w00tw00t.at.ISC.SANS.DFind : une manière simple pour s'en débarasser

Si vous avez un serveur apache qui tourne et vous avez accès aux log il est plus que probable que tu ai déjà vu ce genre de logs :

 213.211.134.23 [date] "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400

Ce n'est enfait qu'un scanner de vulnérabilités (DFind) sans grand intérêt si ce n'est qu'il pollue en permance vos logs. et ca ca fait chier ...

Au lieux d'installer des utilitaire qui analyse les logs et companie, on va jouer avec iptable, le super firewall de linux, en ligne de commande :

 iptables -I INPUT -d IP_DE_TON_SERVER -p tcp --dport 80 -m string --to 70 \ --algo bm --string 'GET w00tw00t.at.ISC.SANS.' -j DROP

et le probleme sera résolu, dès que dans la requete il trouvera w00tw00.... il drop le paquet et fini les long log polués !

Enjoy !
Dax?

article complet et explications ici