Sunt atacat ?!

[PortalElectric]

Deja am descoperit ca face hosting De pe siteurile lui. Pe care le-am parcurs cu interes.

[Cristian Mezei]

Hai hostuiti-va ca eu am treaba

[CornelB]

Salut

de cel putin 2-3 saptamani sunt constant 'atacat' - scanat pentru descoperirea vulnerabilitatilor -- sql injectuion, XSS, de toate. Site-ul e destul de mare, multe scripturi, toate scrise de mine; posibil sa fi chiar si descoperit ceva deja, io stiu, chiar nu am atat timp sa studiez toate variantele posibile...
Ma puteti ajuta cu un sfat, ce sa fac in situatia asta? Eventual cum sa verific, cat mai automatizat?

A doua intrebare, mai interesanta/presanta :
Stiu IP-urile de unde vin -- cateva sunt chiar statice ; de cei din Romania se ocupa deja cine trebuie :-); intrebarea e ce pot face cu cele din strainatate? [mai ales cineva din Olanda, foarte sarguincios, cam banui eu cine... ]
Pot reclama providerului lor? Sau cui?
Pot face dovada cu logurile, la o adica. A intentiillor de hacking, cel putin.
Dar am veo sansa? [logurile sunt imense, datorita traficului destul de rasarit...]

[Kul]

pune programatorul sa faca o restrictie in scriptul / pagina de trimitere mailuri a form-ului respectiv : sa se trimita feedback doar daca referal-ul coincide cu localhost (atentie la reconstruirea url-ului). este posibil asa cum e construit scriptul ca formularul tau sa fie folosit de terti pentru imprastiat reclama.

un exemplu:

if (($referer == $url."/contact.php".$qmark.$ok.$plus.$sesiune) || ($referer == $url."/contact.php?")) { trimite_mail()

de luat in seama principiul, exista si metode mai elegante.

[CornelB]

Multumesc, kul, dar nu de trimis SPAM trimis de pe severul meu sunt eu preocupat.
Oamenii incearca SQL injection si XSS.
Am ras-verificat scripturile, la prima - si a doua - vedere :-) sunt "ermetice"[bineinteles, cf ceea ce stiu eu in acest moment despre aceste metode], dar este extrem de deranjant sa-mi pierd 70-80% din extrem de putinul timp liber cu aceste prostii, in loc sa ma concentrez pe dezvoltarea site-ului...

Si nu e vorba despre tentative ocazionale, gen pustani care isi incearca norocul timp de 5-10 minute si apoi pleca sa gaseasca altceva mai usor de spart...
Pare-se ca e ceva serios la mijloc, aceleasi IP-uri vin again & again.
De exemplu, arunca o privire peste "mini-forumul" creat de mine pentru a dialoga cu userii pana la implementarea unui forum integrat: http://amfostacolo.ro/mfs.php [e un script modificat, care arata si posturile sterse] E varza acolo, 90% din posturi de pe acea pagina sunt tentative de hacking!!!! BIneinteles ca as putea sa le fac invisibile automat, in secunda in care apar, dar asta nU e o solutie...

A mai trecut cineva prin ceva asemanator? Cum a incercat sa rezolve?

[CornelB]

concluzii - partiale - in acest caz:

- politia romana reactioneaza destul de prompt la astfel de sesizari; primul sub-caz :-), un IP de Gaesti, este in cercetare deja de catre "Biroul de Criminalitate Organizata / Sub-biroul de Criminalitate Informatica" sau ma org ceva de genul asta;

- al doilea sub-caz, doua IP-uri din Olanda: romanii mi-au spus ca nu am de ce sa-mi fac prea mari sperante; ei vor fae "forward" catre strainatate, merge greoi samd...
I-am scris, apoi, scris providerului [care se numeste... UPC Olanda :-)]; mi-au cerut data si ora exacta si logurile; in aprox 10 ore am primit raspunsul "se confirma tentativa de hacking, customerii respectivi au primit o avertizare oficiala"... Mai bine decat nimic, totusi.
[pentru a vedea cat de mut efect are acest "officialy warned", am banat doar unul cele doua IP-uri... sunt curios daca se mai intra de pe al doilea :-) ]

[CornelB]

dom'le, nu se-ntampla sa stiti vreun cumva racket de prin Sri Lanka? Ca vad ca acuma de pe-acolo se gasira sa ma atace, s-as vrea sa se-ocupe unu d'astia un pic de cineva de p-acolo, ca pana ajunge Politia Romana sa gaseasca nr de telefon de la Interpolu de-acolo, sigur li se schimba prefixu...

Unu care sa-mi poata trace-ui mai bine ca mine IP-ul 203.94.85.66, care-mi incearca formul de "Cont nou", avem cumva pe aici, printre noi?...
Ca mie unuia nu-mi rezulta c-ar fi vreun proxy - de pe care sa intre amicul meu din Olanda, de care va povesteam mai 'nainte...

Lucru ciudat, taaare notoriu tre sa fie site-ul meu cel pur-romanesc [chiar daca nu musai... verde-romanesc:-)], aparut de 7 luni doar, de-au ajuns sa se intereseze de el taman hecherii din Sri Lanka... )

---
Revenind la un ton un pic mai *sobru*:
- filtrez toate tipurile de apostroafe, nu cred ca tine SQL injection
- filtrez taote tagurile HMTL, nici XSS nu cred ca-i iasa...
- de ce naiba tot revine? ACELASI tip de atac, asupra aceluiasi formular... Hmmm sa fi gasit ceva de care eu nu stiu / la care sa nu ma fi gandit?
Ce altceva mai poate incerca? Ce alte masuri mai pot lua?

[forapathy]

eu patisem ceva de genu pe un site in care puteai sa iti spui parerea.. desi aveam pus captcha tot se umplea baza de date cu spam
dupa cateva incercari esuate de adaugat filtre si alte prostii.. am schimbat numele tabelului care tinea comentariile si de atunci totul e ok

e mai usor sa faca spam daca ai query de genul
INSERT INTO comments VALUES ...

decat daca ai avea..

INSERT INTO pareri_neinteresante VALUES() ...

Cred ca ai prins ideea

[Savage]

nu stiu cum se face dar varianta din phpld cu chapcha sucks... pentru si eu am implementat'o si primesc la spamuri de boti, de nu se mai termina...

[CornelB]

tx, baieti, mi se par informatii utile in sens general, chiar de retinut, cele scrise de voi mai sus.

INSA la mine problema NU e spam-ul , ci incercari mai subtile, MANUALE, de gen SQL injection, XSS - facute de cineva care se pricepe, dupa cate BANUI.

forapathy, dupa cate vad esti bun la din astea, as fi interesat ntr-o colaborare, esti disponbil?
Scrie-mi te rog pe PM daca crezi ca ai avea timp pentru o consultanta pe partea asta de securitate...