La mafia estoniene attaque | Bitcointalksearch.org

Danydee

legendary

Activity: 2576

Merit: 1248

Quote from: linelec on June 04, 2014, 05:16:44 PM

Quote from: guigui371 on June 04, 2014, 05:09:01 PM

tu t'en rend compte comment ?
genre t'a un pop up qui te dis "vous vous faites scanner" ?

Tout - ou presque - est loggé

Quote

Tu n'as pas tes ports de fermés ? Ton firewall n'empêche pas ça ? Tu ne mets pas une fraiche install toute clean ?

Je prefere laisser la porte entre-ouverte

Ah! comme ca il peut aller les tuer et comme ca en finir une bonne foi pour toute . Grin

(c'est pas bête quand on y pense)

linelec

full member

Activity: 210

Merit: 100

*coin*

linelec

full member

Activity: 210

Merit: 100

Quote from: linelec on June 22, 2014, 03:22:57 PM

Creez un user et group pour le serveur web. Emprisonné dans son espace il n'y a aucun risque

idem en fait avec bitcoind

Et on peut le commander depuis son espace en ayant ~/.bitcoin/bitcoin.conf avec juste les lignes
rpcuser=****** rpcpassword=******* rpcport=*****

linelec

full member

Activity: 210

Merit: 100

...

Des (les?) distributions propose de mettre la racine dans ~/www ou ~/htdocs (donc "chez vous") et de lancer le truc en root.

Ne jamais faire cela

Creez un user et group pour le serveur web. Emprisonné dans son espace il n'y a aucun risque

Lancer sous son nom, par en root. Comme les users sont limité aux port > 1024 et que le service utilise le port 80 redirigez le bazar avec iptables.

linelec

full member

Activity: 210

Merit: 100

Rappel. N'appellez jamais vos wallets, "wallet" Cheesy

Je mets que les 100 dernier Grin

linelec

full member

Activity: 210

Merit: 100

Quote from: Bose75 on June 07, 2014, 02:16:38 AM

Rien ne dit que c'est des estoniens Grin

, un serveur avec une ip estonienne qui a été déjà hacké et qui est utilisé avec un script qui scanne des millions d'ip.

Bien pratique pour trouver des dumps de sauvegarde de bdd avec des noms bidons.

Depuis que bitcoind tourne sur ce PC ca attire du monde.

Les IP sont differentes mais le browser identique :

Mozilla/5.0 (Windows NT 6.3; WOW64; rv:28.0) Gecko/20100101 Firefox/28.0

Huh

+-----------------+-------------------------------------+ | ip | url | +-----------------+-------------------------------------+ | 36.231.254.208 | mx2.mail2000.com.tw:25 | | 111.161.0.73 | /uploads/ | | 41.78.224.6 | / | | 46.36.222.156 | /old.zip | | 117.173.198.199 | /old/ | | 86.51.26.16 | /database | | 218.204.159.36 | /security/xamppdirpasswd.txt | | 110.138.237.102 | //xampp/security/xamppdirpasswd.txt | | 62.210.114.107 | /dump.sql | | 217.12.113.67 | /backup.sql | | 61.7.186.38 | /backup.sql | | 125.227.158.17 | /cacti/graph_view.php | | 86.51.26.17 | /ftp/ | | 218.244.235.169 | /logs/ | | 89.28.73.163 | /admin/ | | 190.184.144.174 | /index.php |

Bose75

sr. member

Activity: 403

Merit: 250

Rien ne dit que c'est des estoniens Grin

, un serveur avec une ip estonienne qui a été déjà hacké et qui est utilisé avec un script qui scanne des millions d'ip.

Bien pratique pour trouver des dumps de sauvegarde de bdd avec des noms bidons.

linelec

full member

Activity: 210

Merit: 100

Quote from: superresistant on June 06, 2014, 07:21:25 PM

Alors tu vas faire quoi pour contrer ?

