对不存在的页面的请求都包含"未定义"

Question

自2014年10月20日以来,我们的日志中出现了一些奇怪的请求.它们每天增加到几十个,所以虽然不是一个大问题,但找到原因仍然很有趣.

早些时候:

REQUEST[/en/undefinedsf_main.jsp?clientVersion=null&dlsource=null&CTID=null&userId=userIdFail&statsReporter=false] REFERER[http://colnect.com/en/coins]
REQUEST[/fr/undefined/GoogleExtension/deals.html?url=http://colnect.com&subid=STERKLY&appName=HypeNet&pos=2&frameId=buaovbluurbavptkwyaybzjrqweypsbavwrviv] REFERER[http://colnect.com/fr]
REQUEST[/br/stamps/undefined49507173c45043eba6dfb9da540e52de&chnl=slmbBRex&evt=DailyPing&prd=vbates&seg=1&ext=1&rnd=65983fb77b62e25cc2a8ef15af18273d] REFERER[http://colnect.com/br/stamps/countries]

目前的一些:

REQ[/ru/collectors/collector/undefined] REF[http://colnect.com/ru/collectors/collector/jokitsos]
REQ[/th/collectors/collector/undefined] REF[http://colnect.com/th/collectors/collector/VRABEC]
REQUEST[/en/account/undefined] REFERER[http://colnect.com/en/account/request_password]
REQUEST[/pt/stamps/undefined] REFERER[http://colnect.com/pt/stamps/years]

有些请求是登录成员而有些则不是.

我猜他们的浏览器上的一些Javascript试图通过一些未初始化的变量来调用url,因此"undefined".

原因可能类似于对包含"6_S3_"(可能是恶意软件)的非现有页面的奇数请求,但我想知道这可能是另一个原因.

我确实怀疑这是我们客户端Javascript的一个错误,因为每天大约有一百万个页面浏览量会产生几十个这样的请求.

有任何想法吗？是值得追求的吗？

Answer 1

这是一个很大的问题,但它不是来自你.

这些是使用自签名根证书的 Javascript注入攻击(客户端机器恶意软件).

具体来说,sf_main.html并且deals.html已经与Superfish联系起来,Superfish最近已经与联想一起发售.由于联想一直在推动其新的PC系列产品,最近有关这些攻击的报道已经爆发.

这些中间人攻击首先是劫持客户端的请求,然后注入HTML和Javascript.

有这么多undefined符号的原因是因为Superfish,就其名字而言,正在捕捉插件,扩展和库,它可以利用他们期望的名称,标记和路径.这是蛮力的XSS.

哦,不,我该怎么办？

小.不多.

由于请求在客户端计算机上被劫持并被http request劫持,您将不会知道其中的区别.您可以尝试"捕获"某些敌对的"指标",但现在您正在进行反恶意软件的工作.

联想称这

SuperFish已完全禁用所有Lenovo产品上的服务器端交互(自1月起),因此软件产品不再处于活动状态,有效地禁用了市场上所有产品的SuperFish

虽然我相信中国联想的诚意,但它在西方世界有着严重的市场利益,我不相信中国恶意软件公司Superfish这个词 .

与您的客户相比,这些攻击对您来说不是问题

除非您在大型银行或热门社交网站上工作,否则像Superfish这样的恶意软件极不可能专门针对您.您的客户的银行和社交网络帐户存在风险,但不是因为您做了或可以采取任何措施来阻止它.

与往常一样,客户端钓鱼攻击的治疗方法是良好的客户端保护.

Answer 2

有任何想法吗？

这里似乎有两种不同的选择：

1. 您的代码中存在错误，导致生成不正确的 URL
2. 有些（搜索）机器人试图解析您的 JavaScript，但未能正确执行。
3. （客户端扩展正在引发麻烦）

为了区分两者，您需要设置更具体的日志记录。例如，将用户代理添加到包含该字符串的任何日志undefined行将回答这个问题。如果是您的代码导致了问题，您还希望记录referer标头，因为它将公开在哪个页面上生成了错误的 URL。

识别问题的另一种方法是，如果您的网站上运行了分析解决方案（例如 Google Analytics），您可以很容易地将报告限制为仅url包含undefined。如果没有此类请求，您可以断定它一定是机器人（因为它不会导致客户端分析代码运行），否则它会提供所有信息来识别导致此问题的位置。

最后，包含一个 javascript 错误日志记录解决方案可能是一个好主意（最简单的形式是一个window.onerror带有 ajax 请求的处理程序\log.something。如果您的代码正在生成undefined's ，那么很可能也会触发一些错误。

值得追求吗？

如果用户实际上收到的是无效页面，那么是的，这绝对是需要调查的事情。