[linux] Re: Apache: Afsluiten van HEAD?

[Hugo van der Kooij]

On Fri, 15 Apr 2005, J. wrote:

> Ik denk.. Nogmaals ik denk.. Dat Hugo bedoelt dat ie last heeft van www
> bots die 't www afscannen naar bijv. CGI lekken . M.b.v. brute force
> taktieken. Men ziet dan een hoop regels in de logfile als:
> 10.10.10.10 - - [18/Oct/2000:08:22:47 -0700] "HEAD /cgi-bin/test-cgi
> HTTP/1.0" 200 0
> 10.10.10.10 - - [18/Oct/2000:08:23:47 -0700] "HEAD
> /%63%67%69-bin/test-%63%67%69 HTTP/1.0" 200 0

Webspammers sturen stapels request zonder belang te hebben bij het
antwoord. Het enige wat ze willen is hun porno/sjoemel/.... site via het
referer veld ergens op jouw webserver krijgen. En door tig request te
sturen hopen ze op een top 10 notering. (Webalizer laat al tijden geen
referer info meer zien maar dat schijnt ze niet meer te boeien.)

voorbeeld verzoek:

62.141.52.70 - - [12/Apr/2005:19:52:00 +0200] "HEAD / HTTP/1.0" 403 -
"http://www.kfzversicherungen.de.ki/" "Mozilla/5.0 (Windows; U; Windows NT
5.0; de-DE; rv:1.7) Gecko/20040626 Firefox/0.9.1"

In dit geval al gestopt omdat ik het IP adres heb geblokt. Maar aangezien
dit ongeveer net zoveel voorkomt als ssh pogingen en ook van onbeveiligde
linux machines die dus onder 'new management' staan is het onwerkbaar om
op IP (alleen) alles te stoppen.

Omdat de advertentie methode bijna gelijk is aan email spam heb ik het web
spam gedoopt. Maar de uitvinding is bepaald niet exclusief van mij.


Hugo.

-- 
	I hate duplicates. Just reply to the relevant mailinglist.
	hvdkooij op vanderkooij.org		http://hvdkooij.xs4all.nl/
		Don't meddle in the affairs of magicians,
		for they are subtle and quick to anger.