[решено] Подозрительная активность на сайте

Sham · Отправлено: **13:30, 26-03-2014** | #2

имхо в движке мб какой-то бэкдор, который отсылает параметры куда-то на сервер (мб ботнета). Фантазии кончились.
Скрипты качайте только с официальных сайтов. Не ставьте сомнительные плагины и тд.

rip88 · Отправлено: **13:42, 26-03-2014** | #3

Да черт его знает. В том и дело, что плагинов-то больше не ставили. Сейчас вообще ни один плагин не работает.
+ ко всему непонятно, кто и зачем регистрировал домен oldipolza.ru, чтобы сделать редирект на адрес нашего сервера? Смысл в этом какой?

Sham · Отправлено: **14:02, 26-03-2014** | #4

да нет, в host можно любой домен прислать по желанию. Это ваш сервер должен реагировать только на правильный host. Протокол же...

rip88 · Отправлено: **14:05, 26-03-2014** | #5

В апаче прописано открывать только по запросу адреса моего сервера. Потому и предположил, что это именно редирект, т.к. в противном случае бы сайт не открылся. Вы именно об этом спрашивали?

Sham · Отправлено: **14:49, 26-03-2014** | #6

Цитата rip88:

В апаче прописано открывать только по запросу адреса моего сервера »

ServerName в <VirtualHost> либо проверять host в переменных (можно по разному). Не помешает <VirtualHost _default_:*> - дефолтный, где отдаётся ошибка к примеру. http://httpd.apache.org/docs/2.4/mod...ml#virtualhost

нужно все данные заголовков проверять на правильность. Через неправильный host можно уязвимости поискать, если например он необработанный суётся в страницу.

rip88 · Отправлено: **15:35, 26-03-2014** | #7

В apache2.conf у меня прописан include virtual host configuration. В нем только sites-enabled/ и conf.d/. В conf.d только настройки по phpmyadmin, которые проверил - чисто. Посмотрел sites-enabled - в нем только файл моего сайта. Проверил файл сайта - только мои домены прописаны. Т.е.:
<VirtualHost *:80>
ServerName www.имя-сайта.ru
ServerAlias имя-сайта.ru

Ну и вроде остальное чисто.

Sham · Отправлено: **16:28, 26-03-2014** | #8

либо нужен альтернативный <VirtualHost *:80> с другим ServerName, чтобы отловить там левые запросы, либо пробуйте добавить типа этого в vhost

Код:

<If "%{HTTP_HOST} !~ /site\.ru$/">
    Require all denied
</If>

это не отменяет того, что нужно искать дыры в софте.

rip88 · Отправлено: **16:38, 26-03-2014** | #9

Прописал в htaccess следующее:
RewriteEngine On
RewriteCond ${HTTP_REFERER} oldipolza.\ru [NC]
RewriteRule .* - [F]
Теперь с oldipolza нельзя перейти на сайт.
И на oldipolza больше ни картинок не грузится, ничего.
Но все равно хотелось бы узнать мнение, что это и для чего? И как вообще можно бороться с этим? Ну писать регистратору там, например, с жалобой, или еще что-то. Так что тема пока открыта.

Sham, спасибо за рекомендацию. Куда конкретно это прописывать необходимо?
Я прописал VirtualHost немного иначе - указал IP адрес локальной сети. Проброс 80 порта идет через firewall. И каким образом другой VirtualHost поможет отловить левые запросы? Я просто не так силен в apache, как того хотелось бы.

Sham · Отправлено: **17:00, 26-03-2014** | #10

1. mod_rewrite не для этих целей.
2. Хост (как и реферер) мб любым, не обязательно указанным.

Цитата rip88:

другой VirtualHost поможет отловить левые запросы? »

апач выберет из *:80 сначала по ServerName, потом по порядку, который выше (этот для отлова).