Ist Microsoft unter die Hacker gegangen?



Woodman

Woodman

New Member
Hallo alle,
ich bekommen bei den von mir verwalteten Servern immer öfter auch von Microsoft "generierte" Fehlermeldungen:
Code: 
Die Seite '/phpgedview/js/kryogenix/locale.js' - gerufen von bingbot(at)microsoft.com - wurde nicht gefunden.
Die Seite '/phpgedview/js/kryogenix/sorttable_filter.js' - gerufen von bingbot(at)microsoft.com - wurde nicht gefunden.
Die Seite '/phpgedview/js/kryogenix/locale.js' - gerufen von bingbot(at)microsoft.com - wurde nicht gefunden.
Ist das ein Versuch, die Seite zu hacken oder was gibt es für Veranlassungen solche Aufrufe zu tätigen?
 
Den User-Agent eines HTTP-Clients kann doch jeder fälschen.
Allerdings könnte es sein, dass deine "Software" den Bingbot erkennt, der versucht Inhalte zu laden, ist halt so bei Suchmaschinen.

Was die Meldungen mit Hacken zu tun haben soll verstehe ich nicht.

PS: Wieso werden Seiten gerufen? ist das ein akustischer Browser, der Webseiten ruft in der Form: Komm sofort her mircosoft punkt com schrägstrich index punkt hatehemell
SCNR
 
4rf4 said:
"bingbot(at)microsoft.com"

ähm *reusper*, was soll denn das für ein Log sein?
Click to expand...
Also gut, hier ist der komplette Log von einem 404-Error:
Code: 
Hallo
Die Seite '/phpgedview/js/kryogenix/sorttable_filter.js' - gerufen von bingbot(at)microsoft.com - wurde nicht gefunden.
Environment:
Array
(
    [REDIRECT_OPENSSL_CONF] => /etc/ssl/openssl.cnf
    [REDIRECT_REDIRECT_OPENSSL_CONF] => /etc/ssl/openssl.cnf
    [REDIRECT_REQUEST_METHOD] => GET
    [REDIRECT_STATUS] => 404
    [OPENSSL_CONF] => /etc/ssl/openssl.cnf
    [HTTP_CACHE_CONTROL] => no-cache
    [HTTP_CONNECTION] => Keep-Alive
    [HTTP_PRAGMA] => no-cache
    [HTTP_ACCEPT] => */*
    [HTTP_ACCEPT_ENCODING] => gzip, deflate
    [HTTP_FROM] => bingbot(at)microsoft.com
    [HTTP_HOST] => www.vogelstimmen-wehr.de
    [HTTP_USER_AGENT] => Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)
    [PATH] => /etc:/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin/:/usr/local/sbin
    [SERVER_SIGNATURE] => 
    [SERVER_SOFTWARE] => Apache/2.2.29
    [SERVER_NAME] => www.vogelstimmen-wehr.de
    [SERVER_ADDR] => 212.90.148.13
    [SERVER_PORT] => 80
    [REMOTE_ADDR] => 157.55.39.116
    [DOCUMENT_ROOT] => /web/1/000/038/549/132191/htdocs/vogelstimmen
    [SERVER_ADMIN] => [email protected]
    [SCRIPT_FILENAME] => /web/1/000/038/549/132191/htdocs/vogelstimmen/errormail.php
    [REMOTE_PORT] => 28648
    [REDIRECT_URL] => /phpgedview/js/kryogenix/sorttable_filter.js
    [GATEWAY_INTERFACE] => CGI/1.1
    [SERVER_PROTOCOL] => INCLUDED
    [REQUEST_METHOD] => GET
    [QUERY_STRING] => 
    [REQUEST_URI] => /phpgedview/js/kryogenix/sorttable_filter.js
    [SCRIPT_NAME] => /errormail.php
    [DATE_LOCAL] => 
    [DATE_GMT] => 
    [LAST_MODIFIED] => 
    [DOCUMENT_URI] => /error404.htm
    [USER_NAME] => 
    [DOCUMENT_NAME] => error404.htm
    [PHP_SELF] => /errormail.php
    [REQUEST_TIME_FLOAT] => 1442510011.93
    [REQUEST_TIME] => 1442510011
    [argv] => Array
        (
        )

