云豆不够了?

今天早上SAE突然给我发邮件说我的云豆预计7天内用完!逗我呢。。我可是每个月10k云豆的人啊,绝对有问题。马上开电脑看,发现我的一个php架构的网站这个月7天用了5000+的云豆,之前的平均水平应该是在每日几十而已。 云豆

这样不科学,我们肯定要查看为什么,通过SAE的计费统计-资源报表来进行查看,发现HTTP的流出流量巨大,而且流入流出差距非常大。

流量

那么问题就处在这里了,那我们得马上去看访问日志了安全与运维-日志中心查看HTTP请求,这里我们就可以发现最近10k的请求都来自哪里,访问了哪些页面,访问类型等,可以说是很全的,还提供下载功能。

这时候我们可以发现所有的请求都在访问一个list.php的页面,很好,我们马上就找到问题了。

抓出元凶

上文提到了list.php这个文件,我们通过日志清楚的看到,有人在对他进行get和post请求,而且还有数字和like,猜测是爬虫或者是机器木马以及sql注入。

日志

wp.chenjia.me 188.165.15.66 144841 90 [05/Jan/2015:00:09:02 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2081&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387742982432 yq24
wp.chenjia.me 188.165.15.66 217763 143 [05/Jan/2015:00:09:38 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2098&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387778914382 yq22
wp.chenjia.me 188.165.15.66 280660 160 [05/Jan/2015:00:09:57 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2075&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387797767577 yq22
wp.chenjia.me 188.165.15.66 244504 183 [05/Jan/2015:00:10:26 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2068&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.66.1420387826118131 yq48
wp.chenjia.me 188.165.15.209 228733 80 [05/Jan/2015:00:11:08 +0800] clever4u 943 1 "GET /somepages/liuyan/list.php?id=2026&like=1 HTTP/1.0" 200 1758912 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 188.165.15.209.1420387868681249 yq24

日志中我们获得了攻击者的ip以及http的头部信息,通过查询http://ahrefs.com/robot/我们发现这是一个正规的网站,也就是说攻击者仿照了这个头部信息而已(事实上这也是非常简单的)

