LINUX.ORG.RU
Форум — Admin  

Странные запросы от Гугла в журнале доступа

 , ,


0

5

Приветствую! Вижу в логах доступа вот такие записи, и их много! https://prnt.sc/LF5JSCFIxmzH

Вот пару полных записей для примера.

66.249.66.87 - - [30/Nov/2022:03:24:14 +0100] «GET /51736qtti9d12mqaa77b HTTP/1.0» 200 62452 «-» «Mozilla/5.0 (Linux; Android 6.0.1; Nexus 5X Build/MMB29P) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.5304.110 Mobile Safari/537.36 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)»

66.249.66.87 - - [30/Nov/2022:03:24:15 +0100] «GET /55835apqy24d06e6fdy5b079a2a HTTP/1.0» 200 47337 «-» «Mozilla/5.0 (Linux; Android 6.0.1; Nexus 5X Build/MMB29P) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.5304.110 Mobile Safari/537.36 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)»

Т.е. Гугл запрашивает несуществующие страницы

«GET /51736qtti9d12mqaa77b HTTP/1.0» 200 62452….. «GET /55835apqy24d06e6fdy5b079a2a HTTP/1.0» 20….. «GET /59947apqy99b37fhy2ada84 HTTP/1.0» 200 47…..

Вопрос:

  1. Что это такое? Почему гугл ломится на несуществующие страницы и откуда он их взял?

  2. Почему сервер возвращает ответ 200? Ведь страница не существует. Когда я пытаюсь на нее зайти, то мне сервер возвращает 404.

https://prnt.sc/O33Zt_mI9WJR


1. Гуглбот реальный: 

host 66.249.66.87
87.66.249.66.in-addr.arpa domain name pointer crawl-66-249-66-87.googlebot.com.

2. Если домен со скриншота настоящий, то вас поломали https://www.google.com/search?q=site:jap.in.ua

Там же можно посмотреть гуглкеш этих страниц.

Итого:

Почему гугл ломится на несуществующие страницы и откуда он их взял?

Потому что их генерит вредоносный скрипт.

Когда я пытаюсь на нее зайти, то мне сервер возвращает 404.

Потому что эти страницы показывают только гуглу или при https://www.google в Referer.

easybreezy
()
Ответ на: комментарий от easybreezy

Спасибо за конструктивный и понятный ответ. Все верно, так и есть, сайт взломали. Домен на скрине реальный.

Вчера проверил на вирусы встроенным антивирусом в ISP, удалил найденные вредоносные скрипты. Но, разумеется, антивирус не решил вопроса и они (удаленные мною файлы) все воссоздались буквально за два часа. Т.е. вредоносный код внедрен в сам движок.

Придется сносить сайт. И устанавливать все с чистого листа.

Может быть, дадите какие-то рекомендации, что мне необходимо предпринять в данном случае, кроме переустановки сайта?

shurc
() автор топика
Ответ на: комментарий от shurc

Вчера проверил на вирусы встроенным антивирусом в ISP, удалил найденные вредоносные скрипты.

Мертвому припарки.

и они (удаленные мною файлы) все воссоздались буквально за два часа.

Удивительно, прям удивительно как же так? Я ж антивирусом проверил. :)

Придется сносить сайт. И устанавливать все с чистого листа.

Именно.

Может быть, дадите какие-то рекомендации, что мне необходимо предпринять в данном случае, кроме переустановки сайта?

Выяснить как вас поломали. Из бэкапа вы развернете, но «завтра» вы опять будете разворачивать из бэкапа...

anc ★★★★★
()
Ответ на: комментарий от easybreezy

На какой cms был сайт?

Opencart Pro 3 версия

Пароли не меняли?

Поменял пароли к БД. Поставил пароль на /admin (htaccess - Require valid-user…)

Этот вредоносный код где-то в файлах самого движка, т.к. буквально сразу все это восстановил. Во всех каталог создал файлы htaccess (пример которого можно увидеть по ссылке в архиве), дописывает свой код в index.php ну и воссоздает свою структуру вновь.

http://kvasdoma.in.ua/virus.zip - здесь скопированные мной файлы до удаления их с сервера. Это те файлы, которые обнаружил антивирус. Они были разбросаны по разным каталогам на сайте.

shurc
() автор топика
Ответ на: комментарий от anc

Выяснить как вас поломали. Из бэкапа вы развернете, но «завтра» вы опять будете разворачивать из бэкапа…

С чего рекомендуете начать? Поломали, скорее всего более двух недель тому назад. Логи на сервере хранились всего 10 дней.

На сайте были установлены пароли типа admin 123456

отсюда, полагаю, все оно могло и начаться.

p.s. Этот VPS мне передали буквально 7 дней назад и попросили сделать на нем интернет-магазин вот и все. Я его сделал. И он норм. работает. Просто на этом сервере были и другие сайты, в том числе и этот взломаный. Кто был админом до меня и кто создавал сайт jap.in.ua, который оказался взломанным я не знаю. А сейчас я по факту стал не только web-админом мной созданного магазина, но и данного VPS и нужно разгребать то, что имеем.

shurc
() автор топика
Ответ на: комментарий от shurc

С чего рекомендуете начать?

Ваш сайт, вот вы и выясняйте. Но попробую вангануть, на тему уязвимостей в cms на которой сделан ваш сайт.

На сайте были установлены пароли типа admin 123456
отсюда, полагаю, все оно могло и начаться.

Шикарно!

Просто на этом сервере были и другие сайты

Дайте две.

anc ★★★★★
()
Ответ на: комментарий от anc

ну там был vps от гугла бесплатный на год, linux apache maria php и на drupal сайт(больше ничего не было), в логах самого cms было видно действия из-вне попытки обращения к разным директориям и файлам.

Gennadevich ★
()
Ответ на: комментарий от Gennadevich

в логах самого cms было видно действия из-вне попытки обращения к разным директориям и файлам.

Я правильно понял, что вы смотрели по логам самой cms? А не web сервера?

anc ★★★★★
()
Admin