Het is daarom goed om af en toe te kijken wie je blog zoal bezoekt, en wat ze zoeken. De meesten lezen je blog, daar schrijf je het voor. Als je niet wil dat de hele wereld het leest, moet je het er niet op zetten.
Er zijn echter bezoekers die helemaal niet komen om te lezen. Het zijn zelfs geen mensen, maar machines. De meeste machines zijn goedaardig, het zijn gewoon zoekrobots die je site indexeren, om wat voor reden dan ook.
Als ze iets zoeken dat er niet op staat, wordt het tijd om te gaan opletten. Misschien heb je een keer een blogje verwijderd, maar het kan ook een hacker-script zijn, dat op zoek is naar een bekend lek.
Deze was op zoek naar een theme dat ik nooit gebruikt heb. Daar gaan de alarmbellen van rinkelen. Even kijken of hij vaker op bezoek geweest is :
Yep, 40 keer, en steeds zoekt hij dat ene file-tje dat kennelijk onderdeel is van verschillende themes.
Even Googelen op de naam van dat file-tje : timthumb.php
Bingo. Het regent waarschuwingen.
Heel slim spreidt hij zijn bezoeken over de tijd, want bij OBA zou fail2ban hem meteen signaleren als hij te snel achter elkaar error 404 genereert.
Nu eens kijken waar 37.1.207.22 vandaan komt :
Juist. Een hostingprovider die computerruimte verhuurt aan derden.
Er staat een e-mail adres bij waar je waarschuwingen heen kan sturen.
Gedaan, hopelijk een crimineel minder. Tegen de lamp gelopen bij een huis-tuin-en-keuken blogje.
Soms zit het tegen.
update 26-01-2013
OBA had ook last van zulke bezoekers. Het is hinderlijk, omdat files die we niet hebben nooit in de cache zitten en dus veel verkeer naar de achterliggende server sturen. Ik heb een extra rule gemaakt voor fail2ban. Dat was niet moeilijk, afgezien van het feit dat fail2ban nogal buggy is.
Dit werkte :
failregex =
Het ziet er niet fraai uit, dat weet ik, maar het was het enige dat wilde werken.
fail2ban heeft een testtool ( fail2ban-regex ), maar dat geeft niet dezelfde uitkomst als de server zelf, dus er zit niets anders op dan te experimenteren.
Leave a Reply