Viele seltsame 404 Seiten – Spam, Hacking, Virus oder was könnte das sein?

Hallo Tanja,

du wirst lachen, dass hat mich in diesen Tagen auch stutzig gemacht. Von der Zugriffsanzahl her ist es bei mir geringer, aber bei mir wird versucht, die folgende URL abzufragen:

/images-global/zoom/spacer.gif

Und das ca. 1000 mal die letzten paar Tage, aber immer mit einem anderen Bild?

Komisch?

Gruß

Matthias

Ich habe solche Bots auch auf meinen Domänen und sie versuchen das gleiche Spiel. Ergänzt noch um den Versuch, die Seiten mit seltsamen anderen Parametern aufzurufen.

Meiner Meinung nach haben diese Bots zwei verschiedene Ziele:
a) Die Abfragen der Art “error=…” und dann eine schöne fremde Url suchen nach einer Möglichkeit, einen Redirect auf eine andere Seite zu provozieren. In der Shop-Software ist beispielsweise eine redirect.php enthalten, die mit passendem Parameter auf eine andere Seite weiterleitet. Das war mal gedacht für die Linkgeizer, da die dann aus der Domäne nicht verlinken, sondern weiterleiten konnten. Tja, wer diese redirect noch drauf hat, ist ein ideales Opfer für Spam-Versender. Das geht dann so: Schmutzigen Text mit Links erzeugen, darin eine seriöse Domäne als Link nehmen und dann weit rechts das eigentliche Ziel über ein Redirect ansteuern. Nun hat natürlich diese redirect.php heute kaum noch jemand drauf, also muss man etwas tiefer schürfen. Wer also mit einem Parameter error= zu einer anderen Seite weiterleitet, ist als Opfer genauso gut geeignet. Ich bin sicher, es gibt irgendein Standard-System, dass diese Eigenschaft hat. Wordpress ist es allerdings nicht.

b) Weitere Stichpunkte sind Cross-Side-Scriptiing und SQL-Injection. Für uns ist SQL-Injection am gefährlichsten, da der Angreifer Kontrolle über die Domain erlangen könnte. Hierbei wird versucht, einen Parameter zu übergeben, der vom System ungeprüft in eine SQL-Abfrage eingebaut wird. Das sind dann allerdings andere Aufrufe als die oben stehenden. Finde ich bei uns aber auch gelegentlich.

Fazit: Meiner Meinung nach besteht bei den obigen Aufrufen für den Blog keine Gefahr. Der Bot sucht einfach nur so lange, bis er eine Domäne findet, die sich für die Zwecke des Spam-Versandes eignet. Vermutlich nimmt dieser Spuk auch kein Ende, da es wohl nicht ein Bot ist, sondern eine Software, die von vielen Spammern eingesetzt wird. Und jeder kleine Spam-Wichtel, der etwas auf sich hält, sucht dann wohl mit seiner Software nach neuen Opfern. Ich würde die Mailbenachrichtigung rausnehmen. Außer Datentransfervolumen erzeugt dieser Bot keinen Schaden.

Im Standard osCommerce ist beispielsweise eine redirect.php mit folgenden Text (zumindest damals gewesen):
case ‘url’:
if (isset($HTTP_GET_VARS['goto']) && tep_not_null($HTTP_GET_VARS['goto'])) {
tep_redirect(‘http://’ . $HTTP_GET_VARS['goto']);
}
break;

Damit kann dann jeder Spamversender den Link verschleiern. Nach Code in dieser Art suchen die Bots.

Das hat nichts mit Hacking zu tun, sondern ist einfach nur Spam. Bei manschen Statistik-Tools steht nach einem Aufruf wie zum Beispiel “meineurl/http:/www.enzymologie.de/Men-Health-Best-Fett/1review/3499620510.html” die Seite “http:/www.enzymologie.de/Men-Health-Best-Fett/1review/3499620510.html” als Referer oder sonstwas in der Statistik.

