¿Cómo solicita una persona gmail.com de mi servidor?

Question

¿Cómo solicita una persona gmail.com de mi servidor?

#1 de sebastian nielsen (2 votos)

0

Ejecuto varios sitios web / servicios web en NGINX con Ubuntu.

Hoy noté la siguiente línea en mi rogue.access.log (tengo un archivo vhost / log separado para detectar todas las solicitudes de sitios web que no sean los que estoy esperando):

Server: "gmail.com" - Virtual Host: "_" - Remote Address: "195.62.53.168" - Request: "GET /engine/log.txt HTTP/1.1" - Status: "501" - Referer: "-" - User Agent: "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:30.N) Gecko/20110302 Firefox/30.0".

Regularmente recibo solicitudes extrañas que incluyen \x01 (bots de escaneo) y personas que configuran los registros A de su dominio en mi IP. Sé que esto es normal, aunque probablemente con propósitos maliciosos; simplemente llegan a mi vhost catch-all (un ejemplo actual sería top10datingsitesuk.co.uk . Sin embargo, estoy confundido en cuanto a cómo una persona puede solicitar gmail.com desde mi servidor. Obviamente, Google no cambió accidentalmente sus registros A a mi IP, ¿cómo se hace esto y cómo podría detenerlo mejor? La URL anterior apunta a mi servidor y demuestra cómo lidio con esta situación, pero ¿lo estoy manejando correctamente?

nginx log-analysis

pregunta jpl42 08.10.2016 - 17:48

fuente

1 respuesta

Lea otras preguntas en las etiquetas nginx log-analysis

Anulación de la codificación HTML [cerrado] ¿Cómo volver a emitir la clave secreta en Session Resumption?

score 2 · Accepted Answer

Es mediante la suplantación del encabezado Host: dentro de la solicitud HTTP. Sin embargo, no sé POR QUÉ un atacante querría pensar que su servidor es de gmail. Probablemente quieren apuntar a servidores que tienen algún tipo de host virtual y solo usan gmail.com porque saben que ningún servidor real responderá a eso, en lugar de aumentar un nombre de host como dlgjdlgdlgdjlgj.com, porque están tratando de obtenga el registro del motor, que solo está disponible en el host vhost vinculado a la máquina física, no a los hosts virtuales.

Puedes probarlo tú mismo:

telnet [ip de tu servidor] 80

GET / HTTP/1.1
Host: gmail.com
[include 2 newlines]

y luego observa tus registros.