Rien. Si je veux le blocker il suffit de faire :

iptables -A INPUT -s 46.36.222.156 -j DROP

Mais je prefere le laisser gratter a la porte Cheesy

http://www.youtube.com/watch?v=A8yjNbcKkNY

superresistant

legendary

Activity: 2128

Merit: 1120

Alors tu vas faire quoi pour contrer ?

linelec

full member

Activity: 210

Merit: 100

Quote from: btcdrk on June 06, 2014, 04:25:00 PM

pourquoi ton script (honeypot) ne capture pas son user agent en plus de l'ip (si, si sa peut être utile)?

sinon sa viens d'un server/vps host ici http://fastvps.ee/

Ben si !

MariaDB [(none)]> select ip, browser from httpd.logs where net=1 and url like "%allet%" order by time desc limit 10; +----------------+--------------------------------------------------------------------------+ | ip | browser | +----------------+--------------------------------------------------------------------------+ | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | | 46.36.222.156 | Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) | +----------------+--------------------------------------------------------------------------+ 10 rows in set (0.00 sec)

btcdrk

member

Activity: 84

Merit: 10

Quote from: linelec on June 06, 2014, 04:11:07 PM

Quote from: btcdrk on June 06, 2014, 03:36:41 PM

maintenant tu a plus cas remercier leonarda de cette manière.

su
apt-get install hping3
hping3 -c 90000 -d 120 -S -w 64 -p 80 --flood --rand-source 46.36.222.156

[img]
J'ai regardé pour voir si bitcoind y tournait. Rien

Nmap scan report for test.host (46.36.222.156) Host is up (0.045s latency). Not shown: 992 closed ports PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 135/tcp filtered msrpc 139/tcp filtered netbios-ssn 445/tcp filtered microsoft-ds 8000/tcp open http-alt 8089/tcp open unknown 9091/tcp open xmltec-xmlmail

pourquoi ton script (honeypot) ne capture pas son user agent en plus de l'ip (si, si sa peut être utile)?

sinon sa viens d'un server/vps host ici http://fastvps.ee/

linelec

full member

Activity: 210

Merit: 100

Quote from: btcdrk on June 06, 2014, 03:36:41 PM

maintenant tu a plus cas remercier leonarda de cette manière.

su
apt-get install hping3
hping3 -c 90000 -d 120 -S -w 64 -p 80 --flood --rand-source 46.36.222.156

[img]
J'ai regardé pour voir si bitcoind y tournait. Rien

Nmap scan report for test.host (46.36.222.156) Host is up (0.045s latency). Not shown: 992 closed ports PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 135/tcp filtered msrpc 139/tcp filtered netbios-ssn 445/tcp filtered microsoft-ds 8000/tcp open http-alt 8089/tcp open unknown 9091/tcp open xmltec-xmlmail

btcdrk

member

Activity: 84

Merit: 10

maintenant tu a plus cas remercier leonarda de cette manière.

su
apt-get install hping3
hping3 -c 90000 -d 120 -S -w 64 -p 80 --flood --rand-source 46.36.222.156

linelec

full member

Activity: 210

Merit: 100

Quote from: superresistant on June 06, 2014, 02:17:38 PM

Je suis nul en Linux, comment est ce que je vois ce genre de log ?

C'est pas propre a Linux. Sur d'autres OS c'est la meme chose. Meme Windoz Grin

Suffit d'ajouter un script en tete de page. La c'est du PHP & Lighttpd
$site = $_SERVER['HTTP_HOST']; $url = $_SERVER['REQUEST_URI']; $browser = $_SERVER['HTTP_USER_AGENT']; $ip = $_SERVER['REMOTE_ADDR']; # etc, etc... $query = "INSERT INTO logs " . "(site, url, ip, referer, browser, net, ip_client, ip_forward) ". "VALUES('$site', '$url', '$ip', '$referer', '$browser', '$net', '$ip_client', '$ip_forward')"; $result = mysql_query($query, $base); # etc..... ?>

