{"id":387,"date":"2007-01-04T22:51:42","date_gmt":"2007-01-04T21:51:42","guid":{"rendered":"http:\/\/www.glorf.it\/blog\/2007\/01\/04\/allgemein\/wordpress-attacken-wegen-aktivierter-permalinks-software-guide"},"modified":"2007-01-05T08:05:07","modified_gmt":"2007-01-05T07:05:07","slug":"wordpress-attacken-wegen-aktivierter-permalinks-software-guide","status":"publish","type":"post","link":"http:\/\/www.glorf.it\/blog\/2007\/01\/04\/allgemein\/wordpress-attacken-wegen-aktivierter-permalinks-software-guide","title":{"rendered":"WordPress: Attacke mit Anführungszeichen"},"content":{"rendered":"

Aufgrund des Postings "WordPress: Attacken wegen aktivierter Permalinks<\/a>" im Software-Guide-Blog habe ich ebenfalls das dort erwähnte 404-Plugin für WordPress<\/a> installiert. Es hat zwar seine Schwächen, aber dennoch bin ich dankbar. Denn auch bei mir förderte es heftige Angriffe auf meine Webseite zu Tage. Und ich hatte mich schon über die plötzliche Beliebtheit<\/em> meiner Seite gefreut… \ud83d\ude09<\/p>\n

Beispielsweise gab es alleine über 300 "Zugriffe" (oder sollte ich Angriffe sagen?) von der IP-Adresse "202.179.183.28". Die Analyse des Problems konnte leider nicht mit dem Plugin durchgeführt werden. Dazu habe ich ganz einfach die Log-Files ausgewertet.<\/p>\n

Dabei habe ich mehrere Typen von Angriffen identifiziert. Hier beschreibe ich mal den ersten Typus.<\/p>\n

Es kamen unheimlich viele Zugriffe der Art (von nur wenigen IP-Adressen, aber über den ganzen Tag verteilt – vermutlich damit es nicht auffällt):
\n
\n\/blog\/2006\/10\/28\/sql-talk\/%22%22
\n\/blog\/2006\/07\/25\/webtech\/%22%22
\n\/blog\/2006\/07\/08\/entspannung\/%22%22
\n\/blog\/2006\/08\/10\/webtech\/%22%22
\n\/blog\/2006\/09\/06\/sql-talk\/%22%22
\n\/blog\/2006\/07\/18\/allgemein\/%22%22
\n\/blog\/2006\/08\/08\/allgemein\/%22%22
\n\/blog\/2006\/08\/08\/sql-talk\/%22%22<\/code><\/p>\n

Am 2.1.2007 von:
\n202.179.183.28 – Korea (NHN)<\/p>\n

und am 3.1.2007 von:
\n222.122.195.251 – Korea (Korea Telecom)
\n202.179.183.28 – Korea (NHN)<\/p>\n

Leider sieht man in den Logfiles nicht das komplette abgeschickte Kommando, deswegen weiß ich nicht, was genau dahinter steckt. Ich schaffte es auch nicht aus Google etwas Nützliches rauszukitzeln. Wenn man aber weiß, dass ASCII<\/a> 22 (Hex 22) einfach nur das doppelte Anführungszeichen (") ist, dann kann man sich denken, wie der Anfragestring weiterging… Gar nicht so dumm. <\/p>\n

Wenn man dem Empfänger mit dem Anführungszeichen erst mal Glauben gemacht hat, dass die URL zu Ende war, dann kann man ihm danach unter Umständen noch ein paar Gemeinheiten unterjubeln. Man kann beispielsweise versuchen eine Lücke auszunutzen, z.B. einen Buffer-Overflow<\/a>. Hat WordPress einen Bug in der Richtung? Das man nicht einfach nach "%22%22" suchen kann, erschwert die Nachforschungen erheblich.<\/p>\n

Was tun?<\/strong><\/p>\n

Dem Vorschlag von Michael folgend, habe ich jetzt mal meine .htaccess-Datei erweitert:<\/p>\n

RewriteEngine On
\nRewriteRule \\"\\" – [F,NE]<\/code><\/p>\n

Ich hoffe, dass ist hinreichend entmutigend für die Eindringlinge. Die Analyse hat zwar Spaß gemacht, aber eigentlich wollte ich heute Abend andere Dinge posten…<\/p>\n","protected":false},"excerpt":{"rendered":"

Aufgrund des Postings "WordPress: Attacken wegen aktivierter Permalinks" im Software-Guide-Blog habe ich ebenfalls das dort erwähnte 404-Plugin für WordPress installiert. Es hat zwar seine Schwächen, aber dennoch bin ich dankbar. Denn auch bei mir förderte es heftige Angriffe auf meine Webseite zu Tage. Und ich hatte mich schon über die plötzliche Beliebtheit meiner Seite gefreut… […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,2],"tags":[],"_links":{"self":[{"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/posts\/387"}],"collection":[{"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/comments?post=387"}],"version-history":[{"count":0,"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/posts\/387\/revisions"}],"wp:attachment":[{"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/media?parent=387"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/categories?post=387"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.glorf.it\/blog\/wp-json\/wp\/v2\/tags?post=387"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}