Форум на Исходниках.RU

Защита сервера от скрытых прокси

AlexJ — Wed, 28 Mar 2007 16:00:49 +0000

AlexJ:

Цитата Roman S @ 28.03.07, 14:52

Ну как господа, не у кого нет предложения как отправить спамера к проотцам? :D

Банить только по ИП диапозону провайдера спамера, но не по доменному имени.

Защита сервера от скрытых прокси

Roman S — Wed, 28 Mar 2007 14:52:42 +0000

Roman S: Ну как господа, не у кого нет предложения как отправить спамера к проотцам? :D

Защита сервера от скрытых прокси

Roman S — Tue, 27 Mar 2007 08:22:48 +0000

Roman S:

Цитата

Я про это "а некоторые обнаглели и вписывают в хост мой адрес, будть я сам у себя качаю"

К примеру мой сайт называется: mywww.ru.
А в логах отражается:

mywww.ru - - [09/Mar/2007:10:39:03 +0300] "GET / HTTP/1.1" 200 90446

Итого получается, за сутки я у себя сам скачал 10 000 страниц. Но это не я :), нет у меня таких функции на сервере, что бы качали саме у себя через http!

Речь идёт о 80 порте. Связка там у меня стоит nginx - > apache. Все запросы проходят через nginx:80
Доменное имя зарегистрированно и имеет статический IP.

На TCP/IP можно тоже липовый IP вписать. только обратно пакет не получишь.Это как сказал Rust DNS парят.

Чего я не пойму, в конфе Apache стоит:
deny from unknown.hostforweb.com

А в логе пишет что unknown.hostforweb.com запросил строницу и получил её.

unknown.hostforweb.com - - [09/Mar/2007:10:39:03 +0300] "GET / HTTP/1.1" 200 90446

Вопрос, почему он её получил если я указал deny from unknown.hostforweb.com? Легче же сравнивать по хосту, если он представляется как unknown.hostforweb.com, то почему бы не иметь его как unknown.hostforweb.com. :lol:

Хотя можно сделать и такой алгоритм:
IF REMOTE_ADDR = unknown.hostforweb.com BAN HTTP_CLIENT_IP

Только вопрос будет ли верным HTTP_CLIENT_IP.

А unknown.hostforweb.com у многих в статистики стоит и жрёт всё подряд.

ЗДЕСЬ вопрос, как автоматом его отшивать.

Защита сервера от скрытых прокси

AlexJ — Mon, 26 Mar 2007 15:06:19 +0000

AlexJ:

Цитата Roman S @ 26.03.07, 01:54

Цитата

каким образом они залазиют к вам в хост файл?

О чем вы?

Я про это "а некоторые обнаглели и вписывают в хост мой адрес, будть я сам у себя качаю"
Давайте с начала с конфигурации, а то может получится что Вы подрузумеваете одно,
а мы другое...

Какая Ось? какой сервис-порт открываете наружу? 80,25,110,21...23 :) и чем(что за сервер?(апача, ЛайтСерв, виндовый сервер )
Какой фаер? Есть ли аппаратный шлюз-фаер? Какой коннект? (Статический IP или динамический?) Ваше доменное имя зарегестрированно или это динамически назначается провайдером?

Если лезут на 25 порт, то согласно протокола имя хоста указывается "вручную" т.е. отправитель от барабана может поставить туда (имя хоста-отправителя)какую угодно лабуду, она никак не связана с реальным доменным именем(точно также могут подставлять туда ваш ИП или ваше доменное имя провоцируя систему как будто кто то свой ломится.
типа:
[SMTP:72:IP-моей-машины] Mail from:
[SMTP:124:www.MyMainServer.com] Mail from:
Если мои подозрения оправдываются (smtp-сервер.) то фиксируйте их реальное ИП,
потом идите на www.dnsstuff.com(или подобные) и в поле whois вбивайте их ИП, получите диапозон-ИП провайдера из сети которого лезут г...ки и блокайте именно этот диапозон. Есть правда "товарищи" которые регестрируют домен в networksolution, там сложнее так как эти регистранты не предоставляют публик-информацию о "клиентах". Не пытайтесь ответить подобным сканом обратно - просто потеря времени, как правило они сидят на динамических ИП, или в tor-овских сетях.
Если все таки найдете их провайдера , то пишите туда срочно письмо и в нетворк-абьюз с прикрепленными логами.
Еще. Если у вас запущен смтп-сервак, запретите релэй для внешних ИП (разрешить релэй только для зарегестрированных пользователей) Главный поинт их скана использовать ваш сервак как шлюз для рассылки спама от "чистого" ИП.

Защита сервера от скрытых прокси

Rust — Mon, 26 Mar 2007 05:30:43 +0000

Rust:

Цитата AlexJ @ 26.03.07, 00:22

сделайте netstat -a во время коннекта(когда сканят) и получите их реальный ИП.

Сомневаюсь что поможет. Похоже что нагнули DNS сервер.

Защита сервера от скрытых прокси

Roman S — Mon, 26 Mar 2007 01:54:41 +0000

Roman S: unknown.hostforweb.com - у многих такая хрень была, это спамерный жук лепит ссылки в формы, ип у него сотня (в основном юго-восточная азия).
В поисковеке вы увидети сколько гоМ.. он раскидал по инету и апи все разные.

Здесь я чё не поиму если ставлю deny from unknown.hostforweb.com, почему он пропускает запрос от этого хоста, там что разные способы индефикации!
netstat - замучаюсь каждый раз езо штопать.

Цитата

каким образом они залазиют к вам в хост файл?

О чем вы?

Защита сервера от скрытых прокси

AlexJ — Mon, 26 Mar 2007 00:22:42 +0000

AlexJ: сделайте netstat -a во время коннекта(когда сканят) и получите их реальный ИП.
Кстати не понял, каким образом они залазиют к вам в хост файл?
Может зараза сидит?

Защита сервера от скрытых прокси

Roman S — Sun, 25 Mar 2007 20:51:40 +0000

Roman S: Проблема в том что таких у меня десяток, а некоторые обнаглели и вписывают в хост мой адрес, будть я сам у себя качаю :D
66.225.192.1 - 66.225.255.255 - бестолку.
Там просто хост не соответствуе ип, только почему-то говору апачу банить по хосту deny from unknown.hostforweb.com он его всё равно пропускает, хотя в логи и пишет что был гет запрос с unknown.hostforweb.com

Защита сервера от скрытых прокси

AlexJ — Sun, 25 Mar 2007 13:01:52 +0000

AlexJ: Попробуйте забанить 66.225.192.1 - 66.225.255.255 так ;)

Защита сервера от скрытых прокси

Roman S — Sat, 24 Mar 2007 21:51:18 +0000

Roman S: Столкнулся с проблемой. Нужно забанить адреса, но проблема в том что эти хосты не имеют ip (Unable to resolve hostname unknown.hostforweb.com to IP address).

Ставлю deny from unknown.hostforweb.com - проходят, ставлю забанить всё сеть deny from 66.225.192.0 - 66.225.255.255. Всё равно проходят.
А в хостах ставять иногда мой собственный адрес.

Как боротся с этими спамерами и липовой заразой?