Sedicenti Hacker crescono

La premessa:

Con lo switch di piattaforma CMS tra i (numerosi) problemi che ne sono derivati, vi è quello dell’url delle pagine. Come noterete (un esempio a caso lo troviamo qui) gli url degli articoli scritti con Drupal non si sono portati dietro la loro forma, ma sono stati convertiti in OLD$id, ne consegue che se cercate http://www.ilportalinux.it/jabber teoricamente non trovereste una mazza, dico teoricamente perchè grazie ad un modulo io riesco a fare redirect verso l’apposita pagina in base a ciò che scrivete nell’url (o quantomeno alla pagina che contiene il contenuto più simile possibile).

Oltre a questo ho installato un modulo che mi notifica per email tutti gli errori 404 che vengonp riscontrati, cosi che io possa verificare se qualche contenuto non viene correttamente reindirizzato. Adesso come avrete capito le mail sono tantissime, e lo sono ancora di più quando qualche coglione decide che è bello passare il sabato pomeriggio a tentare di sfondare un server invano…

Quella che vedete inquadrata diciamo che è circa un terzo dei tentativi che lo scemo sta effettuando.

All’inizio non mi sono preoccupato perchè ho visto come user agent del browser:

User Agent: Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)

e quindi l’ho chiusa li, ma poi ho notato un pò di cose:

1. PERCHE’ google vuole a tutti i costi indicizzare un phpmyadmin inesistente nel mio sito?
2. PERCHE’ google sta tentando tutte le combinazioni possibili di phpmyadmin e sinonimi per cercare di trovarlo
3. e PERCHE’ guardacaso cerca solo il file config.php??!!

Decido quindi di connettermi al server e spulciare i log di apache:

kratos:/var/log/apache2# grep phpMyAdmin access.log|more
80.154.35.16 – - [11/Jul/2009:15:34:09 +0200] "GET //phpMyAdmin/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 31903
80.154.35.16 – - [11/Jul/2009:15:34:13 +0200] "GET //phpMyAdmin2/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 31903
80.154.35.16 – - [11/Jul/2009:15:34:13 +0200] "GET //phpMyAdmin-2/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 31903
80.154.35.16 – - [11/Jul/2009:15:34:14 +0200] "GET //phpMyAdmin-2.2.3/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 31903
80.154.35.16 – - [11/Jul/2009:15:34:15 +0200] "GET //phpMyAdmin-2.2.6/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 31903
80.154.35.16 – - [11/Jul/2009:15:34:15 +0200] "GET //phpMyAdmin-2.5.1/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 31903
80.154.35.16 – - [11/Jul/2009:15:34:16 +0200] "GET //phpMyAdmin-2.5.4/config/config.inc.php?p=phpinfo(); HTTP/1.1" 404 31903
 

e qui scatta l’altra domanda:

• PERCHE’ google starebbe usando uno solo dei suoi milioni di server per indicizzare un phpmyadmin sul mio sito che NON esiste?

kratos:/var/log/apache2# whois 80.154.35.16
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to ’80.154.32.0 – 80.154.63.255′

inetnum:        80.154.32.0 – 80.154.63.255
netname:        TOIAG-ROOTSERVER-02
descr:          T-Online International AG
country:        DE
admin-c:        DTST
tech-c:         DTST
status:         ASSIGNED PA
mnt-by:         DTAG-NIC
source:         RIPE # Filtered

person:       Security Team
address:      Deutsche Telekom AG
address:      Germany
phone:        +49 180 5334332
fax-no:       +49 180 5334252
e-mail:       abuse@t-ipnet.de
nic-hdl:      DTST
mnt-by:       DTAG-NIC
source:       RIPE # Filtered

% Information related to ’80.128.0.0/11AS3320′

route:        80.128.0.0/11
descr:        Deutsche Telekom AG, Internet service provider
origin:       AS3320
member-of:    AS3320:RS-PA-TELEKOM
mnt-by:       DTAG-RR
source:       RIPE # Filtered

 

ECCO PERCHE’!! perchè non è google che sta cercando di sfondare il mio server, è un crucco di merda che non ha un ca$$o da fare se non provare dei maledetti script che sicuramente gli avrà passato un altro crucco (di merda anche quello).

kratos:/var/log/apache2# iptables -p tcp -I INPUT -s 80.154.35.16 --dport 80 -j DROP

ops….gli script del ca$$o non funzionano più…chi sa come mai….

0 votato