[Techinfo] Fwd: Firefox, Chrome: Felrevezeto oldal

[Fodor Zsolt]

Üdv Mindenkinek!

Az alábbi levelet én küldtem, reakció nem jött. Fejlemény.

Később kiderült, hogy az alábbi site-on egyedül az openwebmail.pl fájl a
problémás. Többször jeleztem, hogy szerintem téves, ez egy eredeti fájl, nincs
módosítva. Levettem a beállítást, hogy automatikusan átdobja a felhasználót
https-re. Semmi hatás, frissült az ellenőrzési dátum, továbbra is veszélyes.

Azonosítottam webmesterként a site-ot, ekkor jött az első reakció a
google-től: megvizsgálták a site-ot, túl kicsik a betűk mobilos
megtekintéshez. Adott helyzetben majdnem viccesnek találtam. Nyilván az egy
másik ellenőrzés. 

Szombat estére végre kaptam egy levelet:
"A(z) https://x.y.hu/ webhely felülvizsgálata sikeres

A(z) https://x.y.hu/ webhely webmesterének

A Google megkapta és feldolgozta az Ön biztonsági felülvizsgálatra vonatkozó
kérelmét. A Google rendszerei azt jelzik, hogy a(z)
https://webmail.gyakg.u-szeged.hu/ webhely már nem tartalmaz ártalmas
oldalakra vagy letöltésekre mutató hivatkozásokat. A felhasználók által
látható figyelmeztetések eltávolításra kerülnek a webhelyéről. Ez néhány órát
is igénybe vehet."

Szóval az automatikus http -> https átirányítás jelentette a gondot? Mert nem
írták ám meg. Másutt is van ilyen beállítás. Azokat nem 30, hanem kb 1000 user
látogatja. Ott nem gond?

Ráadásul az "ellenőrzés" hasonlóan történhetett, mint korábban. A logokban
ugyanis csak hasonló sorok voltak.

Üdv: Fodor Zsolt


On Mon, 18 Feb 2019 22:17:42 +0100, Fodor Zsolt wrote
> Üdv Mindenkinek!
> 
> Ma 10:30-kor több kollégát a fenti üzenet fogadta szép piros alapon.
> A Google Safe Browsing "üzent" így: "A Firefox blokkolta az oldalt,
>  mert megpróbálhatja veszélyes tevékenységre rávenni,
>  például..." A részleteknél tényleg veszélyesként van 
> megítélve az oldal.
> 
> A jelzett cím egy webszerverre mutat, ami kb. 2 tucat kolléga 
> által használt ősi webes openwebmail (2.53) levelező kliensé. 
> Más szolgáltatás és más adat ott nincs.
> 
> Ha megnézem a
> https://transparencyreport.google.com/safe-
> browsing/search?url=x.y.hu -t, akkor tényleg azt mondja, hogy
> ----
> Jelenlegi állapot
> *warning* A webhely bizonyos oldalai nem biztonságosak
> 
> A(z) x.y.hu webhelyen káros tartalom található, köztük olyan 
> oldalak, amelyek:
> 
>    - Személyes információ megosztására vagy szoftver 
> letöltésére próbálják   rávenni a látogatókat
> 
> Lehetséges, hogy a kockázatosnak ítélt tartalom csak a webhely bizonyos
> oldalain jelenik meg. Ha részletesebb biztonsági információkat szeretne
> kapni, ellenőrizze a meglátogatni kívánt címtár vagy weboldal 
> URL-jét.
> ----
> 
> Az apache logban nem igazán találtam érdekeset, voltak 
> próbálkozások, de semmi érdemi. A gép a 80-as porton elérhető,
>  de csak átdobja az érkezőt a https-es címre.
> 
> Az ssl_access logot megtisztítottam (az utolsó 2 nap tekintetében)
>  az ismert felhasználóktól, maradt 267 sor. Ebből gyanús 
> 231+4+1 sor volt.
> 
> A 231 sor
> 146.148.115.29
> ip-ről jött, ami
> canonical name 29 <http://www.29.115.148.146.bc.googleusercontent.com/>.115
> <http://www.115.148.146.bc.googleusercontent.com/>.148
> <http://www.148.146.bc.googleusercontent.com/>.146
> <http://www.146.bc.googleusercontent.com/>.bc
> <http://www.bc.googleusercontent.com/>.googleusercontent.com
> <http://www.googleusercontent.com/>.
> volt. Ezek nem böngészőtől, hanem python scripttől származtak.
> python-requests/2.18.4
> 
> A 236 gyanús sorból 231 404-et, 1 403-at, 3 405-öt kapott 
> válaszul. 1 darab volt, amit kiszolgált a szerver, de az a 
> nyitólapot kérte le.. Ez lett volna valami teszt? 191 esetben zip, 
> 36-szor txt fájlt próbáltak letölteni. Volt még 1-1 rar, 7z és 
> lekérték a belépő oldalt is.
> 
> A log mellett fájlok tekintetében semmilyen gyanús dolgot nem láttam.
> 
> Az utóbbi 5 évben egy CMS-sel volt problémám.
> 
> Volt már valakinek hasonló esete? Mennyire lehet hinni a 
> jelzésnek? A fentiek mellett mit nézzek meg?
> 
> Üdv: Fodor Zsolt


--
Fodor Zsolt :: SZTE Gyakorló Gimnázium és Általános Iskola
62/544-000/3371 :