    [argc] => 0
)

Gruß

GwenDragon said:
Den User-Agent eines HTTP-Clients kann doch jeder fälschen.
Allerdings könnte es sein, dass deine "Software" den Bingbot erkennt, der versucht Inhalte zu laden, ist halt so bei Suchmaschinen.
Click to expand...
Also, ich denke, das da nichts gefälscht ist - die Remote-IP-Adr. passt dazu.

GwenDragon said:
Was die Meldungen mit Hacken zu tun haben soll verstehe ich nicht.
Click to expand...
Na ja, warum "ruft" jemand gezielt dies
Code: 
/phpgedview/js/kryogenix/sorttable_filter.js
auf? Auf der Website wird garantiert kein Code von "Kryogenix" verwendet, also gibt es auch keine Links darauf. Also: Was hat jemand für eine Veranlassung dies zu suchen? Doch sicher um irgendwelche Schwachstellen darin zu nutzen!?

GwenDragon said:
PS: Wieso werden Seiten gerufen? ist das ein akustischer Browser, der Webseiten ruft in der Form: Komm sofort her mircosoft punkt com schrägstrich index punkt hatehemell
SCNR
Click to expand...
Wo ist das Problem? Eine Website wird durch einen User bzw. dessen Browser aufgerufen.:confused:
 
4rf4 said:
HTTP_FROM... hat da das Kasperle das 404 Log geschrieben?

ich bin raus, das wird so nix
Click to expand...
?
HTTP_FROM kann der Browser selbst setzen um sich zu identifizieren. Google setzt das ebenfalls.
157.55.39.116 ist ein legitimer MS-Server.

Nun warum wird versucht das zu Crawlen?
Möglicherweise lag in der Vergangenheit unter der IP einmal dieses Script.

Man darf auch nicht vergessen das Bing/MSN nicht mit SNI zurecht kommt bzw. wohl erst im April diesen Jahres damit angefangen hat.

Mal angenommen Bing versucht IP's und Domains in ein Verhältniss zu bringen, um z.B. SEO-Hacks zu vermeiden, dann kann das schon Sinn machen das Bing versucht auf allen Seiten unter 212.90.148.13 ein phpgedview, also nach "Fingerprints", zu Suchen.

Einfach mal Microsoft Fragen.
 
Last edited by a moderator:
13621# cat /var/log/apache2/other_vhosts_access.log | grep 157.55.39.116
xxxxx:80 157.55.39.116 - - [18/Sep/2015:00:51:45 +0200] "GET /impressum.htm HTTP/1.1" 303 487 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)" www.xxxxx.de
 
Es gibt keine Garantie das der UA eines Suchbots immer gleich ist.
Durch wechsel des UA kann man z.B. ebenfalls einfache SEO-Trickserei umschiffen o.d. Kompatibilitäten und Features einer Webseite prüfen.
 
