Rumaenische Scraper auf dem Vormarsch..

[Airport1]

Schaut mal in Eure Logs ueber Zugriffsmuster von IPs beginnend mit
89.122.

3. Oktett sehr haeufig 29. fuer dieses oktett ist recht sicher dass gescraped wird fuer einen kleinen 4.oktett-bereich ,)

3. oktett kann auch 224 oder 213 sein. hier ist es noch nicht sicher und wird noch beobachtet..

Entweder wird nur die Startseite abgerufen, oder linear alle Links abgeklappert. Auch Incredibill meint das seien rumaenische Scraper..

[everflux]

Joa das ist aber schon etwas älter. Hab das /16 auf dem server wo meine haupt websachen liegen gefirewallt.
Hab aber auch einiges aus Frankreich, Brasilien und ganz schlimm Taiwan.
Im Prinzip ist man nirgends sicher

[Airport1]

Da haste aber grossflaechig gesperrt. Wir bei Bot-Trap bekaemen dafuer maechtig "Schimpfe" Nach Beobachtungen ist das hier definitiv ein Scraper-IPRange, bislang ist bei uns aber nur .33-.40 gesperrt, wird in Kuerze korrigiert:

89.122.29.31 - 89.122.29.40

[bull]

89.122.29.3, 89.122.29.81, 89.122.224.179 is mit dabei

[Airport1]

danke! haette da auch noch ebbes:
ip 89.122.224.179
ip 89.122.224.230
ip 89.122.213.8
ip 89.122.213.193

[everflux]

Ich hab auch schon nen paar /8 zugemacht... aber ich glaube ip basierte sperren bringen es nicht auf lange sicht.

[Kristian]

Hallo

Ich denke ich sollte mir mal wieder die Zeit dafür nehmen...
Aus der Ecke habe ich definitiv auch Anfragen die schwierig sind.
Der harte Weg wäre wohl: RewriteCond %{REMOTE_ADDR} ^89\.12[0-3] ....
Hmm, naja, halten wir's mal im Auge, es sind IMHO nicht die Leute dort, wenn ja dann als Auftragsnehmer, die Auftraggeber kommen bie mir zeitgleich mit ner deutschen IP.

Ist wohl normal heutzutage.

Gruss
Kristian

[Airport1]

> es sind IMHO nicht die Leute dort, wenn ja dann als Auftragsnehmer, die Auftraggeber kommen bie mir zeitgleich mit ner deutschen IP.

Nokia? Just kidding

[Kristian]

Hallo

Nokia? neee, da bist du in nem anderen Film.
Ich habe von dort DDos auf Dienstleistungen, die anderen wohl im Wege sind, sprich es ist normales Verhalten der Konkurenz.
kidding? jo die Scripte die laufen könnten auch von ScriptKidis eingesetzt werden, allerdings ist das zeitgleiche Auftreten, 1 mal DE dreimal RO ab und an und ab mal AR, eher ein Zeichen dafür dass es keine Kidis sind.
Hmmm, naja, wen stört es wirklich?

Gruss
Kristian

[everflux]

Eben, stärkeren Server kaufen und nicht mehr hingucken, dann schläft es sich auch ruhiger.
Die meisten Provider bieten ja jetzt auch Ökostrom an...

[Airport1]

leider sind die viecher doch auch ueber diesen kleineren teilbereich hinaus aktiv, daher muss die sperre verbreitert werden und zwar auf mindestens:

89.122.29.3 - 89.122.29.82

[Kristian]

Hallo

Das könnte man dann so schreiben:
RewriteCond %{REMOTE_ADDR} ^89\.122\.29\.([3-9]|[1-7][0-9]|8[0-2])$
allerdings kommt man nach einer whois-Abfrage zu dem Ergebnis, dass es wie oben schon erwähnt eigentlich 89.12[0-3] ist. Dummerweise fällt einem dabei auch auf, dass es sich um "personenbezogene" Daten handelt und die wollen wir ja weder kennnen noch speichern noch blockieren.
Da helfen dann nur die üblichen Scripte, die auf zu gierigen Zugriff reagieren.

Gruss
Kristian

[sean]

Da helfen dann nur die üblichen Scripte, die auf zu gierigen Zugriff reagieren.

haben will!

Gruß

sean

[Airport1]

ddos.sh + iptables, ggf. noch oder sogar (wenn man sich gut genug damit auskennt) nur apf.
aja, iptables ist sowieso bei nem linux meist dabei.. nur gewoehnungsbeduerftig [hab zwei buechlein dazu]

[sean]

hmmm, ok, danke. Komme drauf zurück wenn eigener Server läuft

Gruß

sean