При обращению к сайту можно ли как-то поlvtybnm $_SERVER[SERVER_NAME'] и для каких целей это делают?

Question

svd71 @svd71

PHP

При обращению к сайту можно ли как-то поlvtybnm $_SERVER[SERVER_NAME'] и для каких целей это делают?

В логах обращений к сайту обнаружил попытки использовать его как прокси. Но самое интересное, что при этом переменная $_SERVER[SERVER_NAME'] (которая в принципе должна содержать название моего хоста) имела именно измененное значение. Как такое возможно идля каких целей можетбыть использовано?

Вопрос задан более трёх лет назад
3125 просмотров

5 комментариев

Подписаться 2 Оценить 5 комментариев

svd71 @svd71 Автор вопроса

очень просто. в лог сохраняется переменные сервера. В том числе и SERVER_NAME.
вот одна такая запись

SERVER_NAME = best-proxies.ru, REMOTE_IP=5.178.86.77, REMOTE_HOST_NAME=5.178.86.77, REQUEST_URI=http://best-proxies.ru/azenv.php?rand=4805211cca89b43e0a556bf77aa18536

вот другая

www.daydaydata.com	
111.73.45.204	
111.73.45.204	
http://www.daydaydata.com/proxy.txt

вот третий артефакт

wikipedia.pl  
178.19.107.26  
d030.neteasy.pl  
http://wikipedia.pl

Написано более трёх лет назад

svd71 @svd71 Автор вопроса

PS: Почти у всех удаленных хостов замененная SERVER_NAME совпадает с размещенным на IP именем хоста. Только у одного он изменился. Скорее всего за сутки, раньше был такой же. Но изменился на цифры в первом октете (раньше был 111, теперь 222).

Написано более трёх лет назад
svd71 @svd71 Автор вопроса

Из перечисленных здесь его нет.

Написано более трёх лет назад
svd71 @svd71 Автор вопроса

Если бы было именно так, то такие бы запросы повторялись с разными запросами. За исключением из домена ru (3 раза с повторяющимся запросом с разницей через минимум 4 часа), все остальные это единичные записи.

До этого были попытки румын найти на сервере phpMyAdmin и другие незакрытые дырки.

Написано более трёх лет назад
svd71 @svd71 Автор вопроса

Ubuntu.

А вы так и будете "уточнения" писать или религия не позволяет ответ создать?

Написано более трёх лет назад

Решения вопроса 1

6 комментариев

svd71 @svd71 Автор вопроса

огласите весь список вариантов. а еще лучше скомментом, есть ли в чем либо опасность.

Написано более трёх лет назад
Алексей @rdifb0

Таким образом меняется HTTP_HOST. А SERVER_NAME устанавливается сервером, и не должно реагировать на запрос, иначе сервер настроен криво.

Написано более трёх лет назад
Сергей Соколов @sergiks Куратор тега PHP

@rdifb0 вы правы, я поспешил с ответом. Может, веб сервер или дальнейший скрипт сконфигурирован таким образом, что копирует HTTP_HOST в SERVER_NAME в данном случае?

Написано более трёх лет назад
Сергей Соколов @sergiks Куратор тега PHP

обновил ответ.

Написано более трёх лет назад
svd71 @svd71 Автор вопроса

еще раз проверил скрипты, не ошибся ли я. Нет, не ошибся - именно ключ SERVER_NAME используется для сохраннения лога. HTTP_HOST неможет быть так скопирован. Иначе у других хостов так же был бы такой глюк. На зараженние или взлом мало похоже - иначе бы таких запросов было каждый день пачками по несколько штук. А по логам они смахивают на попытки. Пытался сам в браузере сконструировать такой запрос - сайт реагирует правильно: показывает начальную страницу, но в лог записывает правильные значения, без замены с HTTP_HOST. Остается подозрение на неправильную конфигурацию настроек апача.

