web security

Es ist mal wieder an der Zeit, die .hataccess-Datei um einige Einträge zu erweitern, um weitere IP-Adressbereiche zu sperren.
Zwar ist aufgrund von letztlich erfolglosen Zugriffen, wie diesen hier:



40 Zugriffe in >01 m 26 s< auf die captchageschützte open-source.optionextreme.net/, kein sonderlicher Schaden zu erwarten, aber sowas nervt, wenn man es in den Stats sieht.
Natürlich "fliegt" da nicht nur die einzelne IP-Adresse, sondern der komplette Adresspool des betreffenden ISPs.
Das sieht dann so aus:
deny from 213.151.213.0/24

Abuse-Abteilungen von ISPs anzumailen, ist - so meine Erfahrungen - ein sinnloses Unterfangen. Ergo: Aussperren und gut ist!
Einzig gute Erfahrungen habe ich mit der Telecom gemacht. Aber, ob das heutzutage auch noch so ist, bei diesen komischen Datenschutzgesetzen in DE, das wage ich zu bezweifeln.

Weitere neue Einträge in der .htaccess-Datei:
deny from 85.185.0.0/24 //Iran
deny from 92.62.176.0/20 //Iran

(Hier jemand, der vielleicht "das Rad neu erfindet" 81.169.176.168, Infohelfer/0.9 (http://www.infohelfer.de/). Da hätte ich ausnahmsweise nur die einzelne IP-Adresse gesperrt, wenn der Abuse Contact nicht abuse@serverkompetenz.de wäre. Da klingeln bei mir gleich alle Alarmglocken, und ich erinnere mich, daß der jüngste, nicht verifizierbare Googlebot auch aus diesem Netz kam. Man schaue und staune:
Auszug aus unserem Googlebot-Log:
Mon 24 Mar 2008 4:02 - 81.169.185.xx - xxxxx-xxxx.com|
Request: www.------------.de/|
Referer: www.xxxxx-xxxx.com/pagerank.html|
User-Agent: Mozilla/5.0 (compatible; Googlebot/2.10; +http://www.google.com/bot.html)|

Also ist das gesamte Netz fällig.)

deny from 81.169.157.0/24 //Strato Rechenzentrum, Berlin
deny from 81.169.158.0/23 //Strato Rechenzentrum, Berlin
deny from 81.169.160.0/20 //Strato Rechenzentrum, Berlin
deny from 81.169.176.0/21 //Strato Rechenzentrum, Berlin
deny from 81.169.184.0/22 //Strato Rechenzentrum, Berlin
deny from 81.169.188.0/24 //Strato Rechenzentrum, Berlin
deny from 92.130.78.0/24 //France
deny from 208.223.208.0/23 //(shelob v1.0) security-lab1.juniper.net
deny from 208.80.192.0/21 //Websense
deny from 80.191.128.128/25 //Iran
deny from 80.32.0.0/14 //TELEFONICA DE ESPANA
deny from 216.145.0.0/19 //Compass Communications, Inc.
deny from 88.112.44.0/22 Finnland

(Hier wieder ein eindeutig als bösartig einzustufender Zugriff aus Indonesien via google.de:



Suchte nach " anonymous proxy ".)
deny from 118.136.0.0/15 //Indonesien
(Man darf davon ausgehen, daß es sich hierbei um einen Deutschen Internetnutzer handelte, der gerade einen indonesischen Proxy für seine Zwecke mißbrauchte.
Manchmal ist solch ein Versteckspiel an Lächerlichkeit kaum noch zu überbieten. Und wäre die Angelegenheit letzlich nicht doch so ernst und gefährlich, ich würde lachend aus dem Sessel fallen und mich am Boden rollen.)

deny from 67.18.0.0/15 //ThePlanet.com Internet Services, Inc.

Natürlich sind diese Neueinträge in der .htaccess-Datei nicht das Ergebnis einzelner auffälliger Zugriffe. Nein, die IP-Bereiche fallen schon seit Monaten unangenehm auf. Und wenngleich sie keinerlei Schaden anrichten können, vom sinnlosen Traffic einmal abgesehen, bin ich es einfach satt, mir diesen Müll in den Stats anzuschauen.
Aussperrungen ergeben sich somit, ganz oder teilweise, für folgende Services und Regionen:

# Alexa
# Abovenet Communications
# Entireweb
# M$
# yahoo
# Fast
# Overture Services (yahoo)
# Websense

# Ägypten
# Albanien
# Algeria
# Asia
# Telefonica de Argentina
# Bolivien
# Bosnien und Herzegowina
# Brasilien
# Bulgarien
# Deutschland
#Finnland
# France
# GB
# Griechenland
# Guatemala
# Iran
# Island
# Italien
# Kanada
# Kuwait
# Lettland
# Entreprise des P&T LU
# Mazedonien
# Oman
# Polen
# Portugal
# Rumänien
# Russland
# Saudi Arabien
# Slowakei
# Schweden
# Spanien
# Syrien
# Tansania
# Tchechien
# Turkey
# Ukraine
# USA
# VAE

Hier mal einige Beispiele, wo das Google-Suchergebnis offensichtlich provoziert, wir nennen es "gefaked" wurde:

Wer sucht "double extreme net"? Niemand! Es ist ein provoziertes Suchergebnis mit dem Zweck der Verfügbarkeit eines Links zu Proxy 2, der nicht mit dem Urheber in Verbindung gebracht werden kann, und mit dem man ggf. dem Zielobjekt rankingtechnisch schaden kann. Möglicherweise ein homebased Proxy, über den der Googlebot geschickt wurde.
Urheber:


Nächstes Beispiel:

Auch hier ist Sinn und Zweck die Verfügbarkeit eines anonymen Links zu unterstellen, diesmal zu den
Voraussetzungen für den Schutz einer Website.

Daß eine Spiegelung der Zielseite hier nicht erfolgen konnte, liegt nicht zuletzt daran, daß die Sicherheitsarchitektur, neben den bereits erwähnten Features, auch über einen Algo verfügt, der nicht sinnergebende Referrer von Suchmaschinen ausfiltert.
Selbstredend selbstlernend!
Lediglich ein Anfangsbestand an Phrasen, die an die jeweilige zu schützende Website angepaßt werden müssen, muß manuell vorgegeben werden.

Nächstes Beispiel:

Ja bitteschön, wer sucht denn einen "austrian proxy"? Welchen Sinn soll eine solche Suchanfrage machen, wenn nicht wiederum die Verfügbarkeit eines Links zum Proxy mit dem niemand in Verbindung gebracht werden kann?
Benötige ich einen Proxy, so ist der geographische Standort desselben sicherlich das Letzte, was mich interessiert.
Wesentliche Aspekte zur Auswahl eines Proxies sind lediglich Geschwindigkeit und Verfügbarkeit.

Urheber:



Die angeführten Beispiel sind natürlich lediglich eine kleine Auswahl aus den seltsamen Zugriffen vom heutigen Tage und von einem einzigen Projekt.
Täglich fallen hunderte davon an!


Daß der Googlebot durchaus willens und in der Lage ist, seine eigenen Suchergebnisse - via Proxy - zu crawlen, sieht man hier:

Dies macht die Maschine extrem anfällig für die Manipulation der Suchergebnisse, so meine persönliche und unmaßgebliche Einschätzung.