ScriptBlogger

Mit der Weiterleitung haben wir den Angreifer nicht lange auf Distanz halten können. Jetzt versuchen wir mal einen neuen Trick. Bei den aktuell von dem Typen verwendeten IP-Adressen blenden wir jetzt folgende Nachricht ein:

Due to heavy load this server is down for the time being.

Mal sehen, ob er sich an der Nase herumführen lässt.

Jetzt haben wir den Angreifer, der in den letzten Tagen massive Zugriffe auf wegwerfemail.de verursacht, überlistet. Vorerst zumindest.

Nachdem wir eine IP-Adresse nach der anderen geblockt haben, fehlt uns langsam die Lust - und vor allem auch die Zeit - das Katz-und-Maus-Spiel weiter mitzumachen. Da der Typ zeitnah mit einer neuen IP-Adresse am Start war, nahmen wir an, dass der schon mal eine Liste an Proxies bereit hat und automatisch den nächsten nimmt, wenn der bisherige nicht mehr funktioniert. So würden wir das zumindest machen.

Die naheliegendste Gegenmaßnahme ist also nicht blocken sondern weiterleiten. Jetzt werden die Zugriffe alle zu example.com weitergeleitet. Die Lösung ist zwar nicht ganz so optimal, da der Web-Server die Zugriffe ja immer noch verarbeiten muss, aber wenigstens muss der Datenbank-Server nicht mehr ran. Und PHP-Dateien müssen auch nicht mehr ausgeführt werden.

Mals sehen, wie lange das etwas bringt.

Falls jemand MS Excel-Dateien mit PHP erstellen möchte, dem sei Spreadsheet_Excel_Writer empfohlen. In der Beschreibung wird zwar darauf hingewiesen, dass der Code veraltet sei, aber wer sich traut findet eine einfach zu verwendende Bibliothek vor.

<?php
require_once 'Spreadsheet/Excel/Writer.php';

// Creating a workbook
$workbook = new Spreadsheet_Excel_Writer();

// sending HTTP headers
$workbook->send('test.xls');

// Creating a worksheet
$worksheet = $workbook->addWorksheet('My first worksheet');

// The actual data
$worksheet->write(0, 0, 'Name');
$worksheet->write(0, 1, 'Age');
$worksheet->write(1, 0, 'John Smith');
$worksheet->write(1, 1, 30);
$worksheet->write(2, 0, 'Johann Schmidt');
$worksheet->write(2, 1, 31);
$worksheet->write(3, 0, 'Juan Herrera');
$worksheet->write(3, 1, 32);

// Let's send the file
$workbook->close();

Einfacher geht es nicht. Allerdings wird es notwendig sein, einige der Deprecated-Warnungen zu beheben. Sollte für den halbwegs geübten Coder aber kein Problem sein.

Nach etwas mehr als drei Monaten wird es Zeit, ein paar Statistiken zu unserer ersten Android-App zu veröffentlichen. Über 6.000 aktive Installationen und über 10.000 Installationen insgesamt sind gar nicht mal so schlecht.

Im Zeitverlauf sieht das so aus. Der Knick im Oktober beruht auf einen Zählfehler von Google. Einfach ignorieren.

Auf diesen Geräten ist die App installiert.

Und die Bewertungen sind auch gar nicht mal so schlecht.

In den Kommentaren zu DoS-Angriff schreibt jemand:

Klingt für mich eher nach einem Job für grep, sed, sort und uniq als für ein Office-Programm... ;)

Hat natürlich recht. Libre Office Calc ist nicht unbedingt die nächstliegendste Option, um nach IP-Adressen zu suchen, die auf den Server einhämmern. Folgende Anweisung tut es auch (und schneller).

 netstat -plant | grep 46.163.115.119:80 | awk '{print $5}' | sed -e 's/:.*//' | sort | uniq -c | sort 

Es zeigt sich, dass der Typ von gestern munter weitermacht. Blöd nur, dass er damit die Server-Performance in den Keller reißt. Derzeit kommen so um die 35 Anfragen pro Sekunde. Das resultiert in über 13.000 generierten Mail-Adressen auf wegwerfemail.de, die derzeit in der Datenbank zu finden sind. Aufgrund der relativ kurzen Halbwertzeit der Mail-Adressen von 60 Minuten sind normalerweise nur so um die 50 Adressen in der Datenbank.

