Was versucht der Spammer hier?

[Armin G.]

Tach auch,

Heute waren meine logfiles mal wieder voll mit Eintraegen dieser Art:

"GET /cgi-bin/formmail.pl?recipient=[e-mail]&email=[e-mail]&subject=http://www.ministryofpropaganda.co.uk/cgi-bin/formmail.pl&message=z2334u29290bjx27922ez1308w11562xnm3913xh3571y6435kbb26130v HTTP/1.1" 403 2181 www.ministryofpropaganda.co.uk "-" "Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)" "-"

Das einzige was sich da gross aendert ist der Pfad zu Formmail und der Buchstabensalat in der Mitte.

Ach ja, alles von dieser IP: 24.27.233.183 Muss ich bei Gelegenheit mal nachsehen.

Jetzt aber zur eigentlichen Frage: Was versucht der Spammer hier? Ist das schon der eigentliche Spamversuch oder nur der Versuch ein offenes Formmail-Script zu finden?

Interpretiere ich das richtig, wenn ich Formmail haette, wuerde

• eine e-mail an [e-mail] geschickt
• mit dem Absender [e-mail]
• und dem Subject http://www.ministryofpropaganda.co.uk/cgi-bin/formmail.pl

Da das Subject immer der jeweilige Pfad ist, interpretiere ich das so, dass der Spammer eine e-mail mit dem Pfad bekommen wuerde, so dass er diesen spaeter benutzen kann. Aber was soll die Message, die ja nur aus Buchstabensalat zu bestehen scheint?

Meinungen? Ideen? Erklaerungen?

Gruss,
Armin

[Slyh]

Hallo,

Ist das schon der eigentliche Spamversuch oder nur der Versuch ein offenes Formmail-Script zu finden?

Vermutlich letzteres.

Interpretiere ich das richtig, wenn ich Formmail haette, wuerde

• eine e-mail an [e-mail] geschickt
• mit dem Absender [e-mail]
• und dem Subject http://www.ministryofpropaganda.co.uk/cgi-bin/formmail.pl

Da das Subject immer der jeweilige Pfad ist, interpretiere ich das so, dass der Spammer eine e-mail mit dem Pfad bekommen wuerde, so dass er diesen spaeter benutzen kann.

Ja.

Aber was soll die Message, die ja nur aus Buchstabensalat zu bestehen scheint?

Vermutlich eine eindeutige ID (oder Hashcode), die/der deine Seite
eindeutig identifizierbar macht. So kann der Spammer sicher gehen,
daß sein Mailaccount zum Sammeln der "Bestätigungs-Mails" nicht
selbst mit lauter ungültigen Einträgen gespammt wird. Z.B. wenn du
jetzt auf die Idee kommen würdest, ihm 1000 gefakte Bestätigungs-
Mails mit ungültigen URLs zukommen zu lassen.

Natürlich Spekulation. Aber so würde ich es machen. :-)

Gruß
Slyh

[Thomas J.S.]

Hallo Armin,

Ach ja, alles von dieser IP: 24.27.233.183 Muss ich bei Gelegenheit mal nachsehen.

OrgName:    Road Runner
     OrgID:      RRMA
     Address:    13241 Woodland Park Road
     City:       Herndon
     StateProv:  VA
     PostalCode: 20171
     Country:    US

NetRange:   24.24.0.0 - 24.29.255.255
     CIDR:       24.24.0.0/14, 24.28.0.0/15
     NetName:    ROAD-RUNNER-1
     NetHandle:  NET-24-24-0-0-1
     Parent:     NET-24-0-0-0-0
     NetType:    Direct Allocation
     NameServer: DNS1.RR.COM
     NameServer: DNS2.RR.COM
     NameServer: DNS3.RR.COM
     NameServer: DNS4.RR.COM
     Comment:
     RegDate:    2000-06-09
     Updated:    2002-08-22

TechHandle: ZS30-ARIN
     TechName:   ServiceCo LLC
     TechPhone:  [phone]
     TechEmail:  [e-mail]

