tentativo di attacco sql injection ??

[chrix]

ciao a tutti, io sono webmaster/designer del sito di associazione studentesca, ho realizzato un semplice forum in php-mysql, è da un bel pò che ho notato che qualcuno cerchi di forzare il db mysql fin qui rimasto intatto! è vero che per semplicità non ho impostato nessun controllo sulla validità dei dati (ad esempio l'esistenza di un indirizzo email, solo sul formato dello stesso: xxxx@xxxxx.xxx...), ma grazie alla variabile $REMOTE_ADDR, posso inserire nel database quindi conoscere l'ip della macchina chi ha postato il messaggio:

Codice: Seleziona tutto

61.183.60.155    # sempre uguale

ecco un esempio di post ( sono quasi tutti uguali!)

Codice: Seleziona tutto

 
¡¾ÐǼʼ«ËÙÓªÏúÍõ41ÍòÍøÖ·¶Ô¸÷´óËÑË÷ÒýÇæÈ«Ãæɨµ´¸²¸Ç, ×¢²á¼´ËÍËùÓÐȺ·¢Èí¼þ¡¿¡¾250Ï̲߳¢ÐиßËÙ·¢²¼,ÈÃÄúµÄ¹ã¸æ¿ñɨ»¥ÁªÍøÿһ¸ö½ÇÂä¡¿¡¾ÉÌÎñ¿ì³µ¹ú¼Ê°æÍêÃÀÆƽâ°æ¡¿¡¾·è¿ñÓªÏúÆƽâ°æ¾Û±¦ÅèȺ·¢×¢²á°æ55ÍòÊý¾Ý¿â¡¿ ¡¾Ê·ÉÏ×îÇ¿µÄÁôÑÔȺ·¢ÁôÑÔÈí¼þÏÂÔØ¡¿¾¡ÔÚwww.xj818.net¡¾×Ô¶¯×¢²á×Ô¶¯·¢²¼µÄÂÛ̳ÐÅϢȺ·¢ÂÛ̳Èí¼þ¡¿ ¡¾ÍøÕ¾ÅÅÃûËÑË÷ÒýÇæµÇ¼ÐÅÏ¢·¢²¼¡¿www.xj818.net ¡¾ÓʼþȺ·¢Èí¼þÐÅÏ¢·¢²¼Èí¼þÍøÂçÓªÏúÈí¼þ¡¿www.xj818.net ¡¾Ãâ·ÑÔùËͱ©Á¦ÓªÏú51ÍòÂÛ̳ËÑ¿ÍÂÛ̳¿ñÌùµÈ³¬Ç¿ÐÅÏ¢·¢²¼¹¤¾ß, ΪÄú´òÔìÐÂʱ´úµÄ³¬¼¶¹ã¸æýÌå¡¿ 40Íòblog²©¿ÍȺ·¢Íõ×Ô¶¯Ê¶±ðÑéÖ¤ÂëËٶȳ¬¿ì,ÕæÕýµÄ´ó¹æģɱÉËÆ÷, ÏÂÔØ: www.xj818.net 
 

adesso sto cercando a quale dominio appartiene quel indirizzo ip, il ping mi dà un request time out ( potrebbe essere dietro ad un firewall )

ping 61.183.60.155

Pinging 61.183.60.155 with 32 bytes of data:

Request timed out.
Request timed out.
^C
Ping statistics for 61.183.60.155:
Packets: Sent = 2, Received = 0, Lost = 2 (100% loss),


traceroute 61.183.60.155

Tracing route to 61.183.60.155 over a maximum of 30 hops

1 <1 ms <1 ms <1 ms 172.30.127.254 # la mia macchina
2 1 ms <1 ms <1 ms 140.105.150.137 # il mio gw
3 * * * Request timed out.
4 * * * Request timed out.
5 * * * Request timed out.
6 ^C


qualche suggerimento?
grazie

[albatros]

Cerca l'ip su http://www.arin.net/whois/ :
è un ip australiano...

[kasher]

no è un ip cinese di seguito l' output del whois:


% [whois.apnic.net node-2]
% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html

inetnum: 61.183.56.0 - 61.183.61.255
netname: CHINANET-HB-JZ3
country: CN
descr: The Chinanet network in Jinzhou ,Hubei province
admin-c: CHJ3-AP
admin-c: CHA1-AP
tech-c: XG20-AP
status: ASSIGNED NON-PORTABLE
changed: ip_admin_hb@public.wh.hb.cn 20031117
mnt-by: MAINT-CN-CHINANET-HB
source: APNIC

role: CHINANET HB ADMIN
address: 8th floor of JinGuang Building
address: #232 of Macao Road
address: HanKou Wuhan Hubei Province
address: P.R.China
country: CN
phone: +86 27 82862199
fax-no: +86 27 82861499
e-mail: ip_admin_hb@public.wh.hb.cn
trouble: send spam reports to spam_hb@public.wh.hb.cn
trouble: and abuse reports to abuse_hb@public.wh.hb.cn
trouble: Please include detailed information and
trouble: times in GMT+8
admin-c: YZ83-AP
admin-c: ZC77-AP
tech-c: YZ83-AP
tech-c: ZC77-AP
nic-hdl: CHA1-AP
notify: ip_admin_hb@public.wh.hb.cn
mnt-by: MAINT-CN-CHINANET-HB
changed: zhangyl68@public.wh.hb.cn 20031114
source: APNIC

