code mystère dans recherche

Général
1

Bonjour,
C'est la 2e fois que je constate sur mon site une recherche faite à partir
du formulaire incluant un code qui liste tous les liens du site dans la page
"recherche".
J'ai vidé le maximum d'iframe, les recherches referers.
Quelqu'un a t il une idée de la raison de ce listage, si c'est malveillant,
et comment s'en prévenir?
A+,Patrick

2

J'avais oublié le code mystère:

iakUK <a href="http://ysrxbytjzqpa.com/&quot;&gt;ysrxbytjzqpa&lt;/a&gt;,
[url=http://agppbadnieot.com/\]agppbadnieot[/url], [link=http://ozudfhvbiz

entré dans le formulaire recherche, il liste tous les liens...

"patrick" <dupouypa@club-internet.fr> a écrit dans le message de news:
hrokb1$cld$1@dough.gmane.org...

Bonjour,
C'est la 2e fois que je constate sur mon site une recherche faite à partir
du formulaire incluant un code qui liste tous les liens du site dans la
page "recherche".
J'ai vidé le maximum d'iframe, les recherches referers.
Quelqu'un a t il une idée de la raison de ce listage, si c'est
malveillant, et comment s'en prévenir?
A+,Patrick

--------------------------------------------------------------------------------

3

patrick a écrit :

J'avais oublié le code mystère:

iakUK <a href="http://ysrxbytjzqpa.com/&quot;&gt;ysrxbytjzqpa&lt;/a&gt;, [url=http://agppbadnieot.com/\]agppbadnieot[/url], [link=http://ozudfhvbiz

entré dans le formulaire recherche, il liste tous les liens...

"patrick" <dupouypa@club-internet.fr> a écrit dans le message de news: hrokb1$cld$1@dough.gmane.org...
  

Bonjour,
C'est la 2e fois que je constate sur mon site une recherche faite à partir du formulaire incluant un code qui liste tous les liens du site dans la page "recherche".
J'ai vidé le maximum d'iframe, les recherches referers.
Quelqu'un a t il une idée de la raison de ce listage, si c'est malveillant, et comment s'en prévenir?
A+,Patrick

--------------------------------------------------------------------------------

  ------------------------------------------------------------------------

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Discuter chez rezo.net

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

J'ai la même chose depuis hier et je n'ai pas trouvé d'où ça provient

Bernard

4

Comme je l'ai écrit plus haut, cela m'est déjà arrivé avec un code analogue
il y a quinze jours.
Je pensais à l'origine, qu'il pointait les iframe, en fait, il pointe les
liens externe.
Mais je vois que tu as une adresse "free" et mon site est chez free (?)
Y a t il relation de cause à effet?
En tout cas, aprés la 1e mention de ce fait, j'ai vidé les referers qui
venaient de mon site et non des autres moteurs de recherche.
Prochaine fois, j'enlève le formulaire de recherche qui est peu utilisé, les
visiteurs entrant plutot par les moteurs de recherche (à 99%).
On se tiens au courant.
A+,Patrick

"Bernard Blazin" <bernard.blazin@free.fr> a écrit dans le message de news:
4BDFE665.1080106@free.fr...
patrick a écrit :

J'avais oublié le code mystère:

iakUK <a href="http://ysrxbytjzqpa.com/&quot;&gt;ysrxbytjzqpa&lt;/a&gt;,
[url=http://agppbadnieot.com/\]agppbadnieot[/url], [link=http://ozudfhvbiz

entré dans le formulaire recherche, il liste tous les liens...

"patrick" <dupouypa@club-internet.fr> a écrit dans le message de news:
hrokb1$cld$1@dough.gmane.org...

Bonjour,
C'est la 2e fois que je constate sur mon site une recherche faite à
partir du formulaire incluant un code qui liste tous les liens du site
dans la page "recherche".
J'ai vidé le maximum d'iframe, les recherches referers.
Quelqu'un a t il une idée de la raison de ce listage, si c'est
malveillant, et comment s'en prévenir?
A+,Patrick

--------------------------------------------------------------------------------

  ------------------------------------------------------------------------

_______________________________________________
liste spip
spip@rezo.net - désabonnement : envoyer un mail à spip-off@rezo.net

Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Discuter chez rezo.net

Documentation de SPIP : http://www.spip.net/

Irc : de l'aide à toute heure : http://spip.net/irc

J'ai la même chose depuis hier et je n'ai pas trouvé d'où ça provient

Bernard

5

Bonjour,

Ce code m’a tout l’air de provenir d’un bot qui essaie de remplir tous les formulaires qu’il trouve (aussi bien contact, forum, commentaires que recherche en l’occurence) pour amener des visiteurs à cliquer sur des liens vérolés.

