主页 / server / 问题 / 123228
In Process
Byran Zaugg
Asked: 2010-03-17 17:37:22 +0800 CST

(200 ok) 接受 - 这是一次黑客攻击吗？

  • 772

我认为这是某种类型的黑客攻击。我尝试用谷歌搜索它，但我得到的只是看起来已经被利用的网站。

我看到对我的一个页面的请求看起来像这样。

/listMessages.asp?page=8&catid=5+%28200+ok%29+ACCEPTED

'（200 ok）接受'是奇怪的。但它似乎没有做任何事情。

我在 IIS 5 和 ASP 3.0 上运行。这个“hack”是指其他类型的网络服务器吗？

编辑：

正常请求如下所示：

/listMessages.asp?page=8&catid=5
exploit http security hacking vulnerabilities

8 个回答

    1. 可能是日志有误。它看起来像是 URL 中答案的一部分。如果它出现在 IIS 日志中，请尝试使用数据包嗅探器查看请求 URL，以确保它确实如此。
    2. 可能是某些脚本获取了格式错误的 URL，例如它可能是您的 ASP 站点中的错误。

    一般来说，它可能看起来像是高度特定的或特制的破解尝试，看起来像一个错误，但我认为不是。您还应该分析来自该用户的先前和进一步的请求。如果它有时从不同的地方发生而没有其他可疑的东西，这是一个错误，而不是破解尝试。

    • 2

  2. 所有请求都来自一个 IP 范围吗？您是否尝试过运行数据包捕获来查看完整的请求标头是什么样的？

    • 2

  3. 在谷歌上唯一有价值的结果就是这个，所以......

    刚刚在我管理的一个 IIS 6 (Server 2003) 站点上显示了这个。在这种特殊情况下，点击 ColdFusion 页面（整个站点使用的基本模板文件，包括主页），然后将其附加到 URI 词干的末尾（无查询字符串）。

    来自多个不同 IP 的相同请求，其中常见的用户代理如下：

    Mozilla/3.0 (x86 [en] Windows NT 5.1; Sun)

    没有通过推荐人信息。2 分钟内有 21 个请求，有六个多一点的唯一 IP。知识产权退回的国家包括美国、波斯尼亚、马来西亚等。

    • 2

  4. 我发现这些条目非常有趣（而且不是很好）。

    /listMessages.asp?page=8&catid=5+%28200+ok%29+ACCEPTED

    从程序的角度来看，它的基本分解给出了以下变量：

    page = 8
catid = "5 " + chr(28) + "200 ok" + chr(29) + " ACCEPTED"

    catid变量在这里被破坏。ASCII 代码 28 是文件分隔符，代码 29 是组分隔符。

    如果可能，我会检查 catid 变量的处理，否则如果程序正确处理它（并拒绝它），则忽略它。

    • 2

  5. 复活节期间这里也有几次尝试。

    /+%28200+ok%29+接受

    (200 确定) 接受

    这似乎是对服务器的随机检查。

    该 IP 可在 Stopforumspam 的数据库中找到。

    http://www.stopforumspam.com/

    • 2

  6. 我在 IIS 7 上运行经典 ASP 的站点上收到相同类型的请求。我正在跟踪的 IP 地址都来自垃圾邮件发送者。我也不知道他们想做什么，除了用 404 错误来惹恼我们之外，它不会对网站产生不利影响。

    至于 200 OK Accepted，是 HTTP 状态码：http ://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html

    • 1

  7. 我没有足够的权限发表评论，但我也得到了这个，使用浏览器字符串：

    User agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; .NET CLR 1.1.4322; Alexa Toolbar; (R1 1.5))
IP address: 94.45.33.18

    这是针对 Apache 服务器的。我不认为这是一种攻击，因为它太少见了，而且它不会在我能想到的任何 HTTP 服务器上造成问题，除了抛出 404 错误。

    • 1

  8. 简短的回答，可能是。但鉴于你提供给我们的信息，我会拒绝。更多日志可能会改变答案。

    • 0

相关问题