好奇一下他们在我的网页留下来了好多信息,还好我在网页留言的时候后台记录了发布者的ip和时间,我们通过查询数据库可以看到。以下内容。

(2269, 'AImiQwNlahFndy', 'SyvyvzufCMvuz', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#cialiscanadian">cialis 20mg canadian</a>, <a href="http://canadianpharmacyrxbest.com/#howtoordercialisincanada">free cialis in canada</a>, <a href="http://canadianpharmacyrxbest.com/#genericviagracialiscanada">canadian pharmacy cialis soft tabs</a>, <a href="http://canadianpharmacyrxbest.com/#buycialisonlinecanadapharmacy">cialis canada over counter</a>, <a href="http://canadianpharmacyrxbest.com/#achetercialisaucanada">mail order cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialissalesonlinecanada">pharmacie francaise en ligne cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cialiscostincanada">how to order cialis from canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialispricesincanada">purchase cialis in canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialisuspharmacy">cialis online canada reviews</a>, ', 1, 1, 2, '94.153.11.98', '2015-01-05 22:18:39', NULL),
(2270, 'wtVcdABQmufsTrhV', 'keIWGoWmNRKKdxgrYNl', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#onlinepharmacycialisreviews">cheap canadian cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cialisprofessionalcanadianpharmacy">cialis uk pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#onlinepharmacywwwbuycialisusa">reliable online pharmacy cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cialis5mgfromcanada">cialis canada pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#canadacialisprices">canada viagra cialis</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmaciessellingcialis">buying real cialis online canada</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmacycialischeap">real cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#canadiangenericcialis">canada pharmacy drugs cialis</a>, ', 1, 2, 2, '94.153.11.98', '2015-01-05 22:26:12', NULL),
(2271, 'YzfMXRrCh', 'XvizwRTzT', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#canadianpharmacyviagraandcialis">canada pharmacy cialis online</a>, <a href="http://canadianpharmacyrxbest.com/#bestonlinepharmacytobuycialis">canadian cialis for sale</a>, <a href="http://canadianpharmacyrxbest.com/#cialisbrandedcanadianpharmacy">cialis and viagra from canada</a>, <a href="http://canadianpharmacyrxbest.com/#onlinecialisincanada">canadian pharmacy with cialis</a>, <a href="http://canadianpharmacyrxbest.com/#onlinecialiscanadian">canadian pharmacy cialis 10mg</a>, <a href="http://canadianpharmacyrxbest.com/#cialisinternetpharmacy">pharmacie francaise en ligne cialis</a>, <a href="http://canadianpharmacyrxbest.com/#cheapcialiscanadapharmacyonline">cialis canada over counter</a>, <a href="http://canadianpharmacyrxbest.com/#buyingcialisonlineincanada">canadian cialis reviews</a>, <a href="http://canadianpharmacyrxbest.com/#bestonlinepharmacycialis">how much does cialis cost in canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialisfordailyusefromcanada">cialis vs viagra canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialisbrandcanadadiscount">pharmacie francaise en ligne cialis</a>, ', 1, 1, 1, '94.153.11.98', '2015-01-05 22:40:41', NULL),
(2272, 'moyJWBpSRJEiqYCu', 'xUqloQDwcdMfZv', '2015-01-05', ', <a href="http://canadianpharmacyrxbest.com/#cialisvsviagracanada">cialis in canada over the counter</a>, <a href="http://canadianpharmacyrxbest.com/#cialisviagracanada">cost cialis walmart pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#cialisviagraonlinecanada">viagra cialis canadian pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#cheapgenericcialisfromcanada">cialis canada mail order</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmacyviagra+cialis">pharmacy cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#canadianpharmacompaniescialis">cialis professional canadian pharmacy</a>, <a href="http://canadianpharmacyrxbest.com/#bestonlinepharmaciesforcialis">cialis by mail canada</a>, <a href="http://canadianpharmacyrxbest.com/#cialispillsincanada">is canadian cialis safe</a>, <a href="http://canadianpharmacyrxbest.com/#cialiscanadabuy">real cialis canada</a>, <a href="http://canadianpharmacyrxbest.com/#mailordercialiscanada">20 mg cialis canada</a>, ', 1, 1, 1, '94.153.11.98', '2015-01-05 22:47:54', NULL),

很明显的随机生成,留言的内容都是<a>标签,留下的网址都是同一个,也就是加拿大的xx医药网址(18+)的,很明显是一个推广机构在用,查询到的ip也是各种各样的~那么通过比对发现应该只有一到二个软件在攻击,不过流量巨大,每日请求的次数由几百次到几千次不等。

后续

  1. 我修改了一下留言的地址,然后在原来地址上留了一个纯文本来勾引spider,我看看攻击人的维护时间。
  2. 我用数据库里面的留言数据在Google中进行搜索,发现很多大陆网站的留言区都被写入过,高度怀疑和wp的自动留言机器是同一个类型的恶意推广模式。
  3. 使用开源框架或者内嵌开源框架一定要做好一些变化或者流量监控,互联网的nmap扫描太多了,很有可能你的网站的某一个功能就被robot给记录了。
  4. 自己的完整还是每天都来看看,发现异常的情况应该及时修改,我的这个list在我旧的主机的时候已经有了,可是那时候以为是有些人搞笑的就没太在意。
  5. 善于使用平台提供的工具,本地数据分析sublime就很方便~文本处理还是很快的。

列出PHP文件夹下的所有文件

2014-10-07(Tue) by chenjia.me

目的

实现和FTP服务器一下一个简单的文件列表,便于我们查看服务器的文件。

也是开源必备的文件

实现 …

read more

【2014年8月14日】关于正则表达式的一些事情

2014-08-15(Fri) by chenjia.me

PHP中正则表达式的用法

read more