Donc à priori pas d’impact tant que ce n’est que de la recherche.

A bientôt
Simon

patrick a écrit :

6

C’est déjà plus rassurant comme nouvelle.
Merci,
A+,Patrick

« Simon Camerlo » <scamerlo.work@gmail.com> a écrit dans le message de news: 4BDFEBCF.5060005@gmail.com…
Bonjour,

Ce code m’a tout l’air de provenir d’un bot qui essaie de remplir tous les formulaires qu’il trouve (aussi bien contact, forum, commentaires que recherche en l’occurence) pour amener des visiteurs à cliquer sur des liens vérolés.

Donc à priori pas d’impact tant que ce n’est que de la recherche.

A bientôt
Simon

patrick a écrit :

Comme je l'ai écrit plus haut, cela m'est déjà arrivé avec un  code analogue 
il y a quinze jours.
Je pensais à l'origine, qu'il pointait les iframe, en fait, il pointe les 
liens externe.
Mais je vois que tu as une adresse "free" et mon site est chez free (?)
Y a t il relation de cause à effet?
En tout cas, aprés la 1e mention de ce fait, j'ai vidé les referers qui 
venaient de mon site et non des autres moteurs de recherche.
Prochaine fois, j'enlève le formulaire de recherche qui est peu utilisé, les 
visiteurs entrant plutot par les moteurs de recherche (à 99%).
On se tiens au courant.
A+,Patrick

"Bernard Blazin" [<bernard.blazin@free.fr>](mailto:bernard.blazin@free.fr) a écrit dans le message de news: 
[4BDFE665.1080106@free.fr](mailto:4BDFE665.1080106@free.fr)...
patrick a écrit :
  

J'avais oublié le code mystère:

iakUK <a href=["http://ysrxbytjzqpa.com/"](http://ysrxbytjzqpa.com/)>ysrxbytjzqpa</a>, 
[url=[http://agppbadnieot.com/](http://agppbadnieot.com/)]agppbadnieot[/url], [link=[http://ozudfhvbiz](http://ozudfhvbiz)

entré dans le formulaire recherche, il liste tous les liens...

"patrick" [<dupouypa@club-internet.fr>](mailto:dupouypa@club-internet.fr) a écrit dans le message de news: 
[hrokb1$cld$1@dough.gmane.org](mailto:hrokb1$cld$1@dough.gmane.org)...

    

Bonjour,
C'est la 2e fois que je constate sur mon site une recherche faite à 
partir du formulaire incluant un code qui liste tous les liens du site 
dans la page "recherche".
J'ai vidé le maximum d'iframe, les recherches referers.
Quelqu'un a t il une idée de la raison de ce listage, si c'est 
malveillant, et comment s'en prévenir?
A+,Patrick

      

--------------------------------------------------------------------------------

  ------------------------------------------------------------------------

_______________________________________________
liste spip
[spip@rezo.net](mailto:spip@rezo.net) - désabonnement : envoyer un mail à  [spip-off@rezo.net](mailto:spip-off@rezo.net)

Infos et archives : [http://listes.rezo.net/mailman/listinfo/spip](http://listes.rezo.net/mailman/listinfo/spip)
[http://archives.rezo.net/spip.mbox/](http://archives.rezo.net/spip.mbox/)

Documentation de SPIP : [http://www.spip.net/](http://www.spip.net/)

Irc : de l'aide à toute heure : [http://spip.net/irc](http://spip.net/irc)
    

J'ai la même chose depuis hier et je n'ai pas trouvé d'où ça provient

Bernard 

  


---

_______________________________________________
liste spip
[spip@rezo.net](mailto:spip@rezo.net) - désabonnement : envoyer un mail à  [spip-off@rezo.net](mailto:spip-off@rezo.net)

Infos et archives : [http://listes.rezo.net/mailman/listinfo/spip](http://listes.rezo.net/mailman/listinfo/spip)
[http://archives.rezo.net/spip.mbox/](http://archives.rezo.net/spip.mbox/)

Documentation de SPIP : [http://www.spip.net/](http://www.spip.net/)

Irc : de l'aide à toute heure : [http://spip.net/irc](http://spip.net/irc)
7

Le 04/05/2010 10:07, patrick a écrit :

J'avais oublié le code mystère:

iakUK <a href="http://ysrxbytjzqpa.com/&quot;&gt;ysrxbytjzqpa&lt;/a&gt;,
[url=http://agppbadnieot.com/\]agppbadnieot[/url], [link=http://ozudfhvbiz

entré dans le formulaire recherche, il liste tous les liens...
  