role: CHINANET HB JZ
address: No.283 West Jiangjin Road Jinzhou city
address: Hubei Province P.R.China
country: CN
phone: +86-716-8221999
phone: +86-716-8117073
fax-no: +86-716-8441175
e-mail: ipadmin_jz@jzinfo.com
trouble: send spam reports to spam_jz@jzinfo.com
trouble: and abuse reports to abuse_jz@jzinfo.com
trouble: Please include detailed information and
trouble: times in GMT+8
admin-c: XG20-AP
tech-c: XG20-AP
tech-c: YL113-AP
nic-hdl: CHJ3-AP
notify: ip_admin_hb@public.wh.hb.cn
mnt-by: MAINT-CN-CHINANET-HB
changed: zhangyl68@public.wh.hb.cn 20040514
mnt-by: MAINT-CN-CHINANET-HB
source: APNIC

person: XiaoBing Gao
nic-hdl: XG20-AP
e-mail: ipadmin_jz@jzinfo.com
address: No.283 West Jiangjin Road, Jinzhou city
address: Hubei province, P.R.China
phone: +86-716-8221999
fax-no: +86-716-8441175
country: CN
changed: zhangyl68@public.wh.hb.cn 20031114
mnt-by: MAINT-NEW
source: APNIC


albatros tu hai cercato su ARIN (American Registry for Internet Numbers) e quell' ip non è registrato su quel databas, è registrato su APNIC (Asia Pacific Network Information Centre).

chrix molto probabilmete quelli del post sono caratteri cinesi

kasher

[chrix]

ci ho già provato, anche con altri server whois ma il risultato è lo stesso!!!

Codice: Seleziona tutto

%ERROR:101: no entries found
%
% No entries found in the selected source(s).

[chrix]

no è un ip cinese di seguito l' output del whois:


% [whois.apnic.net node-2]
% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html

inetnum: 61.183.56.0 - 61.183.61.255
netname: CHINANET-HB-JZ3
country: CN
descr: The Chinanet network in Jinzhou ,Hubei province
admin-c: CHJ3-AP
admin-c: CHA1-AP
tech-c: XG20-AP
status: ASSIGNED NON-PORTABLE
changed: ip_admin_hb@public.wh.hb.cn 20031117
mnt-by: MAINT-CN-CHINANET-HB
source: APNIC

role: CHINANET HB ADMIN
address: 8th floor of JinGuang Building
address: #232 of Macao Road
address: HanKou Wuhan Hubei Province
address: P.R.China
country: CN
phone: +86 27 82862199
fax-no: +86 27 82861499
e-mail: ip_admin_hb@public.wh.hb.cn
trouble: send spam reports to spam_hb@public.wh.hb.cn
trouble: and abuse reports to abuse_hb@public.wh.hb.cn
trouble: Please include detailed information and
trouble: times in GMT+8
admin-c: YZ83-AP
admin-c: ZC77-AP
tech-c: YZ83-AP
tech-c: ZC77-AP
nic-hdl: CHA1-AP
notify: ip_admin_hb@public.wh.hb.cn
mnt-by: MAINT-CN-CHINANET-HB
changed: zhangyl68@public.wh.hb.cn 20031114
source: APNIC

role: CHINANET HB JZ
address: No.283 West Jiangjin Road Jinzhou city
address: Hubei Province P.R.China
country: CN
phone: +86-716-8221999
phone: +86-716-8117073
fax-no: +86-716-8441175
e-mail: ipadmin_jz@jzinfo.com
trouble: send spam reports to spam_jz@jzinfo.com
trouble: and abuse reports to abuse_jz@jzinfo.com
trouble: Please include detailed information and
trouble: times in GMT+8
admin-c: XG20-AP
tech-c: XG20-AP
tech-c: YL113-AP
nic-hdl: CHJ3-AP
notify: ip_admin_hb@public.wh.hb.cn
mnt-by: MAINT-CN-CHINANET-HB
changed: zhangyl68@public.wh.hb.cn 20040514
mnt-by: MAINT-CN-CHINANET-HB
source: APNIC

person: XiaoBing Gao
nic-hdl: XG20-AP
e-mail: ipadmin_jz@jzinfo.com
address: No.283 West Jiangjin Road, Jinzhou city
address: Hubei province, P.R.China
phone: +86-716-8221999
fax-no: +86-716-8441175
country: CN
changed: zhangyl68@public.wh.hb.cn 20031114
mnt-by: MAINT-NEW
source: APNIC


albatros tu hai cercato su ARIN (American Registry for Internet Numbers) e quell' ip non è registrato su quel databas, è registrato su APNIC (Asia Pacific Network Information Centre).

chrix molto probabilmete quelli del post sono caratteri cinesi

kasher

uhm... mi hai anticipato di qualche secondo, queste informazioni sono molto utili... ma dagli indirizzi email posso ricavare il MX con dig e intrappolare il toppo!
grazie kasher

[kasher]

molto probabilmente sarà passato per qualche proxy prima di passare sul tuo sito, oppure è passato per mezzo di uno zombie.

[albatros]

Vero, stavo facendo un'altra cosa e, nella fretta di dare una risposta, visto che il whois semplice da console non dava risultati, ho cercato su google un server whois e, avuta una risposta, non l'ho neppure letta per intero: l'AU che è ho visto è quello dell'APNIC a cui mi rimandava l'ARIN dicendo che non ce l'aveva registrato e mi dava anche il link per fare la ricerca dove poi l'hai fatta tu, ottenendo ovviamente lo stesso risultato...
Bastava aver continuato a leggere, invece ho preso l'indirizzo dell'apnic per quello del server a cui appartiene l'ip...
Scusate...

Comunque hai degli indirizzi a cui segnalare abusi nel report di whois...