Sunt atacat ?!

Mi se intampla ceva ciudat si am nevoie de ajutorul vostru.:pray: Nu sunt webmasterul, doar posesorul PortalElectric.Ro si acum ma simt terorizat de diversele probleme legate de acest site, care ma distrag de la lucrurile cu adevarat importante pentru dezvoltarea unui portal de acest gen. A inceput prin completari abuzive ale formularelor existente si in special a celui de inscriere care are autoresponder, pline cu linkuri spre siteuri gen viagra. Adresele de email completate erau false deci autoresponderul era afectat si, poate legat si de acest lucru, acum nu mai functioneaza nici un mesaj de notificare . Am pus caseta senzitiva pe formularul de inscriere si nici o schimbare. Noroc :( ca nu mai functioneaza nici autoresponderul. Noul webmaster n-a reusit sai dea de cap si ma simt oarecum sabotat. Aveti vreo idee despre ce se intampla ? Eventual cateva remarci legate de acest proiect de portal si de realizarea lui. Apreciez orice interventie.

Am patit si eu asa ceva. Adaugasem optiune sa vad ipurile care imi creau probleme si apoi le am banat din cpanel.

Am facut acum un test, si merge:

Citat:

---

Contact Online
Mesajul Dvs. a fost trimis!

---

Mesajul va avea numai test la toate campurile.

Pune un captcha sau un alt tool-antispam la formularul de contact. Daca ii spui programatorului tau, el va sti ce sa faca.

Poti implementa foarte usor mecanismul de captcha din PHPLD.
Iti ia maxim 15 minute sa-l integrezi.

e o idee buna cu blocare IP , cineva mi-a spus ca mesajele se completeaza direct in baza de date, nu inteleg cum poate avea acces direct acolo, am sa comunic aceasta solutie "captcha", nu stiu exact ce face

Mezei, Asa e ,pe site apare ca mesajul se trimite dar la mine in admin nu mai ajunge. Poate sa fie de la server ?

Am avut si eu probleme cu trimiterea mailurilor. Un simplu update la softul de pe server mi-a dereglat unele scripturi care foloseau mail(). Am inlocuit mailerul cu PhpMailer si de atunci nu am mai avut probleme.

Iar in ceea ce priveste captcha, uite aici un exemplu implementat folosind captcha din PHPLD, pentru itbox: http://www.itbox.ro/utile/contact.php.
Principiul e foarte simplu: Cand deschizi pagina, ti se genereaza un cod, de orice fel... si acesta se pune in sesiune. Pagina cu formularul va include o imagine ce va contine codul generat si stocat in sesiune. Se practica adaugarea unor elemente care fac imposibila detectarea automata a codului folosind diversi bots, gen linii, umbre, blur-uri, etc. Formularul contine si un camp unde utilizatorul trebuie sa introduca codul din imagine. La trimiterea formului, scriptul de pe server verifica daca codul introdus de utilizator este acelasi cu cel din sesiune. Daca e ok, trimite mesajul, daca nu, nu.

Ca tot suntem la capitolul asta, nu uita sa te protejezi impotriva la Email Injection.

Daca este vorba de caseta aia cu litere pentru introdus codul, am pus si eu asa ceva, ceva mai simplu , e adevarat
vezi pagina de inscriere(nu pot pune link)
dar nu s-a schimbat nimic, de aici a plecat ideea ca e un robot care completeaza direct in baza de date,
iar serverul este in Olanda si am probleme in comunicarea cu ei, cred ca o sa caut un host in bucuresti, aveti vreo propunere ?

Da-mi un mesaj pe personala cu ceea ce ani nevoie si iti fac un quote.

O sa scrie acum Ciprian ca face si el hosting.

Clar, pariam pe 40 de Euro. :D

Cristi, ai personalitate duala? :LOL:

In alta ordine de idei, oferim si hosting. De aici si sloganul: We turn your business into eBusiness.

But enough about me, let's talk about me. </joke>

Deja am descoperit ca face hosting :) De pe siteurile lui. Pe care le-am parcurs cu interes.

Hai hostuiti-va ca eu am treaba ;)

Salut

de cel putin 2-3 saptamani sunt constant 'atacat' - scanat pentru descoperirea vulnerabilitatilor -- sql injectuion, XSS, de toate. Site-ul e destul de mare, multe scripturi, toate scrise de mine; posibil sa fi chiar si descoperit ceva deja, io stiu, chiar nu am atat timp sa studiez toate variantele posibile...
Ma puteti ajuta cu un sfat, ce sa fac in situatia asta? Eventual cum sa verific, cat mai automatizat?

A doua intrebare, mai interesanta/presanta :
Stiu IP-urile de unde vin -- cateva sunt chiar statice :); de cei din Romania se ocupa deja cine trebuie :-); intrebarea e ce pot face cu cele din strainatate? [mai ales cineva din Olanda, foarte sarguincios, cam banui eu cine... ]
Pot reclama providerului lor? Sau cui?
Pot face dovada cu logurile, la o adica. A intentiillor de hacking, cel putin.
Dar am veo sansa? [logurile sunt imense, datorita traficului destul de rasarit...]

pune programatorul sa faca o restrictie in scriptul / pagina de trimitere mailuri a form-ului respectiv : sa se trimita feedback doar daca referal-ul coincide cu localhost (atentie la reconstruirea url-ului). este posibil asa cum e construit scriptul ca formularul tau sa fie folosit de terti pentru imprastiat reclama.

un exemplu:

Citat:

---

if (($referer == $url."/contact.php".$qmark.$ok.$plus.$sesiune) || ($referer == $url."/contact.php?")) { trimite_mail()

---

de luat in seama principiul, exista si metode mai elegante.

Multumesc, kul, dar nu de trimis SPAM trimis de pe severul meu sunt eu preocupat.
Oamenii incearca SQL injection si XSS.
Am ras-verificat scripturile, la prima - si a doua - vedere :-) sunt "ermetice"[bineinteles, cf ceea ce stiu eu in acest moment despre aceste metode], dar este extrem de deranjant sa-mi pierd 70-80% din extrem de putinul timp liber cu aceste prostii, in loc sa ma concentrez pe dezvoltarea site-ului...

Si nu e vorba despre tentative ocazionale, gen pustani care isi incearca norocul timp de 5-10 minute si apoi pleca sa gaseasca altceva mai usor de spart...
Pare-se ca e ceva serios la mijloc, aceleasi IP-uri vin again & again.
De exemplu, arunca o privire peste "mini-forumul" creat de mine pentru a dialoga cu userii pana la implementarea unui forum integrat: http://amfostacolo.ro/mfs.php [e un script modificat, care arata si posturile sterse] E varza acolo, 90% din posturi de pe acea pagina sunt tentative de hacking!!!! BIneinteles ca as putea sa le fac invisibile automat, in secunda in care apar, dar asta nU e o solutie...

A mai trecut cineva prin ceva asemanator? Cum a incercat sa rezolve?

concluzii - partiale - in acest caz:

- politia romana reactioneaza destul de prompt la astfel de sesizari; primul sub-caz :-), un IP de Gaesti, este in cercetare deja de catre "Biroul de Criminalitate Organizata / Sub-biroul de Criminalitate Informatica" :) sau ma org ceva de genul asta;

- al doilea sub-caz, doua IP-uri din Olanda: romanii mi-au spus ca nu am de ce sa-mi fac prea mari sperante; ei vor fae "forward" catre strainatate, merge greoi samd...
I-am scris, apoi, scris providerului [care se numeste... UPC Olanda :-)]; mi-au cerut data si ora exacta si logurile; in aprox 10 ore am primit raspunsul "se confirma tentativa de hacking, customerii respectivi au primit o avertizare oficiala"... Mai bine decat nimic, totusi.
[pentru a vedea cat de mut efect are acest "officialy warned", am banat doar unul cele doua IP-uri... sunt curios daca se mai intra de pe al doilea :-) ]

dom'le, nu se-ntampla sa stiti vreun cumva racket de prin Sri Lanka? Ca vad ca acuma de pe-acolo se gasira sa ma atace, s-as vrea sa se-ocupe unu d'astia un pic de cineva de p-acolo, ca pana ajunge Politia Romana sa gaseasca nr de telefon de la Interpolu de-acolo, sigur li se schimba prefixu...

Unu care sa-mi poata trace-ui mai bine ca mine IP-ul 203.94.85.66, care-mi incearca formul de "Cont nou", avem cumva pe aici, printre noi?...
Ca mie unuia nu-mi rezulta c-ar fi vreun proxy - de pe care sa intre amicul meu din Olanda, de care va povesteam mai 'nainte...

Lucru ciudat, taaare notoriu tre sa fie site-ul meu cel pur-romanesc [chiar daca nu musai... verde-romanesc:-)], aparut de 7 luni doar, de-au ajuns sa se intereseze de el taman hecherii din Sri Lanka... :)))

---
Revenind la un ton un pic mai *sobru*:
- filtrez toate tipurile de apostroafe, nu cred ca tine SQL injection
- filtrez taote tagurile HMTL, nici XSS nu cred ca-i iasa...
- de ce naiba tot revine? ACELASI tip de atac, asupra aceluiasi formular... Hmmm sa fi gasit ceva de care eu nu stiu / la care sa nu ma fi gandit?
Ce altceva mai poate incerca? Ce alte masuri mai pot lua?

eu patisem ceva de genu pe un site in care puteai sa iti spui parerea.. desi aveam pus captcha tot se umplea baza de date cu spam :D
dupa cateva incercari esuate de adaugat filtre si alte prostii.. am schimbat numele tabelului care tinea comentariile si de atunci totul e ok :D

e mai usor sa faca spam daca ai query de genul
INSERT INTO comments VALUES ...

decat daca ai avea..

INSERT INTO pareri_neinteresante VALUES() ...

Cred ca ai prins ideea :P

nu stiu cum se face dar varianta din phpld cu chapcha sucks... pentru si eu am implementat'o si primesc la spamuri de boti, de nu se mai termina...

tx, baieti, mi se par informatii utile in sens general, chiar de retinut, cele scrise de voi mai sus.

INSA la mine problema NU e spam-ul , ci incercari mai subtile, MANUALE, de gen SQL injection, XSS - facute de cineva care se pricepe, dupa cate BANUI.

forapathy, dupa cate vad esti bun :) la din astea, as fi interesat ntr-o colaborare, esti disponbil? :)
Scrie-mi te rog pe PM daca crezi ca ai avea timp pentru o consultanta pe partea asta de securitate...