Bonjour,

But :
Ce code est tenté, selon toute vraisemblance, par des spambots c'est à
dire des scripts exécutés automatiquement par des serveurs dans le but
de spammer un maximum de sites web.
Comme l'a rappelé Simon Camerlo, il y a aussi une version qui ne
s'attaque qu'au webmaster du site en apparaissant dans ses logs, le but
étant plutôt d'infecter son ordinateur (et là c'est le jackpot puisqu'un
webmaster a des mots de passe enregistrés qui donnent tout pouvoir sur
un site web ...)

Moyen :
Les spambots ont une liste de sites web, ils inspectent un maximum de
pages à la recherche de formulaires. Ensuite ils ajoutent un texte avec
des liens (ici un lien HTML et un lien en BBcode ou proche), texte
qu'ils envoient comme s'il provenait d'un navigateur (en trafiquant
l'user-agent, etc). Les renseignements dont ils ont besoin sont dans
l'élément form de toute façon.
Leur espoir est que ce qu'ils ont posté se retrouve dans une page du
site web, parce que le formulaire permettait de poster un message dans
un Livre d'or ou de poster un commentaire sur un blog, etc
Nous avons eu, du temps où il existait http://blog.alsacreations.com ,
une version en deux temps : 2-3 commentaires de spam postés sur un blog
Dotclear1 puis comme ceux-ci n'avaient pas été repérés et effacés et que
le script avait vérifié qu'ils étaient encore là un jour après, il avait
48H plus tard posté plus de 200 commentaires de spam au même endroit !
Certains sont assez évolués pour faire la différence entre input text et
textarea, pour tenter plusieurs combinaisons de configuration de boutons
radio, pour laisser vide le dernier champ afin de tester si c'un piège
antispam ("laissez vide ce champ"), essayer de comprendre les étiquettes
les plus courantes ("your name", "your email", etc) ne remplir que ceux
qui se terminent par '*', etc

J'ai testé ton code, chez moi il renvoie 0 résultat (Spip 2.0.x).
Par contre "</a>" renvoie effectivement un grand nombre de pages,
j'imagine toutes celles où il y a des liens dans le texte ou bien
toutes, liens ou pas (le site utilise un plugin FCKeditor, pas la
syntaxe SPIP, j'ignore si ça change quelque chose).

Conséquences :
A priori aucune, à part fausser et encombrer tes statistiques. Comme
c'est le lot de tous les sites web de la planète, ça ne fausse pas les
stats par rapport aux autres sites web, c'est déjà ça.
Si tu affiches les 5 ou 10 dernières recherches de tes visiteurs
(bonjour l'anonymat), le script peut s'apercevoir que son texte "est
publié" et il va insister et revenir ... J'ai vu le cas sur des sites
d'affichage de pagerank où des sites avaient été soumis 1 000 ou 30 000
fois, juste pour apparaitre en permanence dans les 10 derniers.
Le fait que toutes les pages soient retournées ne me gêne pas puisque de
toute façon elles sont dans le plan du site ... il y a juste une
surcharge serveur mais bref, pas pire qu'un Googlebot qui aspire un site
en permanence (sur des sites à fort trafic).

Cordialement,
Ph. Vayssière
--
www.alsacreations.com - www.alsacreations.fr

8

C'est le plugin "activité jour", qui m'a d'ailleurs permis de apercevoir de
la recherche, puisqu'il liste les recherches des visiteurs.
C'est donc la 2nde fois que cela arrive en 15 jours à peu pré, mais si j'ai
bien compris, cela est sans conséquence grave, à part pour mes statistiques.
En tout cas, merci beaucoup pour cette explication,
A+,Patrick

"Philippe Vayssière" <philippe@vayssiere.fr> a écrit dans le message de
news: 4BDFF314.7090408@vayssiere.fr...
Le 04/05/2010 10:07, patrick a écrit :

J'avais oublié le code mystère:

iakUK <a href="http://ysrxbytjzqpa.com/&quot;&gt;ysrxbytjzqpa&lt;/a&gt;,
[url=http://agppbadnieot.com/\]agppbadnieot[/url], [link=http://ozudfhvbiz

entré dans le formulaire recherche, il liste tous les liens...

Bonjour,

But :
Ce code est tenté, selon toute vraisemblance, par des spambots c'est à
dire des scripts exécutés automatiquement par des serveurs dans le but
de spammer un maximum de sites web.
Comme l'a rappelé Simon Camerlo, il y a aussi une version qui ne
s'attaque qu'au webmaster du site en apparaissant dans ses logs, le but
étant plutôt d'infecter son ordinateur (et là c'est le jackpot puisqu'un
webmaster a des mots de passe enregistrés qui donnent tout pouvoir sur
un site web ...)

Moyen :
Les spambots ont une liste de sites web, ils inspectent un maximum de
pages à la recherche de formulaires. Ensuite ils ajoutent un texte avec
des liens (ici un lien HTML et un lien en BBcode ou proche), texte
qu'ils envoient comme s'il provenait d'un navigateur (en trafiquant
l'user-agent, etc). Les renseignements dont ils ont besoin sont dans
l'élément form de toute façon.
Leur espoir est que ce qu'ils ont posté se retrouve dans une page du
site web, parce que le formulaire permettait de poster un message dans
un Livre d'or ou de poster un commentaire sur un blog, etc
Nous avons eu, du temps où il existait http://blog.alsacreations.com ,
une version en deux temps : 2-3 commentaires de spam postés sur un blog
Dotclear1 puis comme ceux-ci n'avaient pas été repérés et effacés et que
le script avait vérifié qu'ils étaient encore là un jour après, il avait
48H plus tard posté plus de 200 commentaires de spam au même endroit !
Certains sont assez évolués pour faire la différence entre input text et
textarea, pour tenter plusieurs combinaisons de configuration de boutons
radio, pour laisser vide le dernier champ afin de tester si c'un piège
antispam ("laissez vide ce champ"), essayer de comprendre les étiquettes
les plus courantes ("your name", "your email", etc) ne remplir que ceux
qui se terminent par '*', etc

J'ai testé ton code, chez moi il renvoie 0 résultat (Spip 2.0.x).
Par contre "</a>" renvoie effectivement un grand nombre de pages,
j'imagine toutes celles où il y a des liens dans le texte ou bien
toutes, liens ou pas (le site utilise un plugin FCKeditor, pas la
syntaxe SPIP, j'ignore si ça change quelque chose).

Conséquences :
A priori aucune, à part fausser et encombrer tes statistiques. Comme
c'est le lot de tous les sites web de la planète, ça ne fausse pas les
stats par rapport aux autres sites web, c'est déjà ça.
Si tu affiches les 5 ou 10 dernières recherches de tes visiteurs
(bonjour l'anonymat), le script peut s'apercevoir que son texte "est
publié" et il va insister et revenir ... J'ai vu le cas sur des sites
d'affichage de pagerank où des sites avaient été soumis 1 000 ou 30 000
fois, juste pour apparaitre en permanence dans les 10 derniers.
Le fait que toutes les pages soient retournées ne me gêne pas puisque de
toute façon elles sont dans le plan du site ... il y a juste une
surcharge serveur mais bref, pas pire qu'un Googlebot qui aspire un site
en permanence (sur des sites à fort trafic).

Cordialement,
Ph. Vayssière
--
www.alsacreations.com - www.alsacreations.fr

9

Simon Camerlo a écrit :

Bonjour,

Ce code m'a tout l'air de provenir d'un bot qui essaie de remplir tous les formulaires qu'il trouve (aussi bien contact, forum, commentaires que recherche en l'occurence) pour amener des visiteurs à cliquer sur des liens vérolés.

Donc à priori pas d'impact tant que ce n'est que de la recherche.

Le "[url=http://agppbadnieot.com/\]agppbadnieot[/url]" semble cibler des forums type PhpBB, non ?

--
Sergio
Éditions Touchalon: http://touchalon.free.fr
Soutenez le libre: http://www.framasoft.org