87.173.149.233 "PROPFIND /meineseite.de HTTP/1.1"

Beitrag von **Mac** » 16.06.2007, 01:44

Hi,

ich habe jetzt zum ersten Mal den Fehlercode 405 in meinen Logs entdeckt, den aber gleich 20 mal von ein und derselben IP:

87.173.149.233 - - [14/Jun/2007:20:39:46 +0200] "GET /meinecss.css HTTP/1.1" 200 1324 www.meinedomain.de "https://www.meinedomain.de/meinunterord ... nthema.htm" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; coinbox 5.5.0.388)" "-"
87.173.149.233 - - [14/Jun/2007:20:39:46 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "https://www.meinedomain.de/meinunterord ... nthema.htm" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; coinbox 5.5.0.388)" "-"
87.173.149.233 - - [14/Jun/2007:20:39:46 +0200] "GET /meinunterordner/meinthema.htm HTTP/1.1" 200 24903 www.meinedomain.de "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; coinbox 5.5.0.388)" "-"
87.173.149.233 - - [14/Jun/2007:20:39:46 +0200] "GET /pics/bild2.gif HTTP/1.1" 200 5268 www.meinedomain.de "https://www.meinedomain.de/meinunterord ... nthema.htm" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; coinbox 5.5.0.388)" "-"
87.173.149.233 - - [14/Jun/2007:20:43:52 +0200] "PROPFIND /meinecss.css HTTP/1.1" 405 260 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:43:52 +0200] "GET /meinecss.css HTTP/1.1" 200 1324 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:44:56 +0200] "PROPFIND /meinecss.css HTTP/1.1" 405 260 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:44:56 +0200] "GET /meinecss.css HTTP/1.1" 200 1324 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:52 +0200] "PROPFIND /meinecss.css HTTP/1.1" 405 260 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:52 +0200] "GET /meinecss.css HTTP/1.1" 200 1324 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:52 +0200] "PROPFIND /pics/bild2.gif HTTP/1.1" 405 252 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:52 +0200] "GET /pics/bild2.gif HTTP/1.1" 200 5268 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:56 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:57 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:58 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:59 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:59 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:59 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:59 +0200] "PROPFIND /pics/bild1.jpg HTTP/1.1" 405 251 www.meinedomain.de "-" "-" "-"
87.173.149.233 - - [14/Jun/2007:20:46:59 +0200] "GET /pics/bild1.jpg HTTP/1.1" 200 496 www.meinedomain.de "-" "-" "-"

Das Kerlchen greift sich also zuerst um 20 Uhr 39 - mit (wohl gefälschtem) User-Agent ganz normal mittels 'GET' eine Unterseite mitsamt der css-Datei und den zwei Bildern.

Vier Minuten später kommt er zurück, diesmal ohne User-Agent, und versucht mehrmals in großzügigen Abständen, die css-Datei per 'PROPFIND' aufzurufen, jedesmal wenn das nicht klappt, holt er sie sich in derselben Sekunde per 'GET' (obwohl er sie ja schon seit 20 Uhr 39 hat). Nach dem dritten Mal probiert er dasselbe Spielchen , aber immer nur einmal, mit jedem Bild (bild1 ist ein Grafikelement und tatsächlich 16 Mal auf der [Unter-]Seite vorhanden).

'PROPFIND' ist doch wohl ein Befehl (?), der etwas mit der Bearbeitung von Web-Dokumenten durch mehrere Personen (bzw. von mehreren Rechnern aus) zu tun hat. Der Aufruf gibt nicht die Datei selber zurück, sondern Daten (welche eigentlich?) über diese Datei. Das auf fremde Webseiten anzuwenden macht eigentlich nur Sinn, wenn man diese mitbearbeiten möchte - und herauszufinden versucht, ob die WebDAV-Funktionen ungeschützt laufen?

[Nicht, daß ich wirklich eine Vorstellung davon hätte, wie WebDAV funktioniert]

Gruß,
Mac