Множество одинаковых POST-запросов на адреса **/edit?

Question

[StopDesign]

Вижу в логах множество одинаковых POST-запросов. Обычно всё начинается с того, что живой пользователь смотрит какую-то страницу page, а затем начинаются POST-запросы на адрес page/edit. Поскольку такой страницы у меня нет, в логах появляются бесконечные 404 такого вида:

[27/Jun/2013:14:20:06] ***.ru 0.019s "POST /page/edit HTTP/1.1" 404 1678 "http://***.ru/page/" "Opera/9.80 (Windows NT 6.1; WOW64; MRA 5.9 (build 4832)) Presto/2.12.388 Version/12.14"

Частота запросов иногда доходит до 8 в секунду. Каждая сессия продолжается несколько часов. Иногда мои скрипты это банят за слишком большую частоту.


Не думаю, что от этого флуда в логах есть какой-то вред. Мне просто интересно: что это такое, черт возьми? Зачем чья-то Opera (это чаще всего опера) делает десятки тысяч запросов к несуществующим страницам моего сайта? В интернете нашел только одно упоминание похожей ситуации, но там нет ответов на мои вопросы.

Answer 1

[Влад Животнев]

Это приложение вот этих плохих людишек — everysale.net/
Точнее, их плагин к опере.

Comments

[StopDesign]

А в чем смысл того, что плагин постит множество запросов? Ошибка?

Сейчас отловил аналогичную цепочку запросов от «YaBrowser/1.5.1106.241».

[Влад Животнев]

Там длинная история, почему оно так делает)
Я не очень уверен, что могу рассказать. Но, с другой стороны, там из кода всё понятно =)

[StopDesign]

Okay…

[Lakewake]

А расскажите, интересно же (:

[KingOfNothing]

Простите, но как вы узнали? я даже скачать этот плагин не смог :-)

[Влад Животнев]

yadi.sk/d/1h1p8UpE6HJ_O — сами плагины. Пароль от архива — everysale. Так как скорее всего, внутри подобие трояна внутри браузера — будьте осторожны.

Раскопали его наши аналитики, мы тоже от этого страдаем.

Answer 2

[Lihonosov]

У нас та же проблема. Причем заметили ее после DDOS атаки, думал это остались ее «отголоски», т.к. адрес постоянно один и тот же, но после бана этого адреса, он спустя некоторое время меняется. Банили в iptables так:
iptables -I INPUT 1 -p tcp --dport 80 -m string --string "POST /url/edit" --algo kmp -j DROP

Answer 3

[KingOfNothing]

IP у всех запросов тот же? точно нет на сайте какого -то скрипта, который посылает эти запросы?

Comments

[StopDesign]

IP одинаковый в пределах одной последовательности запросов. Эти последовательности появляются примерно раз в день. В разных последовательностях IP разные и из разных подсетей.

Эти эффекты я вижу на двух сайтах, на совершенно разных страницах. Иногда это статическая страница вообще без js, так что на сайте скрипта такого точно нет.

[KingOfNothing]

Может ли быть это неумелой DDoS атакой?
Возможно, что какая-то малварь у пользователя, которая пытается таким образом протестировать сайт. Но о таком я не слышал.

Нашел в это (отдаленно похожее) www.valmat.ru/2013/01/ban-bot-2.html

[StopDesign]

Да, похоже на глючную малварь у пользователя.

Спасибо за ссылку, нашел там полезное.

[Snowindy]

Наблюдал точно такую фигню у себя на сайте в логах доступа nginx.