Написано более трёх лет назад
svd71 @svd71 Автор вопроса

Вы оказались правы: бабка пошептала ;-D

Написано более трёх лет назад

Пригласить эксперта

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

PHP

+2 ещё

Простой
Как решить проблему с php?
- 1 подписчик
- 18 часов назад
- 120 просмотров
1

ответ
PHP

Простой
Как разделить данные с авторизацией и без?
- 1 подписчик
- 19 часов назад
- 71 просмотр
0

ответов
PHP

+1 ещё

Простой
Почему библиотека GD не работает на новый версия?
- 1 подписчик
- 21 час назад
- 45 просмотров
1

ответ
PHP

Средний
Почему неправильно работает авторизация через jwt токен?
- 1 подписчик
- вчера
- 71 просмотр
1

ответ
PHP

+3 ещё

Средний
Почему не работает POST-запрос от React(+Redux) к PHP?
- 1 подписчик
- вчера
- 89 просмотров
1

ответ
PHP

+1 ещё

Средний
Как в symfony распространить сессию и cookie на все поддомены?
- 1 подписчик
- вчера
- 61 просмотр
1

ответ
PHP

+1 ещё

Средний
Почему $_SERVER['PATH_INFO'] выводит ошибку?
- 1 подписчик
- 02 мая
- 79 просмотров
2

ответа
PHP

Простой
Как изменить переменную, которая находится вне класса?
- 1 подписчик
- 01 мая
- 106 просмотров
3

ответа
PHP

+1 ещё

Простой
Как взаимодействовать с базой, если у тебя запущен вечный скрипт?
- 1 подписчик
- 01 мая
- 160 просмотров
3

ответа
PHP

+1 ещё

Простой
Почему может возникать mysql ошибка 2006, если timeout 28800?
- 1 подписчик
- 01 мая
- 51 просмотр
1

ответ
Показать ещё Загружается…

PHP разработчик

Ведисофт • Екатеринбург

от 25 000 ₽

PHP Developer

YCLIENTS • Москва

от 200 000 до 350 000 ₽

Backend разработчик PHP Laravel

Бюро Цифровых Технологий • Санкт-Петербург

от 120 000 до 180 000 ₽

Разработка торгового бота на Байбит под виндоус серверс

04 мая 2024, в 15:12

15000 руб./за проект

Разработка лендинга на Тильда Tilda

04 мая 2024, в 14:46

15000 руб./за проект

Программа для сайта знакомств (ИИ)

04 мая 2024, в 14:41

20000 руб./за проект

очень просто. в лог сохраняется переменные сервера. В том числе и SERVER_NAME.
вот одна такая запись
SERVER_NAME = best-proxies.ru, REMOTE_IP=5.178.86.77, REMOTE_HOST_NAME=5.178.86.77, REQUEST_URI=http://best-proxies.ru/azenv.php?rand=4805211cca89b43e0a556bf77aa18536

вот другая
www.daydaydata.com 111.73.45.204 111.73.45.204 http://www.daydaydata.com/proxy.txt

вот третий артефакт
wikipedia.pl 178.19.107.26 d030.neteasy.pl http://wikipedia.pl
PS: Почти у всех удаленных хостов замененная SERVER_NAME совпадает с размещенным на IP именем хоста. Только у одного он изменился. Скорее всего за сутки, раньше был такой же. Но изменился на цифры в первом октете (раньше был 111, теперь 222).
Если бы было именно так, то такие бы запросы повторялись с разными запросами. За исключением из домена ru (3 раза с повторяющимся запросом с разницей через минимум 4 часа), все остальные это единичные записи.

До этого были попытки румын найти на сервере phpMyAdmin и другие незакрытые дырки.
Ubuntu.

А вы так и будете "уточнения" писать или религия не позволяет ответ создать?

Answer 1 · 2014-01-23 22:05:32

telnet www.ваш_сервер.ru 80
...
GET /index.php HTTP/1.1
Host: www.poddelka.ru
(два раза Enter)

Вот и подделали (upd.) HTTP_HOST. Переменная окружения SERVER_NAME задаётся веб сервером и в обычном случае не несёт любых значений из запроса пользователя. В вашем случае, если упомянутые в логах значения SERVER_NAME нигде не прописаны явно в конфигах веб серверов, значит, либо конфиг веб-сервера копирует их из запроса, либо дальнейший скрипт, пишущий логи, их путает или копирует.
Не исключено, что сервер уже взломан, и такие запросы и использование его в качестве прокси – уже последствия взлома.

Как и для чего использовать — много вариантов, покажите логи.

При обращению к сайту можно ли как-то поlvtybnm $_SERVER[SERVER_NAME'] и для каких целей это делают?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт