Támadás alatt...

[Atys]

Hali!

 

A segítségeteket szeretném kérni. Van pár weboldal amit csináltam, eddig még nem volt gond sosem, de pár napja az egyiknek a tulaja jelzett, hogy kapott egy jó adag levelet, aztán többet nem jelentkezett a dolog.

Tegnap viszont én kaptam kb. 26000 darabot aminek nem nagyon örültem. A levél a saját tárhelyszolgáltatóm által visszaküldött levél volt, aminek a tárgya: "Undelivered Mail Returned to Sender" volt. Ma megint kaptam vagy 1500-at.

Nem tudom a tartalom lényeges-e.

 

A szolgáltató azt mondja, hogy az én oldalamon van valamilyen támadható rész, amit ki is használnak. Ilyenkor mit tudok tenni? Mert átnézve az oldalam forrását, semmit nem találtam amit nem én írtam volna.

Ahol beviteli mezõ van, ott általában használok egy kis grafikus chaptcha-t is, mielõtt az adatokat elküldetem a feldolgozó résznek. Nem hiszem, hogy azt fejtenék meg percenként több százszor.

 

Hogyan tudok védekezni az ilyenek ellen?

 

[mizsi]

E-mail cím van bárhol a forrásban?

[payskin]

Az egyszerűbb grafikus captchákon sajnos simán keresztülmennek a robotok. Tegyél bele szöveges nyelvi captchát, ilyeneket, hogy "milyen nap van ma" vagy "milyen nap volt tegnap", vagy egy matematikai műveletet, aminek a végeredményét várod. Az ilyen intelligenciát és magyar nyelvtudást igénylő kérdéseken elvéreznek...

[Atys]

@mizsi: igen van e-mail cím, de a forrásban javascript rakja össze darabokból.

 

@Balázs: ez igen szomorú hír, mármint, hogy az egyszerûbb védelmen így átmennek. Akkor nekiállok átírni az idevágó részeket szöveges védelemre.

 

Az URL-en keresztül lehet támadni az oldalt? Mert valami ilyet mondott a szolgáltató, hogy szerintük azon ment be a támadás, és utána valamilyen SQL mûveletet hajtottak végre. De egyenlõre többet még õk sem tudnak, nézik a log fájlokat.

 

[Pjotr]

Tudtommal a JS-es e-mail-védelmet is le tudják már kezelni, így az is hatástalan (lehet).

 

Google: SQL injection

[Atys]

Gondolom a JS-t könnyû kikerülni, de szerver oldalon is van ellenõrizve, illetve "kipucolva" a POST adatok:

trim, strip_tags, htmlspecialchars,

preg_match("/^[A-Za-z0-9](([_\.\-]?[a-zA-Z0-9]+)*)@([A-Za-z0-9]+)(([\.\-]?[a-zA-Z0-9]+)*)\.([A-Za-z]{2,})$/"

 

SQL injection-t olvasgatom... köszi! Már régebben is nézegettem, de nem gondoltam, hogy amiket megtettem lépéseket, azok ennyire keveset érnek.

 

[payskin]

Tudtommal a JS-es e-mail-védelmet is le tudják már kezelni, így az is hatástalan (lehet).

Az lehet, de magyarul nem tud a robot. Tehát a "Milyen nap volt tegnap" kérdésre nem tud válaszolni, és ezt nyilván nem JS-bõl ellenõrzöd, hanem PHP-ból.

 

[Atys]

Hát akkor egy ilyen egyszerû kérdéssel meg lehet fogni a támadókat?

És ezt még könnyebb is leprogramozni mint a grafikus védelmet, amit csináltam.

Sõt beleteszek több kérdést, amit random váltogat, és még jobb lesz a védelem.

Természetesen PHP-val ellenõrzöm az adatokat.

 

Közben a szolgáltatóval is beszéltem, egyenlõre annyit mondtak, hogy nem FTP-n keresztül ment a támadás. De azért egy napra lekapcsoltak 2 oldalamat is...

Egyáltalán van esély arra, hogy megtudjuk milyen támadás volt? Hogy fel tudjak készülni ellene.

 

[KGigi]

Ha SQL Injection, és a szerver naplózza a lekérdezéseket, akkor van rá esély. Egyébként nem hiszem.

[Atys]

Egy-egy ilyen támadás amúgy mennyire lehet az én hibám? Rosszul beállított szerver nem lehet bûnös?

Mert én mindenhol ahol adatbekérés vagy adatátadás van, ott lefuttatok minimum egy htmlspecialchars-t.

[payskin]

Közben a szolgáltatóval is beszéltem, egyenlőre annyit mondtak, hogy nem FTP-n keresztül ment a támadás.

"Egyenlőre a sorozatgyilkos darabol, mielőtt kiviszi a részeidet az erdőbe. A szó, amit kerestél, az egyelőre."

 

[Atys]

Akkor lehet megijedni...