Вирусный трафик

Вирусный трафик

вт, 09/01/2007 - 22:31

Другие статьи по теме:

советы

Если у вас есть сайт на друпале (да и не только) то в логах скорее всего вы видите обращение к несуществующим страницам:
http://www.site.ru/MSOffice/cltreq.asp?бла-бла-бла
http://www.site.ru/_vti_bin/owssvr.dll?бла-бла-бла
это добрые люди ищут уязвимости в нашем движке (видимо с целью сообщить вам об этом))
Проблем с этим особых нет кроме паразитного трафика, и дополнительных обращений к БД которые так не любят друпаллеры.
Я решил для себя эту проблему так:
В файле .htaccess после

<IfModule mod_rewrite.c>
 RewriteEngine on

добавил

RewriteCond %{THE_REQUEST} _vti_bin [NC,OR] 
RewriteCond %{THE_REQUEST} MSOffice [NC] 
RewriteRule ^.*$ hacker.html [L]

В корень сайта положил файл hacker.html с поздравлением для тех кто его будет читать.
Остался один вопрос, что значит если запрос к этим файлом идет от зарегистрированного пользователя.

dyp@drupal.org's blog
Для комментирования войдите или зарегистрируйтесь

Настройки просмотра комментариев

Выберите нужный метод показа комментариев и нажмите "Применить"

Опубликовано SadhooKlay (гостевой логин) в вт, 09/01/2007 - 23:01.

Когда я столкнулся точно с такой же проблемой, а перерубил ip адреса в .htaccess и запретил запрашивать страницы по злосчастному запросу.

Отверт на вопрос: видимо программное обеспечение на машине пользователя стоит, мягко говоря не добросовестное.

Для комментирования войдите или зарегистрируйтесь

Опубликовано dyp@drupal.org в вт, 09/01/2007 - 23:26.

Склоняюсь к мысли что машина пользователя заражена трояном, или вирусом каким

Для комментирования войдите или зарегистрируйтесь

Опубликовано Shedko в ср, 10/01/2007 - 02:44.

У меня тоже такие записи регулярно появляются на сайте, а что интересно, что на eng версии того же сайта таких записей нет.
Не знаю может только "наши" любят "помучать" сервера на которые заходят

Для комментирования войдите или зарегистрируйтесь

Опубликовано marazmus в ср, 10/01/2007 - 04:43.

Цитата:

Остался один вопрос, что значит если запрос к этим файлом идет от зарегистрированного пользователя.

99% - на машине юзера висит троян, т.е. его машина - "зомби". И скорее всего, зарегенный юзер об этом и не подозревает. Троян просто сканирует все сайты, которые посещает человек.

Для комментирования войдите или зарегистрируйтесь

Опубликовано Krotty@drupal.org в ср, 10/01/2007 - 07:43.

Гм... Граждане, товарищи и господа! Все гораздо проще.
Это не троян, это на хосте клиента установлен MS Office с поддержкой Microsoft Office Server Extensions (серверных расширений MS Office) и IE ищет на каждом из посещенных сайтов Discussion Groups. ;)