Die Spammer benutzen dies als Werbung, um so einige Leute auf die beworbene Seite http:/www.enzymologie.de/Men-Health-Best-Fett/1review/3499620510.html zu ziehen. Ganz billige Werbung, mehr nicht!

ui, da hab ich wohl etwas früh auf “Kommentar abschicken” geklickt:

Damit wollen die Botbetreiber wohl, dass einige Statistik-geile Webmaster die Url aufrufen.

Übrigens habe ich oben “manche” schreiben wollen, “mansche” kam aber raus

Nun ja Einbindungsversuche von id.txt oder ähnlichem hat für mich nichts mehr mit Referer Spam zu tun. Das wird schon was ausgetestet.

Die Mails mögen jetzt noch nicht nervig sein, aber da Bots die Ursache sind, können aus 300 Zugriffen auch 30.000 werden. Und so viel ich weiß sind Mailserver deutlich schneller überlastet als der Webserver. Hier droht also Ärger mit dem Provider.

Aus diesem Grund würde ich grundsätzlich empfehlen, diese Informationen in eine Datei zu schreiben, statt sie per Mail zu versenden. Das ist einfach für die betroffene Seite etwas sicherer.

Hmmm nun hab ich mal ganz ängstlich in meine Logfiles geschaut und zum Glück keine Unmengen an 404er gefunden, dafür aber etwas anderes…

Hat also erstmal nix mit der Indexierungsgeschichte zu tun, da gibts bei mir leider auch nichts neues zu vermelden :-/

Das “etwas Andere” ist eine Fehlermeldung, die mir leider erstmal garnichts sagt. Das werde ich mir morgen oder im Laufe der Woche aber mal anlesen, jetzt ist erstmal Zeit fürs Bett.
Sollte die Lösung zufällig die Entfernung der entsprechenden Zeilen sein, dann ist ja einfach
Ich lass einfach mal die Zeilen hier liegen, vielleicht stolpert ja nen Profi drüber *lieb-guck*
[error] PHP Notice: XML error: Invalid document end at line 3, column 1 in meineURL/wp-includes/class-simplepie.php on line 1791
[error] PHP Notice: A feed could not be found at (http://channel.wordpress-deutschland.org/rss-dashboard.php in meineUR/wp-includes/class-simplepie.php) on line 1680

Da bin ich jetzt ehrlich gesagt etwas beruhigt, weil das bei mir mit den 404ern auch massiv zugenommen hatte die letzten Tage über; bin mal gespannt, ob wir heraus bekommen, woran das liegt

Interessant, welche Gedanken Spammer so in sich tragen. Glauben die wirklich, dass ein Webmaster, der die Error.Log seines Webservers durchschaut, tatsächlich jede URL im Browser nachguggt, die dort gefunden wird?

Ich persönlich habe ehrlich gesagt noch NIE geschaut, wo ein 404er-Error herkommt. Der Referer war mir genauso Schnuppe wie etwaige URLs, die bei irgendwelchen Hacking-Versuchen als Weiterleitungsziel angegeben waren. Sowas nimmt man zur Kenntnis und prüft den Hack mit einer “sauberen” URL, von der man weiß, dass nix passieren kann, wenn sie aufgerufen wird…

Aber egal, gibt ja alles in dieser Welt, also warum nicht auch Webmaster, die auf solche Scherze reinfallen.

Ohne mich zur sehr aus den Fenster lehnen zu wollen würde ich sagen das, das nur Spam ist. Ist sicherlich ärgerlich aber es macht kein Schaden. Übrigens solange du nicht mindestens 5000 solche Aufrufe am Tag bekommst, macht es auch dein Server nichts aus

@Peter:

Ich würde mich sogar noch weiter aus dem Fenster legen und sagen, 5000 pro Stunde oder pro Minute sollten dem Server auch recht wenig ausmachen Wenn doch, dann ist irgendwo was falsch.

@Kim
Also bei 5000 Anfragen pro Minute könnte ich mir durchaus vorstellen, dass Leistungseinbrüche am Server zu spüren sind! Er muss ja nicht gleich komplett abrauchen, dass nichts mehr geht, aber bei über 80 Anfragen pro Sekunde von nur einer Quelle, wird jeder Server früher oder später lahmen…
Es sei denn du hast natürlich für dein kleines Blog-Privat-Vergnügen (nicht negativ gemeint) eine unter normalen verhältnissen total überdimensionierten Server!

