URL inconnu dans les logs

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

URL inconnu dans les logs

Vendetta1985

Bonjour à tous,
Je fais un peu de ménage sur ma seedbox et en regardant mes logs (via Seedbox Manager), j'obtiens ceci :

179.111.154.9 - - [05/Jun/2015:23:23:46 +0200] "GET /tmUnblock.cgi HTTP/1.1" 400 166 "-" "-"
179.111.154.9 - - [05/Jun/2015:23:23:47 +0200] "GET / HTTP/1.1" 400 166 "-" "-"
88.150.239.154 - - [06/Jun/2015:00:18:34 +0200] "HEAD /robots.txt HTTP/1.0" 404 0 "-" "-"
185.49.15.23 - - [06/Jun/2015:00:52:21 +0200] "GET http://testp5.mielno.lubin.pl/testproxy.php HTTP/1.1" 404 47 "-" "Mozilla/5.0 (Windows NT 5.1; rv:32.0) Gecko/20100101 Firefox/31.0"
185.49.15.23 - - [06/Jun/2015:02:18:52 +0200] "GET http://testp4.pospr.waw.pl/testproxy.php HTTP/1.1" 404 47 "-" "Mozilla/5.0 (Windows NT 5.1; rv:32.0) Gecko/20100101 Firefox/31.0"
216.218.206.66 - - [06/Jun/2015:09:58:21 +0200] "GET / HTTP/1.1" 200 1966 "-" "-"

Ma question est donc : qui sont les 2 URLs testp5.mielno.lubin.pl et testp4.pospr.waw.pl qui apparaissent tous les jours dans mes logs.
Est-ce utilisé pour le proxy dans Seedbox Manager ou est-ce une "attaque" ?
Dois-je les bloquer et si oui, pouvez m'indiquer comment ?
J'ai déjà cherché sur google, mais je n'ai rien trouvé qui m'indique d'où proviennent ces adresses.

Je débute en Debian comme vous vous en doutez ^^

Merci d'avance pour vos réponses.

BXT

Juste des sites compromit qui lance des bots, rien de méchant

Vendetta1985

Merci beaucoup pour l'infos, mais est ce que tu peux m'expliquer un peu plus car j'ai pas bien compris ^^
C'est moi qui suis infecté et qui lance depuis mon serveur des requêtes ou ce sont les autres sites qui sont infectés et qui lancent des requêtes sur mon serveur ???
Si ce sont les autres sites qui envoient des "requêtes" (je sais même pas trop ce qui est envoyé lol), quel est l'intérêt ? Découvrir une faille sur mon serveur ?
Je m'inquiète peut-être trop, mais dans le doute lol.
Voici ce que je peux voir dans mon fichier /var/log/nginx/rutorrent-error.log :

2015/06/05 10:20:34 [error] 10542#10542: *14733 FastCGI sent in stderr: "Primary script unknown" while reading response header from upstream, client: 185.25.151.159, server: _, request: "GET http://testp5.mielno.lubin.pl/testproxy.php HTTP/1.1", upstream: "fastcgi://unix:/var/run/php5-fpm.sock:", host: "testp5.mielno.lubin.pl"
2015/06/05 14:52:07 [error] 10540#10540: *14932 FastCGI sent in stderr: "Primary script unknown" while reading response header from upstream, client: 192.187.110.98, server: _, request: "GET http://testp2.czar.bielawa.pl/testproxy.php HTTP/1.1", upstream: "fastcgi://unix:/var/run/php5-fpm.sock:", host: "testp2.czar.bielawa.pl"
2015/06/05 14:53:19 [error] 10540#10540: *14934 FastCGI sent in stderr: "Primary script unknown" while reading response header from upstream, client: 185.25.151.159, server: _, request: "GET http://testp2.czar.bielawa.pl/testproxy.php HTTP/1.1", upstream: "fastcgi://unix:/var/run/php5-fpm.sock:", host: "testp2.czar.bielawa.pl"
2015/06/05 14:54:15 [error] 10540#10540: *14936 FastCGI sent in stderr: "Primary script unknown" while reading response header from upstream, client: 185.49.15.23, server: _, request: "GET http://testp2.czar.bielawa.pl/testproxy.php HTTP/1.1", upstream: "fastcgi://unix:/var/run/php5-fpm.sock:", host: "testp2.czar.bielawa.pl"

J'avoue que le déchiffrement des logs n'est pas encore ma spécialité lol. Mais si tu peux m'expliquer, ça m'aidera surement pour la suite ^^

Merci encore pour ta réponse rapide

BXT

hmm, le nom d'host est assez bizarre quand même, ça m'embrouille là 🙂

J'ai l'impression que les 2 NDD pointent vers ton IP

Vendetta1985

Mince alors ! Je comprend pas bien ce qu'il y a, mais ça semble pas bon alors lol ?
En tout cas, aucune des ip que j'ai publié dans les logs n'est à moi ou à mon serveur. C'est bon signe alors ?
Mais qu'est ce que ça veut dire exactement ces lignes lol ?

BXT

Beh on dirait qu'ils essaient d'exécuter le script testproxy.php sur ton dédié,mais vu qu'il n'est pas dispo, ça return un 404

Rien de bien méchant je pense 😛

Vendetta1985

Ah OK. Et est-ce que je peux les bloquer pour pas qu'ils essaient d'exécuter des scripts sur mon dédie ?
J'ai commencé à me pencher sur IPTABLE et Fail2ban contre les attaques de connexions en SSH sur mon root. Je peux pas faire la même chose avec les URL ?

BXT

Tu peux bannir leur IP via iptables oui

Tu peux également configurer fail2ban pour qu'il ban les IPs au bout de XX 404

Vendetta1985

OK, l'idée de Fail2ban me parait pas mal.
Je vais voir si je trouve un tuto pour les erreurs 404, à moins que tu en connais un pas mal

Merci encore pour ton aide ^^

Azman0101

Salut,

Je disgresse, dans un de tes posts tu indiques faire du fail2ban pour ceux qui attaques ton root.

La connexion avec root ne doit pas être autorisée.

dans sshd_config tu dois avoir PermitRootLogin no

Mais attention à bien créer un autre user avant.

Enfin, je te conseil d'utiliser la connexion par certificat à ton serveur ssh avec, bien entendu, un bonne passephrase sur ta clé privée.

Autre conseil, même si ça ne relève pas de la sécurité mais ca évite de remplir tes logs inutilement avec des attaques trop communes de bots sur le port 22, passe ton serveur ssh sur un autre port.

Edit:
Pour revenir au sujet, j'ai lu que certains conseillent de bloquer ttes les URI absolues si tu n'héberges pas de proxy.
Ciao