Bedeutet dieser Drupal-Logeintrag, dass ich bei mir ein Problem mit der Sicherheit im System hab?
am 14.11.2013 - 16:14 Uhr in
Hallo,
ich hab in meinem apache error_log Einträge wie den folgenden gefunden:
[client 183.60.244.44] PHP Warning: Illegal mix of collations (latin1_swedish_ci,IMPLICIT) and (utf8_general_ci,COERCIBLE) for operation '='\nquery: SELECT src FROM drup_url_alias WHERE dst = '\xe5\xae\x89\xe8\xa3\x85\xe8\xaf\xb4\xe6\x98\x8e.txt' AND language IN('de', '') ORDER BY language DESC, pid DESC in mysite/includes/database.mysql.inc on line 135, referer: http://www.baidu.com
Ich hab ein bisschen nachrecherchiert und herausgefunden, dass
- die Anfrage aus China kam
- die Anfrage von einem check_plain in database.mysql.inc auf Zeile 135 abgefangen wurde
- ich keine kompromittierten Einträge in drup_url_alias gefunden habe
- die Anfrage nach irgendeinem seltsamen alias sucht
- das ganze mit ziemlicher Sicherheit ein Angriff war, da die selbe IP-Adresse auch vergeblich nach Ordnern wie /srv/www/cgi-bin/php gesucht hat (wahrscheinlich wegen dem kürzlich gefunden php Bug mit CGI)
Ich schein also auf dem ersten Blick unbeschadet durch den Angriff gekommen zu sein, ich frag mich aber, wie denn so eine Anfrage überhaupt bis zu dem Punkt gelangen konnte, dass das in der database.mysql.inc abgefangen werden musste - und was sie überhaupt bezwecken sollte. Hat da sonst schon jemand in den logs gefunden?
Ich würde mich über etwas Erleuchtung freuen :-)
- Anmelden oder Registrieren um Kommentare zu schreiben
Keiner eine Idee?
am 25.11.2013 - 09:28 Uhr
Keiner eine Idee?
Diese Frage ist wohl eher
am 25.11.2013 - 10:26 Uhr
Diese Frage ist wohl eher etwas für das Security Team auf drupal.org
Dort heißt es, das ist
am 04.12.2013 - 07:29 Uhr
Dort heißt es, das ist wahrscheinlich nur ein Versuch zu testen, ob ein vorhergehender Angriff erfolgreich war.
Hab den Dateinamen mal dekodiert, \xe5\xae\x89\xe8\xa3\x85\xe8\xaf\xb4\xe6\x98\x8e soll 安装说明 darstellen, und das heißt laut Google Translator "Installation Instructions"