带有很多 +（空格）和“选择的昵称”的奇怪请求 URI

信息安全 http
2021-08-23 08:33:34

在过去的六个月左右（发表某篇文章之后），我的网站一直受到许多遵循这种模式的请求 URI 的困扰：

/warning.php++++++++++++++++++++++++++++++++++Result:+chosen+nickname+%22doudounemonclerfemmez.webs.comoV%22;+success;

每个请求的请求者 IP 地址和引用选择的昵称不同，否则模式相同。

请求的页面（warning.php）是我网站上的一个真实页面，它以不讨人喜欢的方式提到了一个特定的黑客组织（不是“匿名”顺便说一句。）。这个特定页面被定位的事实可能表明他们可能会被激怒 - 或者这可能只是一个巧合。

有问题的黑客组织是（恕我直言）一群令人讨厌的罪犯，但他们也很擅长他们的工作。但是，我不认为这是一种有效的攻击。对我来说，它看起来更像是脚本小子的东西，而不是真正的黑客会尝试的东西。我真的不明白用大量空格和一些随机“选择的昵称”填充合法页面请求应该完成什么。对我来说，它看起来不像是注入攻击。这些请求是持久的，但每天只有 40-60 个 - 所以它甚至不是某种 DoS 攻击。

我已经用谷歌搜索了这种模式，但只找到了这个：http ://en.forums.wordpress.com/topic/hacked-by-f34rl355-i-guess - 这表明这是脚本小子的工作。然而，这样做的人拥有大量的 IP 地址，这一事实指向了相反的方向。我对多个脚本小子的理论不屑一顾，因为我知道没有将这个“东西”作为组件的“脚本”，而且所有请求都是针对同一个特定页面的。

让我有点担心的是 1）做这件事的人是坚持不懈的；2）它针对我网站上的特定页面。

我在这里的具体问题是：

  1. 谁能看到这样做的人想要完成什么？
  2. 我应该担心吗？
4个回答

您最初的反应是正确的 - 这是一个恶意请求。该攻击似乎试图利用插件中的身份验证绕过错误，但我找不到哪个。这次攻击似乎相当成功，因为出现在 Google 上的大量网站现在都在显示 pharma 垃圾邮件。我想攻击者正在使用僵尸网络或 Tor 来执行攻击。

就缓解而言，只需使用支持基于模式的阻止的防火墙或 WAF 阻止请求。如果您可以执行正则表达式模式块，只要禁用区分大小写，这将起作用：

^\/warning\.php\+*Result:\+chosen\+nickname\+.*success;$

实际上有数百个“利用”工具包可以扫描易受攻击的软件并试图利用托管它们的服务器。一些更原始的漏洞利用工具包在触发有效负载之前不会确认特定产品或软件版本是否正在运行。在您的情况下，情况似乎就是这样，正如您所说的那样，您的网站是静态的，就被利用的应用程序而言，您无需担心。

保持警惕，检查域名的 whois 记录，可能值得报告它们，因为所有者可能不知道他们是攻击的受害者。

我在 .htaccess 中使用以下代码：

# 从 url 中删除黑客攻击，例如：/RK=0/RS=AYp9kgWwyL1Te5LIMYeMtv4cBVQ-
重写规则 ^(.*)RK= /$1 [L,NC,R=301]
# 从 url 中删除作者尝试，例如：/author
RewriteRule ^(.*)author /$1 [L,NC,R=301]
# 从 url 中删除 trackback 尝试，例如：/trackback
RewriteRule ^(.*)trackback /$1 [L,NC,R=301]
# 去除url中的hacking尝试，如：+Result:+chosen+nickname+"acqqicny06";+success+(from+first+page);
RewriteRule ^(.*)\+Result:\+chosen /$1 [L,NC,R=301]

这本身不是攻击，而是试图通过 XRumer 垃圾邮件软件留下“成功签名”。

其它你可能感兴趣的问题
上一篇如果启用了多因素身份验证，这将如何影响自助密码重置？ 下一篇计算我的密码的安全性