访问日志中包含/ RS =的奇怪条目

我最近启动了一个客户的站点，最近几天来，并且访问频率越来越高，而且访问频率越来越高。

[28/Feb/2014:06:26:53 +0800] "GET //RS=^ADAA6U_G38x_VuWqDIVQJpBbDUsUW0- HTTP/1.1" 302 630 "http://www.domain.com.au/" "Mozilla/5.0 (Windows NT 6.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36"]

和

[28/Feb/2014:06:26:54 +0800] "GET /RS=%5eADAA6U_G38x_VuWqDIVQJpBbDUsUW0- HTTP/1.1" 404 8291 "http://www.domain.com.au/" "Mozilla/5.0 (Windows NT 6.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/27.0.1453.116 Safari/537.36"

该domain.com.au部分是网站的实际地址。我已更改了此帖子。

我无法弄清楚这是要归档的东西，因为它只是设置了另一个get变量，除非我错了，否则它不会归档任何东西。

您认为我们应该关注这些要求吗？
这些请求试图归档什么？
我们有什么办法阻止他们？

apache-log-files

— 用户名
source

您的网站是关于什么的？如果不太敏感，不愿透露。另外，您在该网站上安装了任何CMS或软件包吗？

— PatomaS 2014年

@PatomaS该站点有点敏感。CMS系统是客户内置的，因此不应生成任何类似内容。正如更多的信息所见，与以下RK = 0 / RS = N3luhChARYe3D3ZNSAkKO3L2gXE-的连接更多，因此它不会遵循其他日志。

— user3363066 2014年

rs，rk或rc是系统接受/使用的参数吗？在接触Internet之前，您是否有任何Microsoft产品？

— PatomaS

@PatomaS不，这是一台从未运行过任何与MS相关的Linux服务器。据我所知，没有任何东西应该使用这些参数，至少不是从Web界面。

— user3363066

那应该没问题。尽管如此，试图阻止访问所推荐的JHON

— PatomaS

Answers:

我找不到与该请求相关的任何内容，因此，如果它是恶意的，那么它还没有被发现。我也看不到如何使用它来损害您的网站。

话虽这么说，坏人似乎比我们领先一步，所以如果此请求在您的网站上没有任何用处，我将尝试阻止它。即使只是为了防止日志被污染。

我想说，如果可能，您应该尝试阻止它们。这些请求的两个一致部分是/RS=，ADAA6U_G38x_VuWqDIVQJpBbDUsUW0因此您可以专注于阻止它们。

— 约翰·康德
source

只是一点意见。我认为他们试图攻击使用正则表达式参数的特定软件。可能只是测试存在。之所以出现这个想法，是因为％5e是“ ^”的编码版本。加上在字符串末尾带有“-”，可以使其仅在正则表达式上生成一个范围。当然，不知道正则表达式，我们不知道这是否相关。

— PatomaS 2014年

这是另一种看法。graphicline.co.za/articles/add-uri-string-rsada

— cayerdis 2014年

它们来自使用Yahoo!的网络刮板错误搜索结果。该发现由XenForo论坛上的@tenants做出。他们解释了接收这些请求的更多含义以及如何处理它们。

1.您认为我们应该关注这些要求吗？

您不必担心这些请求。它们只是愚蠢的机器人和愚蠢的机器人在互联网上徘徊的标志。仅根据URL不能将这些请求标识为恶意，它们可能是无辜的。

2.这些请求试图归档什么？

他们正在尝试获取所请求页面的内容。它们没有特殊效果，它们是Yahoo!的（不需要的）产品。搜索抓取。

3.我们能做些什么来阻止他们？

并非如此，任何人都可以自由地在网上发布他们喜欢的任何请求。（至少从技术上讲。社会和法律方面都放在一边。）

从日志生成报告时，可以将其丢弃。这是我选择的选项。
或者，您可以尝试修复成功的请求，而不生成日志条目。这可能是我在网上看到的大多数内容。我看到这种方法有缺陷。在改善访问者体验的同时，他们忘记了那些访问者是谁。笨笨的机器人。我不想在自己的网站上使用笨拙的漫游器，所以我不会费心去改善他们的体验。

如果您要解决请求，则可以使用 mod重写，可能来自 .htaccess，例如使用我上面提到的XenForo论坛帖子中的代码：

RewriteEngine On

# strange behaving bots, these are urls scraped from yahoo (botters scrapping for links, yahoo search link contain RK RS) tenants modification:
RewriteRule ^(.*)RK=0/RS= /$1 [L,NC,R=301]
RewriteRule ^(.*)RS=^ /$1 [L,NC,R=301]

您可能需要稍微修饰一下正则表达式，例如，(.*)如果您的网址不以一个结尾，请在其后添加一个额外的斜杠。

有关

性质或请求的原始报告 @ XenForo论坛
.html / RK = 0 / RS = [random_string]的RewriteRule @堆栈溢出
.htaccess重写规则在RK = 0 / RS = @ 之后删除所有内容
问题：在URI @ The Blackboard（Rankexploits.com）中为“ .. // RK = 0 / RS = foo-”
包含RS = ^的Web服务器日志 @ InfoSec处理程序日记博客（不是很有趣）
添加了URI字符串RS = ^ ADA @ Graphicline（不是很有趣）

荣誉对@合作举办一年一度的堆栈溢出的答案和@webaware下这个问题寻找的XenForo论坛帖子的评论。

— 百乐
source