Ataque con peticiones PHP

Usuario eliminado 136921 · 20 Jun 2020

Tengo un VPS con Nginx al que siempre intentan atacar ingresando direcciones que no existen del tipo "/spywall/timeConfig.php"

He visto los logs del VPS y estos ataques siempre devuelven el error http 400 y me gustaría que devolviera el error 403

Estoy intentando esto:

Insertar CODE, HTML o PHP:

location ~* /(directorio| directorio | directorio | directorio | tmp)/.*.(php|pl|py|jsp|asp|sh|cgi)$ {
deny all;
}

¿Pero para que sirva para toda la web que tengo que poner donde pone directorio?

¿Cómo puedo bloquear este tipo de peticiones que terminan por php?

MATRIX 305 · 20 Jun 2020

Alejandro Ruiz dijo:
Tengo un VPS con Nginx al que siempre intentan atacar ingresando direcciones que no existen del tipo "/spywall/timeConfig.php"

He visto los logs del VPS y estos ataques siempre devuelven el error http 400 y me gustaría que devolviera el error 403

Estoy intentando esto:

Insertar CODE, HTML o PHP:

location ~* /(directorio| directorio | directorio | directorio | tmp)/.*.(php|pl|py|jsp|asp|sh|cgi)$ { deny all; }

¿Pero para que sirva para toda la web que tengo que poner donde pone directorio?

¿Cómo puedo bloquear este tipo de peticiones que terminan por php?

naaa tranquilo no pasa nada ,lo unico que hacen que estan en osint checkeando los posibles escritorios yarchivos con un diccionario , tengo una pregunta para ayudarte , todas esas peticiones son de una misma ip?

MATRIX 305 · 20 Jun 2020

agrega esto al .htaccess

RewriteEngine on
RewriteCond %{QUERY_STRING} ^([0-9]+)$ [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)\?([0-9]+)(.*)$ [NC,OR]
RewriteCond %{QUERY_STRING} ^([0-9]+\.[0-9])(.*)$ [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)\?([0-9]+\.[0-9])(.*)$ [NC]
RewriteRule ^(.*)$ http://%{REMOTE_ADDR} [L]

Usuario eliminado 136921 · 20 Jun 2020

MATRIX 305 dijo:
naaa tranquilo no pasa nada ,lo unico que hacen que estan en osint checkeando los posibles escritorios yarchivos con un diccionario , tengo una pregunta para ayudarte , todas esas peticiones son de una misma ip?

No, siempre son varias IPs a lo largo del día. Sé que son bots, por eso me gustaría que se devolviera el http 403, que es el de acceso bloqueado, y no el http 400

MATRIX 305 · 20 Jun 2020

en todo caso si aun no te funciona tendrias que limitar las peticiones (get) en este caso

MATRIX 305 · 20 Jun 2020

Alejandro Ruiz dijo:
No, siempre son varias IPs a lo largo del día. Sé que son bots, por eso me gustaría que se devolviera el http 403, que es el de acceso bloqueado, y no el http 400

usan proxys en todo caso , lo que podrias hacer en caso es dar un falso positivo en todo , ohhh poner un capcha al inicio , estilo cloudflare y su modo bajo ataque

Usuario eliminado 136921 · 20 Jun 2020

MATRIX 305 dijo:
usan proxys en todo caso , lo que podrias hacer en caso es dar un falso positivo en todo , ohhh poner un capcha al inicio , estilo cloudflare y su modo bajo ataque

Gracias, pero uso NGinx, eso es para Apache. De todas formas lo he pasado a Nginx y me sale así:

Insertar CODE, HTML o PHP:

location / {
  if ($query_string ~* "^([0-9]+)$"){
    rewrite ^(.*)$ http://$remote_addr redirect;
  }
}

¿el código que hace exactamente?

MATRIX 305 · 20 Jun 2020

Alejandro Ruiz dijo:
Gracias, pero uso NGinx, eso es para Apache. De todas formas lo he pasado a Nginx y me sale así:

Insertar CODE, HTML o PHP:

location / { if ($query_string ~* "^([0-9]+)$"){ rewrite ^(.*)$ http://$remote_addr redirect; } }

¿el código que hace exactamente?

limitar las peticiones ,bueno también esta la opción de bloquear agentes pero muy bien puedes usar las 2 , y bueno ya me dirás después que te funcionara mas que bien

agrega esto en .htaccess
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /

RewriteCond %{HTTP_USER_AGENT} ^.*(dav.pm/v|libwww-perl|urllib|python-requests|python-httplib2|winhttp.winhttprequest|lwp-request|lwp-trivial|fasthttp|Go-http-client|Java|httplib|httpclient|Zend_Http_Client).*$ [NC]
RewriteRule .* - [F,L]

RewriteCond %{HTTP_USER_AGENT} ^.*(CtrlFunc|w00tw00t|Apachebench).*$ [NC]
RewriteRule .* - [F,L]
</IfModule>

SnAFKe · 20 Jun 2020

NGINX:

location ~*  /(directorio|directorio|directorio|directorio|tmp)/ \.(php|pl|py|jsp|asp|sh|cgi)$ {
    deny all;
}

No lo he probado pero debería de funcionar

Ataque con peticiones PHP

Usuario eliminado 136921

MATRIX 305

MATRIX 305

Usuario eliminado 136921

MATRIX 305

MATRIX 305

Usuario eliminado 136921

MATRIX 305

SnAFKe

Temas similares