдавай ему тексты песен надежды бабкиной. пусть сдохнет

Но всё же. Когда этот бот отсканирует и пришлёт «взломщику» ответ, что файл существует, то когда он зайдёт, через js или что-нибудь ещё устрою ему праздник))

Или вообще поиздеваться и сделать интерфейс wso.php, но только функции будут делать фейковые операции

Надоели они. Работать не дают…

то когда он зайдёт, через js или что-нибудь ещё устрою ему праздник))

Не хотелось бы вас расстраивать, но боты в автоматическом режиме ищут цели и тестируют на них предопределенный набор способов взлома. Никто ручками к вам в машину не полезет.

Выброси эту идею из головы раз и навсегда. Никаких разумных способов наказать ботов не существует.

Ты не о том думаешь. Задумайся лучше о том, почему боты лезут к тебе на сайт. Лучшее что ты можешь сделать, так это прикрыть свой сайт например за Claudflare. Боты перестанут тебя донимать, логи будут чистыми, а волосы мягкими и шелковистыми.

-j TARPIT --tarpit на диапазон адресов. Пусть кукует. И желательно вообще дропать траффик по geoip из Восточной Европы и Юго-Западной Азии.

Лучше определить белый список AS с которых лояльные подключения идут и разрешить подключения только с них.

используй клауд, он отсеивает половину ботов. боты на твой сайт на вротпрессе отправляют запросы, а потом проверяют создались ли шеллы и все.

Надоели они. Работать не дают…

Каким образом они не дают работать, за руки хватают?

Добро пожаловать в веб. Привыкай.

Ничего ты этим ботам не сделаешь — владельцы этих устройств скорее всего даже не знают, что они часть ботнета. Никакие JS они не будут исполнять. Максимум, что ты можешь сделать, это узнать IP и заддосить ни в чём (кроме тупости и забивания на элементарную безопасность) хомячка.

В общем забей. Это норма. Чтобы логи были почище, можно, в принципе, попробовать вносить IP, которые запрашивают конкретные несуществующие /*.php, в списочек и дропать их коннекты сразу. Но это малоэффективно — они всё равно будут всегда новые появляться.

fail2ban, авторизация по ключу, промежуточный сервер между тобой и интернетом.

плюс mod_security или waf

Ну как-то так.

Да, «наказать взломщика» своими руками - это поднять себе статью. Будь аккуратнее с желаниями.

У меня есть список файлов к которым подключается взломщик

Маленький список, тут побольше: https://www.luszcz.de/widwsisw/i/i0004en.php

файлов нет, а веб-сервер 200 отвечает

Авторизация по ключу куда? На web сервер? Вот уж действительно «не читай - сразу отвечай» (с)

Он про SSH-авторизацию по ключу на web-сервер. То есть доступ по SSH только по ключу.

Зочем, а главное на…? Как это поможет от web ботов?

А боты по SSH ломятся часто. Могут перебором пароль подобрать, без шуток.

root@rock-3a:~# ls -ln /var/log/apache2/
total 112
-rw-r----- 1 0 4      0 Jan 17 02:30 access.log
-rw-r----- 1 0 4      0 Jan 17 02:30 error.log
-rw-r----- 1 0 4 108468 Jan 17 10:09 other_vhosts_access.log

root@OpenWrt:~# nft list table inet banIP |wc -l
3737

вайтлисты АС и никакого левого трафика

Боты по любым открытым портам могут ломиться, ssh здесь причем? Ну и если на то пошло для ssh проще разрешить доступ только с опреленного IP адреса/подсети.

Притом что в той же убунте ssh сервер запущен по дефолту. В некоторых версиях там был даже предустановленный дефолтный пароль.

ТСу боты на web сервере «работать не дают». Не на ssh, не на imap, не на ntp и т.д. на web.

Это не повод оставлять дырку открытой.

Вот это маняистории. Пруфцов не будет, да?

Да, верно. Боты лезут на веб, а не на ssh

«Наказать» - имею ввиду, что любопытный зайдёт на страницу wso.php где его машина будет интенсивно работать. Не вижу тут статей, т.к. никто ни к чему не принуждает

Дело в том, что уже на добрую пару сотен сайтов вирус пробрался, поэтому вычищаю сайты от его последствий, вместо нормальной работы. Вот что значит «работать не дают»

«Наказать» - имею ввиду, что любопытный зайдёт на страницу wso.php где его машина будет интенсивно работать

PHP исполняется на хосте, а не на клиенте. Как ты собираешься добиться какой-то интенсивной работы? Ну можешь отдать пару терабайт из /dev/urandom разве что. Но скорее всего он всё равно оборвёт соединение после какого-то объёма. JS твой они исполнять точно не будут.

Дело в том, что уже на добрую пару сотен сайтов вирус пробрался, поэтому вычищаю сайты от его последствий, вместо нормальной работы. Вот что значит «работать не дают»

Так это себя надо наказывать за то, что дырки в безопасности устроил. От того, что они просто долбятся, если всё настроено правильно, никакой вирус никуда не пробирается.

Так это себя надо наказывать за то, что дырки в безопасности устроил

Ты не прав. Уязвимостей много и все их сложно отследить даже если они выложены на exploit-db. Claudflare - это тоже не панацея

Ты не прав

Как скажешь ¯\_(ツ)_/¯ пусть будет не прав. Однако, на мои сайты несмотря на все эти долбления ботов никакие «вирусы» не «пробираются». И пожалуй, я лучше останусь не правым, зато без дырок и вирусов…

Их все сложно отследить, но можно минимизировать. Например, если использовать тупой статический сайт на html4, то тебя не могут поломать через уязвимости JS и php и так далее...

Вот чей-то сайт в Америке customsbyali.com который подцепил такой же вирус. И кто знает, сколько ещё таких сайтов

Он с подключеным claudflare https://leakix.net/host/104.21.73.68

Заражён файлом и т.д. /wp-includes/public/js/wp-kbbrands/index.php

https://malwaredecoder.com/result/c8fc8fe361bf0f7c8fa65c2777d5b311

https://timursergeevich.ru/xmlrpc.php Вот так только :)

любопытный зайдёт на страницу wso.php где его машина будет интенсивно работать.

УК РФ Статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей

natribu.org

Ясно

Ann сразу покровы сорвала, я попкорн сходу выкинул /скрыл

Вычисляешь по ip и едешь в другой город морду бить?

А если серьёзно, открой для себя fail2ban (плохая идея)

Подскажите способы наказать взломщика сайтов.

Связать и доставить в Москву!