Apres il suffit d'aller faire des queries :
MariaDB [(none)]> select time, ip, url from httpd.logs where net=1 and url like "%allet%" order by time desc limit 10; +---------------------+---------------+----------------------+ | time | ip | url | +---------------------+---------------+----------------------+ | 2014-06-06 18:49:51 | 46.36.222.156 | /wallet.zip | | 2014-06-06 18:00:33 | 46.36.222.156 | /wallets/ | | 2014-06-06 18:00:11 | 46.36.222.156 | /wallet/ | | 2014-06-06 10:04:26 | 46.36.222.156 | /.bitcoin/wallet.dat | | 2014-06-06 10:03:55 | 46.36.222.156 | /.bitcoin/wallet.dat | | 2014-06-06 10:01:40 | 46.36.222.156 | /dat/wallet.dat | | 2014-06-06 10:00:29 | 46.36.222.156 | /bitcoin/wallet.dat | | 2014-06-06 09:59:45 | 46.36.222.156 | /backup/wallet.dat | | 2014-06-06 09:55:37 | 46.36.222.156 | /wallet.dat | | 2014-06-04 18:14:01 | 46.36.222.156 | /wallet.zip | +---------------------+---------------+----------------------+ 10 rows in set (0.00 sec)

http://www.lighttpd.net
https://mariadb.org

superresistant

legendary

Activity: 2128

Merit: 1120

Je suis nul en Linux, comment est ce que je vois ce genre de log ?

linelec

full member

Activity: 210

Merit: 100

| 2014-06-06 10:04:26 | 46.36.222.156 | /.bitcoin/wallet.dat | | 2014-06-06 10:03:55 | 46.36.222.156 | /.bitcoin/wallet.dat | | 2014-06-06 10:01:40 | 46.36.222.156 | /dat/wallet.dat | | 2014-06-06 10:00:29 | 46.36.222.156 | /bitcoin/wallet.dat | | 2014-06-06 09:59:45 | 46.36.222.156 | /backup/wallet.dat | | 2014-06-06 09:55:37 | 46.36.222.156 | /wallet.dat |

linelec

full member

Activity: 210

Merit: 100

Quote from: junetwo on June 04, 2014, 09:18:41 PM

Ça à l'air d'être le log d'un serveur web, dont l'adresse ip mentionnée à droite, a testé d'accéder (surement par bot), à différents dossiers (ex : www.site.com/backup.zip, etc).

C'est pas a proprement parler les logs du serveur mais le resultat d'un script qui est executé a chaque demande d'un chose inexistante. C'est quand même explicite et devrait etre capté sans precisions supplementaire sur un site de bitcoin. On est pas sur un site feminin Grin

junetwo

full member

Activity: 128

Merit: 100

We already dominate the world. Too late bro.

Quote from: guigui371 on June 04, 2014, 05:09:01 PM

tu t'en rend compte comment ?
genre t'a un pop up qui te dis "vous vous faites scanner" ?

Tu n'as pas tes ports de fermés ? Ton firewall n'empêche pas ça ? Tu ne mets pas une fraiche install toute clean ?

Ça à l'air d'être le log d'un serveur web, dont l'adresse ip mentionnée à droite, a testé d'accéder (surement par bot), à différents dossiers (ex : www.site.com/backup.zip, etc).

linelec

full member

Activity: 210

Merit: 100

Caught on CCTV: Moment 'polite and charming' Eastern European scammers stole £300 from woman at a cashpoint by pretending she had dropped £5 on the floor

http://www.dailymail.co.uk/news/article-2648289/Caught-CCTV-Moment-polite-kind-Romanian-scammers-stole-300-woman-cashpoint-pretending-dropped-5-floor.html

linelec

full member

Activity: 210

Merit: 100

Quote from: guigui371 on June 04, 2014, 05:09:01 PM

tu t'en rend compte comment ?
genre t'a un pop up qui te dis "vous vous faites scanner" ?

Tout - ou presque - est loggé

Quote

Tu n'as pas tes ports de fermés ? Ton firewall n'empêche pas ça ? Tu ne mets pas une fraiche install toute clean ?

Je prefere laisser la porte entre-ouverte

Topic: La mafia estoniene attaque (Read 2288 times)