Warum der Typ es nicht langsamer angehen lässt und - sozusagen - unter dem Radar fliegt, ist mir schleierhaft. Haben andere auch geschafft. Wäre ja nicht das erste Mal, dass jemand per Script die Website fernsteuert. Können sie ja machen, solange der Server erreichbar bleibt.

Heute in einer Mailingliste gelesen. Fragte jemand:

Wer hat eine Idee, wie man das Wort Finanzdienstleistungen
anders (kürzer), aber möglichst allumfassende formulieren
kann?

Jemand anders antwortete:

Raub?

:-D

Jemand schrieb heute, nachdem ich bei einem Problem helfen konnte:

Da war ich wohl wieder ziemlich dumpfbackig [...]

Das konnte ich dann doch nicht so stehen lassen und schrieb.

Da sind Sie zu unnachgiebig mit sich selbst. Das passiert auch anderen Kunden, weshalb ich geneigt bin zuzugeben, dass diese Funktion nicht unbedingt optimal gelöst ist. Aber solange mir nichts besseres einfällt, muss es erst einmal so bleiben. :-)

Da hat jemand seine Scripte nicht unter Kontrolle oder da will uns tatsächlich jemand schaden.

Am Montag hat jemand den Server in die Knie gezwungen, indem er massig Zugriffe auf gentleurl.net generiert hat. Das konnten wir dann mit unterbinden, indem wir die IP-Adresse per .htaccess geblockt haben.

Heute ging es weiter mit wegwerfemail.de mit mehreren IP-Adressen. Das hat dann ein bisschen mehr Arbeit gekostet, die beteiligten IP-Adressen aus den Server-Logs zu fischen. Dank der Filterfunktion von Libre Office Calc und der Sortierfunktion von Notepad++ ging es dann doch recht fix. Es waren dann am Ende 17 IP-Adressen. Seitdem läuft der Server wieder flüssig.

Mit diesem Adressverzeichnis haben Sie schnellen Zugriff auf alle Adressen und Telefonnummern der deutschen gesetzlichen Krankenkassen und der privaten Krankenversicherer. Sie können durch die Liste blättern oder nach dem Namen suchen. Die Angabe der ersten drei Buchstaben reicht meistens schon.

Beim Klick auf einen Eintrag in der Liste erhalten Sie weitere Details zur Krankenkasse beziehungsweise Krankenversicherung. Aus den Details heraus können Sie sich die Adresse in einer Karte anzeigen lassen, die Telefonnummern anrufen oder die Website aufrufen.

Hier klicken, um die App zu installieren, oder einen Bar-Code-Scanner benutzen.

Dank unseres Kurz-URL-Dienstes gentleurl.net gibt es heute mal wieder eine Warnung an alle Webmaster. Überprüft euren Webspace auf folgende Dateien:

srv.php
img.php
images.php
htaccess.php
pic.php
last.php

Beim Aufruf der Dateien wird der Nutzer auf Websites weitergeleitet, die Medikamente verkaufen. Wir haben die entsprechenden URLs in unserem Dienst deaktiviert. Insgesamt waren es rund 525 Domains.

Außerdem sollte auf Dateien geachtet werden, die nach einem Vornamen benannt sind, zum Beispiel Mark.php oder Joanna.php.

Weiterhin gelten die Warnungen an Betreiber folgender Scripte und Anwendungen.

SSI ist ein Scriptprogramm. Das zumindest glaubt der Support von 1&1.

Ein Kunde von uns meldete Probleme mit seiner Website. Beim Aufruf der Seiten wird eine Datei zum Herunterladen angeboten, statt dass sie im Browser angezeigt wird. Ein kurzer Test zeigte, dass SSI (Server Side Includes) nicht mehr funktionierte.

