kleiner (single) DOS aus dem Microsoft-Netz

[feltel]

Keine Ahnung warum und wieso, aber das Forum stand bis eben unter etwas Last, die von der Source-IP 72.144.140.235 ausging. Die IP gehört Microsoft (aber scheinbar nicht zu Azure) und hat das Forum zugehämmert mit Seitenaufrufen. Und nicht irgendwelche, sondern etwas mit "Hintergedanken":

Code: Alles auswählen

GET /forum/gallery/image/356/%25c0%25ae%25c0%25ae%25c0%25af%25c0%25ae%25c0%25ae%25c0%25af%25c0%25ae%25c0%25ae%25c0%25af%25c0%25ae%25c0%25ae%25c0%25af%25c0%25ae%25c0%25ae%25c0%25af%25c0%25ae%25c0%25ae%25c0%25af%25c0%25ae%25c0%25ae%25c0%25af%25c0%25ae%25c0%25ae%25c0%25afwindows/win.ini HTTP/1.1" 404 5601 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/121.0.0.0 Safari/537.36"

oder

Code: Alles auswählen

GET /forum/gallery/search/2?aid[0]=1&keywords=1&sc=1&sd=a&sf=http://dicrpdbjmemujemfyopp.zzz/yrphmgdpgulaszriylqiipemefmacafkxycjaxjs%3F.jpg&sid=ce82c0e4182a58058909dd605ee8f021&sk=c&st=0&terms=all&user_id[0]=1&username=TWSfSopc HTTP/1.1"

Die IP ist erstmal geblockt und ich behalte die Situation im Auge.

[Meillo]

Danke fuer die Info. Hoffen wir mal, es kommt nicht mehr.


Btw: Seit wir vor ein paar Jahren mal einen groesseren DOS-Angriff hatten, logge ich jede Stunde die Besucher im Forum mit.

Grafisch aufbereitet findet sich das hier: http://tmp.marmaro.de/dfde/dfde-besucher.png

Vor ein paar Monaten war also auch schon mal mehr los. Ist mir in der Benutzung des Forums aber nicht aufgefallen.

Die kompletten Daten finden sich hier: http://tmp.marmaro.de/dfde/dfde-besucher.log
(Zeitpunkt, Dauer der Abfrage, Anzahl User)

Manchmal ist das Forum nicht erreichbar und mein Script kann keine Daten ermitteln. Zu oft passiert das aber nicht. In diesem Jahr waren es bisher diese Zeitpunkte:

Code: Alles auswählen

2024-02-26 00:00
2024-03-15 15:02
2024-04-05 00:00
2024-04-28 00:00
2024-04-29 13:02
2024-06-02 00:00
2024-06-04 00:00
2024-06-11 00:00
2024-06-17 00:00
2024-06-20 00:00
2024-07-17 00:00
2024-07-20 00:00
2024-07-22 00:00
2024-07-27 00:00
2024-07-28 00:00
2024-08-02 00:00
2024-09-16 00:00
2024-09-20 00:00
2024-09-26 00:00
2024-10-04 00:00
2024-10-09 00:00
2024-10-19 00:00
2024-10-22 00:00

Dass es so oft um Mitternacht ist, koennte an einem Backup oder so liegen. Wird da irgendwas neu gestartet um Mitternacht, Sebastian? Vielleicht sollte ich die Abfrage besser nicht in Minute 0 machen, sondern zu einer anderen Minute jede Stunde.


Ich wollte einfach eine Moeglichkeit haben, rueckblickend so Angriffe sehen zu koennen. Das ist vielleicht mal interessant und hilfreich.

[katzenfan]

Dass es so oft um Mitternacht ist, koennte an einem Backup oder so liegen.

Nur als Überlegung; Mitternacht bei uns ist in anderen Weltregionen heller Tag, könnte also auch dort die Ursache haben?

[feltel]

Das wird wohl ein cronjob sein oder Logrotate vom Apachen. Ich muss mal schauen, ich hab die Zeiten nicht im Kopf. Ein individueller Job von mir dürfte es nicht sein, ich lege da immer krumme Minutenwerte fest.

[Meillo]

Das wird wohl ein cronjob sein oder Logrotate vom Apachen. Ich muss mal schauen, ich hab die Zeiten nicht im Kopf. Ein individueller Job von mir dürfte es nicht sein, ich lege da immer krumme Minutenwerte fest.

Dann aendere ich meine Abfragezeit mal auf eine andere Minute und schaue, ob das etwas aendert.

[uname]

Etwas interessant ist windows/win.ini in der URL. Einerseits bei Linux etwas unsinnig. Anderesseits gab es das wohl nur bei Windows 9x. Die KI meint, dass es evtl. mit CVE-2024-4577 zusammenhängen könnte. Aber ich denke Debianforum ist weder Windows, kein Windows 9x und nutzt auch kein PHP CGI.

[feltel]

Da wurden alle möglichen URLs abgefragt. Man müsste die mal mindestens teilweise decodieren, denn wirklich lesbar sind die nicht. Auf jeden Fall nix legitimes. Was mich wundert, das das aus dem Microsoft-Netz kam.

[MSfree]

Was mich wundert, das das aus dem Microsoft-Netz kam.

Woran kannst du das erkennen?
nslookup liefert bei mir überhaupt nichts zurück und traceroute liefert nur bis zum 8. Hop lesbare Domainnames, danach nur noch Sternchen. OK, da ist dann auch msn darunter, aber das dürfte nur eine Zwischenstation nach Weitwegistan sein.

[heisenberg]

Was mich wundert, das das aus dem Microsoft-Netz kam.

Woran kannst du das erkennen?

Code: Alles auswählen

whois 72.144.140.235

NetRange:       72.144.0.0 - 72.147.255.255
CIDR:           72.144.0.0/14
NetName:        MSFT
NetHandle:      NET-72-144-0-0-1
Parent:         NET72 (NET-72-0-0-0-0)
NetType:        Direct Allocation
OriginAS:       
Organization:   Microsoft Corporation (MSFT)
RegDate:        2019-12-11
Updated:        2019-12-11
Ref:            https://rdap.arin.net/registry/ip/72.144.0.0

[cosinus]

Naja, auch Rechner, die eine "Microsoft-IP" haben sind ja nicht unverwundbar und können infiziert oder Teil eines Botnetzes sein.