@MeinProblem
Bin leider noch zu nichts gekommen…hab mal wieder wenig Zeit und nur nen Schmalbandanschluss – 56k lebt :-/

@mr.gene:

Nunja, ich hab’s jetzt mal noch nicht ausprobiert, aber 5000 Anfragen pro Minute ergibt knapp 87 Anfragen pro Sekunde… Ok, das könnte, wenn erst das PHP anlaufen muss um die Datenbank zu befragen, ob’s denn die Seite auch gibt, in der Tat ein wenig zu nem Engpass führen *zwinker*, hast mich da überzeugt… aber 5000 pro Stunde sollten wirklich kein Problem darstellen, denn das sind gerade mal knapp 1,4 Anfragen pro Sekunde. Die sollte jedes noch so grottig konfigurierte Webserver-Teil hinbekommen.

Andersherum: Ich kenne Webserver, über die werden Kursanmeldungen abewickelt, die kommen auf >100 Anfragen pro Sekunde und hier geht auch “nur” die Hälfte der Anfragen in die Hose… ok, das ist wiederum nicht vergleichbar mit einem System bei nem Webhoster… auch wenns vergleichbare Hardware ist – dieses System ist “dediziert” nur für diesen einen “Kunden” da, beim Webhoster haste auf solch einem System mal 100 bis 200 Kunden…

Aber 404er-Fehler sollten erstmal niemanden beunruhigen… kritischer sind andere Status-Werte, nämlich welche, die trotz schwachsinniger Anfrage eine erfolgreiche Auslieferung von Daten repräsentieren.

@Crazy Girl:

Auch wenn es dir jetzt wieder ein wenig Bauchweh bereiten wird, weil du die Webmastertools von Google nicht magst *zwinker*: Mir persönlich reicht es, wenn ich die dort verzeichneten 404er-Fehler “behandele” und deren Ursachen aus dem Weg zu räumen versuche (wenn ich es selbst verursacht haben sollte, ist sowas ja wesentlich einfacher, als wenns “extern” passiert.

Bei anderen 404ern interessiert mich primär nur, um welche Attacke es sich handelt und ob mein Server entsprechend auf dem Patchstand ist, um dieser Attacke stand zu halten.

Was mein Blog angeht, habe ich hier leider keinen Einfluss auf den Server selbst, dafür ist der Hoster da – der jedoch seinen Job bisher immer sehr vorbildlich gemacht hat.

“Dientlich” sieht die Sache da anders aus, jedoch lösen wir dort solche Probleme einige Ebenen tiefer: Da wird die Firewall entsprechend angewiesen, diese oder jene Quelle auszusperren und das wars dann im Groben schon auch für die Server, die hinten dran sitzten. Klar ist auch hier die Bemühung, die Server auf dem aktuellen Stand zu halten, aber als erste recht wirksame Maßnahme hält man sich den unerwünschten Traffic auf diese Art erst mal vom Hals.

@Crazy Girl: Ich sagte ja nicht, dass du sie nicht nutzt, sondern dass du sie nicht magst Ich kann mich an einen Kommentar von dir erinnern (kann ihn nur auf die Schnelle in deinem Blog nicht mehr finden), in dem du sagtest, dass du in der Vergangenheit schlechte Erfahrungen mit den WMT gemacht hättest, weil es wegen Vorfällen bei einer deiner Domains zur Abstrafung aller Domains, die du über die WMT verwaltet hattest, kam…

Darauf spielte ich ein wenig spitz an Ich habe nicht gesagt, dass du sie nicht nutzen würdest.

Hey CrasyGirl,

ich habe damals auch meine htaccess mit der 404 Funnktion auf die Startseite verwiesen und mein Traffic ist explodiert. Ich hatte über 50 GB Traffic in einem Monat der nur durch Bot´s und Spieder entstanden ist, weil immer wieder ein “Loop” gefahren wurde. Dementsprechend habe ich das umgehend geändert und mein Traffic hat sich beruhigt.

D.h. lieber lasse ich die leere 404 anzeigen als das es immer zur Startseite wechslet.