SSI ist Bestandteil des Web-Servers, genau wie PHP oder Perl. Wenn das nicht funktioniert, kann man als Web-Hosting-Kunde nichts machen. Da muss der Web-Server-Betreiber selbst ran.

1&1 zeigt sich leider mal wieder völlig unfähig und antwortet auf die Support-Anfrage folgendermaßen:

Leider können wir ihnen in diesem Rahmen nicht helfen, da die SSI ein Scriptprogramm ist, welches Sie dirtekt in Ihrem WebspaceExplorer (erreichbar über Ihr Control-Center) verwalten und bearbeiten können. Dies ist eine inhaltliche Änderung, zu der 1&1 zur Sicherheit Ihrer Inhalte nicht berechtigt ist. Wir stellen Ihnen gern Programme und Dienstleistungen zur Verfügung. Deren Anwendung und Umsetzung obliegt jedoch allein ihrer Verantwortung.

Statt nach weiteren Informationen zu fragen oder selbst mal auf dem Server nachzusehen, wird die Anfrage gleich abgebügelt.

Nach einigen E-Mails hin und her und Erklärungen unsererseits kommt dann folgende Antwort:

Seit der Umstellung der Serverumgebung sollte die u.g. Direktive folgendermaßen lauten:
AddHandler server-parsed .html .htm .inc

Da stellt sich die Frage, warum über eine so wichtige Änderung auf dem Server nicht per E-Mail informiert wurde. Und wieso ist die Dokumentation bislang nicht angepasst worden? Dann hätten wir das Problem auch selbst lösen können, ohne uns mit dem miesem Support herumschlagen zu müssen?

Diese Angelegenheit ist typisch für 1&1. Es dauert Tage, um ein einfaches Problem zu lösen. Uns wird unterstellt, das Problem läge bei uns. Es ist deutlich, dass der Support von 1&1 unzureichend geschult ist. Wir melden ein Problem mit SSI und der Support antwortet mit "Leider können wir ihnen in diesem Rahmen nicht helfen, da die SSI ein Scriptprogramm ist. [...]". Was für ein Unfug.

Schreibt ein Kunde:

Kann heute nicht testen. Bin in Köln 11.11.  Ausnahmezustand.  Karneval.

Wer findet das Problem? Richtig. "Es werden bis zu 10 Arbeitstage für die Bearbeitung Ihrer Anfrage benötigt." Was zum Henker machen die. Schicken die jemanden persönlich zum Rechenzentrum, der das dann vor Ort auf dem Computer ändert? Oder führen die noch Karteikarten aus Papier?

Für ausgebuddelt.de gibt es jetzt eine kleine Android-App. Die erlaubt es, Links zu ausgebuddelt.de zu schicken. Wenn man eine Website im Browser geöffnet hat wählt man aus dem Menü "Seite freigeben" aus und wählt ausgebuddelt.de. Die App ruft dann den Browser auf und leitet zur Seite zum Eintragen von Links weiter.

Die App ist ab sofort im Market verfügbar. Für sachdienliche Hinweise zur Verbesserung der App sind wir auf jeden Fall dankbar.

Hier klicken, um die App zu installieren, oder einen Bar-Code-Scanner benutzen.

Diese App findet für Sie heraus, ob es möglicherweise eine günstigere Krankenversicherung für Sie gibt. Voraussetzung ist, dass Sie selbstständig oder freiberuflich arbeiten, oder als Angestellte(r) oberhalb der Jahresarbeitsentgeltgrenze von derzeit 49.500 € (monatlich 4.125 €) liegen.

Geben Sie einfach Art Ihrer Tätigkeit, Alter und Geschlecht an und die App ermittelt die passenden Preise und Leistungen. Zu jeder Auswahloption gibt es Erklärungstexte. Es bleiben also keine Fragen offen.

Die App ist ab sofort im Market verfügbar. Für sachdienliche Hinweise zur Verbesserung der App sind wir auf jeden Fall dankbar.

Hier klicken, um die App zu installieren, oder einen Bar-Code-Scanner benutzen.