HTTP_REFERER > unnatürlich viele .ru Besucher. Was soll das?

[frunobulax]

Guten Tag,

ich zeichne schon lange die Besucher mit php HTTP_REFERER auf.

In letzter Zeit häufen sich Besucher, meist mit Ursprung unterschiedlicher russischer Domains
mit kyrilischer Schrift und meistens mit ip aus der Ukraine immens. Etwa 20 mal soviel wie vorher.

Das war ursprünglich nur so eine Art Kontrolle welche Seiten/Suchmaschinen dahin verlinken.,
welche Suchmaschinen oft verwendet werden, etc...

Aber auf den russischen Seiten finden sich keine links zu mir.

Man kann auch problemlos Referrer vortäuschen. Aber warum besuchen so viele Ukrainer
eine Seite in deutsch für Bastelartikel?

Aber was soll das? Es bringt doch eigentlich nur, dass ich auf russische Seiten hingewiesen
werde, oder?

Würde mich freuen wenn jemand 'ne Erklärung dafür hat.

Grüße,
Thomas

 

[mermshaus]

Willkommen im Forum.

Da kann man letztlich nur spekulieren. Das könnten Bots sein, die nach ausnutzbaren Schwachstellen suchen. Vielleicht basteln die da auch einfach gerne.

Aber auf den russischen Seiten finden sich keine links zu mir.

Das spricht natürlich mehr für irgendwas Automatisches. Vielleicht ist's eine Form von SEO. ;)

 

[Cheffchen]

Hallo,

also sowas hatte ich auch mal, das waren Bots bei mir die versucht haben mein Gästebuch zu knacken.
Das Lies nach ca. 6 monaten nach :O).

Cheffchen

 

[frunobulax]

Danke für die möglichen Beweggründe. Allerdings gibts da insgesamt nichts zu holen, außer vielleicht Adressen bei der Bestellung. Da genügt eigentlich auch ein Telefonbuch. Die Bezahlung erfolgt per Vorkasse. Die Kunden bekommen die Kontodaten zugemailt. Kein Gästebuch.
Ein FTP-Passwort zu knacken ist bestimmt auch nicht so schwer. Es ist im Prinzip so, als würden sie eine Seite des Typs "hier entsteht eine
Internetpräsenz" immer wieder, möglicherweise automatisch, aufrufen. Diese .ru Referrer-Besucher sind schon lange da, allerdings wesentlich
seltener. Nicht mehr 2 pro Tag, sondern jetzt 50 und mehr mit etwa 30 .ru oder was russisches.com Referrer und 5 ips aus der Ukraine.
Thomas

 

[struppi]

Du solltest, wenn du hast, nicht nur die IP und den refferer anschauen, sondern auch wie die Anfrage aussieht, dann könnte man mehr sagen.

Und wegen der Gefahr, es muss nicht sein, dass sie auf Daten scharf sind, selbst die Russen Wissen, dass du nicht Sony bist. Sondern die wollen vermutlich deinen Server kapern. Sei es um ihn als Spamschleuder zu benutzen oder auch als Host für Illegale Daten. Und wenn auf deinem Server KiPo lagert, wird's duster.

Jetzt heißt es mögliche Schwachstellen finden. Das können alle Installierte PHP Dateien und Skripte sein. Aber auch von deinem Hoster benutze Tools zum administrieren.

 

[frunobulax]

Also mehr als 1000 "Besuche" binnen einen Monats etwa 400 verschiedene kyrilische Referrer. etwa 200 ips, meist aus der Ukraine. Kein Suchbegriff. manchmal 5 mal hintereinander der selbe Referrer und ip binnen 5 min. Sind soviele "Besuche" wirklich nötig um einen 1&1 server zu knacken? Die Schwachstellen dürften ja bekannt sein. Soweit ich 1&1 kenne geben die sich auch Mühe Schwachstellen zu schließen. Beim letzten Billiganbieter war das immer eine Plage mit iframes 1x1 px aus Korea

PS: Gemäß den Nachrichten knacken Profis ja alles

 

[mermshaus]

Da sitzt niemand gezielt und versucht, sich in deinen Webspace zu hacken.

Das ist vermutlich ein Bot oder ein Botnetz, das eine Liste von URLs hat, die alle naselang automatisch abgerufen und auf angreifbare Schwachstellen im Code abgeklopft werden.

 

[Asterixus]

http://www.html.de/server-apache-co/37401-logs.html