nph-proxy.cgi owns YOU! Kann DC und Hijacking ausloesen

Beitrag von **woody** » 23.12.2006, 22:29

wo genau?

greetz woody

von **Anzeige von ABAKUS** »

Beitrag von **psycho** » 23.12.2006, 23:13

öhm, mal'ne Frage: Warum sperrt ihr denn nicht einfach alle Proxies?

Grundsätzlch gibt's 2 Arten: transparente und anonyme. In beiden Fällen ist erkennbar, dass die per php auslesbare IP nicht die des Surfers ist - solche Aufrufe müssen doch einfach nur geblockt werden und gut ist.

Ich habe übrigens eben auch mal nachgesehen, was der so von meinen Hauptprojekten hat - bisher sind's nur 3 Unterseiten und die Kopien kann ich beim besten Willen nicht über entsprechende Suchabfragen (außer der site:gizli...) auffinden. Also wer ein paar eingehende Links für seine Projekte hat, dem kann dieser spammende Grabber derzeit eh nichts anhaben.

Beitrag von **Airport1** » 24.12.2006, 01:46

> öhm, mal'ne Frage: Warum sperrt ihr denn nicht einfach alle Proxies?

wenn das so einfach waere:

1. ist die ip oft nicht die des webservers
2. aendert sich die ip immer wieder mal
3. wer kennt ALLE nph proxies... das sind hunderte, wenn nicht tausende..

bei schwachen (z.b. neuen) seiten gewinnt gizliweb.. eigentlich immer.. die echte seite fliegt aus dem index... dc

von **Anzeige von ABAKUS** »

Content Erstellung von ABAKUS Internet Marketing
Ihre Vorteile:

einzigartige Texte
suchmaschinenoptimierte Inhalte
eine sinnvolle Content-Strategie
Beratung und Umsetzung

Jetzt anfragen: 0511 / 300325-0

Beitrag von **SloMo** » 24.12.2006, 09:23

psycho hat geschrieben:Ich habe übrigens eben auch mal nachgesehen, was der so von meinen Hauptprojekten hat - bisher sind's nur 3 Unterseiten

Naja, bei Gizliweb ziehen die Google-Mechanismen: Je weniger Links, desto weniger interessiert sich der Bot. Gizliweb crawlt ja nicht selbst, sondern benutzt dazu die Bots der Suchmaschinen.

Normalerweise wäre so ein Spammer längst von Google gekickt worden. Ich vermute, dass Google die Domain nur deswegen nicht kickt, weil sie an einer umfassenden Lösung arbeiten. Kann ja auch nicht so schwer sein, jemanden mit so massenhaftem DC automatisch als Content-Dieb zu erkennen. Ehrlich gesagt: es sollte kinderleicht sein... kaum verständlich, warum das so lange dauert! Wahrscheinlich überlegt sich da irgend ein Doktorand seit Wochen, wie er das mathematisch exakt formulieren könnte, oder warum die vorhandenen Mechanismen versagen...

Beitrag von **psycho** » 26.12.2006, 18:47

@airport: Ich formuliere das zum besseren Verständnis noch mal neu

Wenn Du mit einem Proxy ankommst, wird dies meistens in HTTP_X_FORWARDED_FOR mitgeliefert. Ein Vergleich dieser Variable mit REMOTE_ADDR kann (aber muss nicht) weiterhelfen. Guck mal in die Kommentare unter https://de3.php.net/manual/de/function.getenv.php Auch folgendes könnte hilfreich sein: https://www.webmasterpark.net/forum/web ... 639-1.html Man wird damit wahrscheinlich nicht alle Proxies als solche identifizieren können, aber 90% wären doch auch schon mal ein guter Anfang, um die manuell gepflegten Listen klein halten zu können

Beitrag von **alpenlinker** » 26.12.2006, 18:51

danke für die hilfe!

ich arbeite auch an einer lösung dieses problems.

der knabe hat zumindest drei meiner seiten gefressen!