Last edited by a moderator:
Code: 
23:07:53 [email protected]:~
13634# zcat /var/log/apache2/other_vhosts_access.log*gz | grep 157.55.39.116 | grep MSIE
xxxxxxx.xxx:80 157.55.39.116 - - [10/Nov/2014:07:56:43 +0100] "GET /js/prj/camera/scripts/jquery.easing.1.3.js HTTP/1.1" 301 521 "-" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)" xxxxxxx.xxx
xxxxxxx.xxx:80 157.55.39.116 - - [10/Nov/2014:08:02:11 +0100] "GET /js/prj/camera/scripts/jquery.easing.1.3.js HTTP/1.1" 200 2291 "-" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)" www.xxxxxxx.xxx
xxxxxxx.xxx:80 157.55.39.116 - - [10/Nov/2014:06:49:49 +0100] "GET /js/prj/camera/scripts/camera.js HTTP/1.1" 301 499 "-" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)" xxxxxxx.xxx
xxxxxxx.xxx:80 157.55.39.116 - - [10/Nov/2014:06:50:34 +0100] "GET /js/prj/camera/scripts/camera.js HTTP/1.1" 200 12649 "-" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)" www.xxxxxxx.xxx
23:11:29 [email protected]:~
13638# zcat /var/log/apache2/other_vhosts_access.log*gz | grep 157.55.39.116 | wc -l
7744

Hab tatsächlich auch solchen Quatsch in den Logs
 
Ah, und "SafeBrowsing" (Oder wie auch immer das nochmal bei Microsoft heißen mag) gibt es ja auch noch.

Zu meinem Post kommt also noch die nächste Möglichkeit das er einfach Blind auf bekannte Exploits prüft, die sich ja auch gerne mal in .js verstecken.
Irgendwo müssen ja die "SafeBrowsing"-Daten her kommen :)
 
Last edited by a moderator:
Ich versteh die Aufregung nicht. Die Suchmaschine hat aus irgendeinem Grund einen Link auf die Domain (egal von woher), welche eben das Kryogenix-JS beinhaltet, dann wird geprüft, ob die URL vorhanden ist.
Nervig, aber Bing wurschtelt ab und an so rum mit URLs aus fremden Quellen.
 
Ich weis jetzt nicht was da das Problem ist.
Das ist bei allen Suchemaschinen so.

Der Bing Bot sucht was, oder hat noch etwas im Index was nicht oder nicht mehr vorhanden ist.
 
Ich würde halt nur gerne verstehen, warum eine Suchmaschine einen ominösen Script sucht, der nie auf dem Server war.
Wenn ich solche Fehlermeldungen aus Fernost oder sonstwo auf der Welt bekomme, kann ich es ja noch verstehen: Da sind Hacker am Werk, die Schwachstellen suchen, aber was suche Suchmaschinen in Scripts die nie da waren?
 
Woodman said:
Ich würde halt nur gerne verstehen, warum eine Suchmaschine einen ominösen Script sucht, der nie auf dem Server war.
Click to expand...

Woher willst du das wissen?
Du hast doch die zugehörige IP-Adresse nicht seit Anbeginn der Zeit unter deiner Kontrolle. Irgendwann (vor deiner Zeit) war unter dieser IP vermutlich mal das abgefragte Script verfügbar...
 
Selbst wenn hier Jemand die exakten Suchalgorithmen einer Suchmaschine, insbesondere von Baidu, Bing, Google, Yahoo oder Yandex, kennen sollte, wird er sie hier definitiv nicht ausplaudern. Daher kann und wird es ausschliesslich bei vermutlich falschen Spekulationen bleiben...

Ein paar Spekulationen:
* Irgendeine Website enthält entsprechende Referenzen zu Deiner
* Irgendeine Website enthält Referenzen zu Deiner und zusätzlich zu dem Script
* Irgendeine Website enthält Referenzen zu Deiner und erwähnt irgendetwas mit ähnlichem Namen wie dem des Script
* Irgendeine Website erwähnt irgendetwas mit ähnlichem Namen wie Deine Website und verwendet das Script
* Irgendeine Website erwähnt irgendetwas mit ähnlichem Namen wie Deine Website und irgendetwas mit ähnlichem Namen wie dem des Script
* Du hast einen Trojaner auf Deinem Rechner der Suchergebnisse manipuliert
* Die Mondphasen haben sich ungünstig geändert
* Beliebige Kombination voriger Spekulationen
* Nichts von Allem
* Zufall
* Ich war es
 
You must log in or register to reply here.
Back
Top