OrgAbuseHandle: ABUSE10-ARIN
     OrgAbuseName:   Abuse
     OrgAbusePhone:  [phone]
     OrgAbuseEmail:  [e-mail]

OrgTechHandle: IPTEC-ARIN
     OrgTechName:   IP Tech
     OrgTechPhone:  [phone]
     OrgTechEmail:  [e-mail]

Grüße
Thomas

[TomIRL]

Ich denke das der Buchstbensalat nach einem Algorythmus codiert wurde, warum auch immer!
Übrigens hatte ich den gleichen Vorkommnisse bei mir auch schon auf dem Server, da kann man wohl nichts machen!
TomIRL

[Ingo]

"GET /cgi-bin/formmail.pl?

hi Armin,

bei mir hab' ich zwar keinen formmailer drauf, aber versucht hatte erst kürzlich auch hier jemand aufzurufen:
/cgi-bin/formmail2.pl
/cgi-bin/formmail.pl
/cgi-bin/formmail.cgi
/cgi-bin/gmformmail.pl
/cgi-bin/formmail2.cgi
/cgi-bin/form2mail.pl

nicht sehr erfindungsreich..;-)
Gruß
Ingo

[Siechfred]

Hallo Armin,

Heute waren meine logfiles mal wieder voll mit Eintraegen dieser Art:
"GET /cgi-bin/formmail.pl?

Das Problem hatte ich vor kurzem mit einem Spam-Robot namens "Missauga Locate". Wenn die Aufrufe bei dir ins Leere gehen, brauchst du dir keine Gedanken zu machen. Allerdings ist "ML" wohl so clever, dass er sämtliche Scripte im Verzeichnis cgi-bin auf die Möglichkeit hin untersucht, Mails zu versenden. Das Ergebnis bei mir waren ca. 10 leere Mails. Das ganze habe ich dann versucht zu lösen, indem ich sämtliche Scripte durch folgende Zeile ergänzt habe:

if ($ENV{'HTTP_USER_AGENT'} =~ /robot|spider|wget|crawl|slurp|bot|openfind|missauga/i) {
  exit(1);
}

Ich weiß nicht, ob das die beste Lösung ist, bis jetzt jedenfalls habe ich meine Ruhe.

Viele Grüße
Torsten

[wunderwarzenschwein]

Hi,

if ($ENV{'HTTP_USER_AGENT'} =~ /robot|spider|wget|crawl|slurp|bot|openfind|missauga/i) {
  exit(1);
}

Ich weiß nicht, ob das die beste Lösung ist, bis jetzt jedenfalls habe ich meine Ruhe.

Schließe doch die entsprechenden Robots über die robots.txt aus.

HTH

wunderwarzenschwein

[Siechfred]

Hi,

Schließe doch die entsprechenden Robots über die robots.txt aus.

Schlauer Plan, werde ich mir mal näher zu Gemüte führen.

Viele Grüße
Torsten

[Orlando]

Hi Torsten,

Schließe doch die entsprechenden Robots über die robots.txt aus.

Schlauer Plan, werde ich mir mal näher zu Gemüte führen.

robots.txt einzusetzen funktioniert, wenn sich die Robots daran halten. Meinst du, ein Spammer baut das in seinen ein?

Grüße,
 Roland

[Siechfred]

Hi Roland,

robots.txt einzusetzen funktioniert, wenn sich die Robots daran halten. Meinst du, ein Spammer baut das in seinen ein?

Schaden kann es jedenfalls nicht, oder? Ansonsten wollte ich auf meine UserAgent-Abfrage eignetlich nicht verzichten. Irgendwelche Ideen für eine bessere Lösung?

Viele Grüße
Torsten

[wunderwarzenschwein]

Hi,

Irgendwelche Ideen für eine bessere Lösung?

Soweit wie irgend möglich auf Skripte verzichten, die Mails verschicken bzw. Zieladressen nicht per Parameter übergeben lassen.

wunderwarzenschwein