这是恶意流量吗？

Question

这是恶意流量，但我敢打赌它不是定向的。它很可能是一个自动脚本或僵尸网络扫描漏洞。

这些类型的 URL 代表缓冲区溢出，可使 PHP（等）执行任意代码。这是试图访问您的服务器，以便攻击者可以控制它来攻击其他服务器、托管恶意软件并发送垃圾邮件。

攻击您服务器的主机很可能只是其他人的计算机和服务器。它们已被僵尸网络奴役，用来做坏事。而且，仅仅因为它显示为 iPad 并不意味着它就是 iPad。用户代理很容易被欺骗。

你无能为力防止提出这些请求的人。总会有一组计算机在某个时刻提出这些请求。

但如果您有时间，请将攻击 IP 报告给其 ISP。

这不是惹麻烦，而是让这些 ISP 通知客户，他们需要清理他们的机器。如果情况持续下去，就让这些机器退出互联网。如果更多人这样做，互联网就会变得更安全。

你可以直接whois <ip>获取滥用电子邮件，但这里有一句话可以将其归结为只是电子邮件地址：

whois 69.64.59.8 | grep abuse | grep -Eo '\S+@\S+' | sort -u

并向他们发送一封电子邮件，内容包括基本信息关于这次袭击。

为了处理其中的许多问题，你可以awk使用类似以下的方式向攻击者提供日志：

awk '/cgi/ {print $1}' /path/to/logs | sort -u

然后按照自己的方式完成它们。你甚至可以将两者结合起来，让事情变得更容易：

awk '/cgi/ {print $1}' /path/to/logs | sort -u | xargs -i% bash -c "echo %; whois % | grep abuse | grep -Eo '\S+@\S+' | sort -u; echo"

唯一的问题是您将丢失对日志条目的引用。这可能是也可能不是问题，具体取决于您计划撰写的电子邮件。

Answer 1