Beitrag von **Anonymous** » 26.12.2006, 20:07

Das Problem mit Gizliweb, soweit ich das bisher analysiert habe, liegt nicht nur darin dass er ein Proxy ist sondern seine Spezialität liegt darin, als Spammer annektierte Seiten gleichzeitig zu bewerben. Es gibt besonders in Google.com unglaublich viel Referer-Blog- und SonstwasSpam in dem Gizliweb die von ihm gespiegelten Seiten verlinkt und sie dadurch - wenn sie nicht selbst schon stark sind - hijackt. Das macht das Ding meiner Ansicht nach so gefährlich - es wirbt für die geklauten Seiten und kommt mit diesen Links in den Index der Suchmaschinen. Da der Spam massenhaft produziert wird gibts auch allerhand Backlinks - und zwar von teilweise gut gerankten Webseiten.

@alpenlinker: die Bot-Trap sperrt Gizliweb aus. Du solltest auf jeden Fall jede einzelne, von Gizliweb übernommene Webseite bei Google melden.

Beitrag von **Airport1** » 26.12.2006, 20:13

> Du solltest auf jeden Fall jede einzelne, von Gizliweb übernommene Webseite bei Google melden.

Da ist man dann aber ein paar Jaehrchen beschaeftigt

Beitrag von **Kristian** » 26.12.2006, 23:41

Hallo

psycho hat geschrieben:@airport: Ich formuliere das zum besseren Verständnis noch mal neu Wenn Du mit einem Proxy ankommst, wird dies meistens in HTTP_X_FORWARDED_FOR mitgeliefert. Ein Vergleich dieser Variable mit REMOTE_ADDR kann (aber muss nicht) weiterhelfen. Guck mal in die Kommentare unter https://de3.php.net/manual/de/function.getenv.php Auch folgendes könnte hilfreich sein: https://www.webmasterpark.net/forum/web ... 639-1.html Man wird damit wahrscheinlich nicht alle Proxies als solche identifizieren können, aber 90% wären doch auch schon mal ein guter Anfang, um die manuell gepflegten Listen klein halten zu können

Sorry, soviel Sinnfrei am Stück habe ich lange nicht mehr gelesen.
Das Script um das es hier geht ist frei verfügbar.
Wenn man lesen kann sollte klar sein, dass eine Auswertung des HTTP-Headers sinnfrei ist.
Vermutungen und Verweise auf Vermutungen von Leuten die auch nicht lesen können machen es nicht besser.

SCNR
Kristian

Beitrag von **alpenlinker** » 28.12.2006, 11:24

kann es sein, dass gizliweb vom Netz ist?

Beitrag von **SloMo** » 28.12.2006, 12:36

Eben konnte noch etwas geladen werden... vielleicht läuft es mit dem Hijacking nur zu gut, und er hat den Server (bzw. die Clients hinterm Proxy) nicht ausreichend dimensioniert. Oder jemand schießt zurück

Beitrag von **alpenlinker** » 28.12.2006, 16:36

ich komm nicht mehr auf die seite

Beitrag von **psycho** » 28.12.2006, 19:09

@Kristian: was willst Du mir mit Deinem Post sagen? Warum sollte diese Auswertung keinen Sinn machen?

Ich hab's nicht getestet, würde aber vermuten, dass die meisten Proxies durchaus standardkonform arbeiten und die Header-Infos richtig setzen. Damit bräuchte man die zugehörigen IPs nicht sperren und könnte die entsprechenden Listen kleiner halten.
Ich kenne bot-trap, habe es selbst eine Zeit lang genutzt, verwende allerdings seit einigen Monaten eine schlankere eigene Variante, die auf einigen meiner Domains die Spider zusätzlich mit Datenmüll zupflastert. In der Vergangenheit hatte ich auch mehrfach diverse Bots bei airport im Forum gemeldet - nur unter anderem Nick

Beitrag von **Airport1** » 29.12.2006, 01:08

noch schlanker geht ja fast nimmer

noe, genau dieser "anon proxy" setzt keinen dieser header. den kann man leider nur ueber die ip sperren.

aber seit heute scheint der ein prob zu haben, bei aufruf von https://www.gizliweb.com/ kommt irgendwie gar nix mehr...
ABER: es gibt noch genug andere nph-proxy.cgi "Dienste"

Beitrag von **Anonymous** » 29.12.2006, 08:53

Jetzt kommt dort nur noch die Plesk-Seite - vielleicht sind wir den Hijacker jetzt los.