Zeichensuppe von Spambot in URL

T.roll Gast #3011448
Lesenswert?
• ▲
▼ 
Ein freundlicher Spambot kam heute auf meiner Seite vorbei und meinte 
einen Kommentar zu hinterlassen. Damit war er aber, wie bisher alle 
Bots, nicht erfolgreich. Auch Dateien wurden nicht manipuliert.

Direkt vor dem Spamversuch hat der Bot an eine normale URL folgendes 
angehängt:

1
++++++++++++++++++++++++++++Result:+%F0%E5%F1%F3%F0%F1+%E4%EB%FF+%EF%EE%F1%F2%E8%ED%E3%E0+%ED%E5%EF%F0%E8%E3%EE%E4%E5%ED+%28%EB%E8%E1%EE+%EE%F2%F1%F3%F2%F1%F2%E2%F3%E5%F2+%EF%EE%E4%EA%EB%FE%F7%E5%ED%E8%E5+%EA+%E8%ED%F2%E5%F0%ED%E5%F2%F3%29


Gut dachte mir, das sieht URL-kodiert aus. Durch urldecode gejagt, 
nichts. Vielleicht liegts ja an der Funktion. Auch base64 liefert keine 
sinnvollen Ergebnisse.

Andere berichten auch von sowas, aber immer mit anderer Folge der 
Zeichen. Ahnscheinend soll das X*Rumer(zum * siehe unten) sein. 
(https://www.phpbb.com/community/viewtopic.php?f=46&t=2166791)

Könnt ihr mir helfen und sagen was der Code bedeutet?

* → Der Beitrag scheint Spam zu enthalten: "X*Rumer" Als würde ein Bot 
mit seinem Namen spammen...
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Beitrag melden
Rüdiger Meinhard Gast #3011637
Lesenswert?
• ▲
▼ 
Auf den ersten Blick (ich sehe da ein EB FF) sieht es nach einem 
Buffer-Overflow durch die +-Zeichen gefolgt von x86-Opcodes aus, der im 
Stack landen und ausgeführt werden soll. Du könntest also mal versuchen, 
das durch einen Disassembler laufen zu lassen.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Nur Quatsch Gast #3011641
Lesenswert?
• ▲
▼ 
Rüdiger Meinhard schrieb:
> Auf den ersten Blick (ich sehe da ein EB FF) sieht es nach einem
> Buffer-Overflow durch die +-Zeichen gefolgt von x86-Opcodes aus, der im
> Stack landen und ausgeführt werden soll. Du könntest also mal versuchen,
> das durch einen Disassembler laufen zu lassen.

Quatsch, das ist ARM Code, sieht man doch sofort :-)
Antwort Zitieren Bearbeiten Löschen Beitrag melden
T.roll Gast #3011664
Lesenswert?
• ▲
▼ 
Rüdiger Meinhard schrieb:
> Das
> könnten kyrillische Unicode-Zeichen sein.

Die ersten paar Zeichen wären, falls URL-kodiert, wieder dekodiert:
ðåñóðñ äëÿ ïîñòèíãà
Allerdings verstehe ich von Unicode nicht genug, um zu sagen wie viele 
%XY zusammen gehören.


Ich erkenne nur die beiden %28 und %29 als URL-kodierte Version von ( 
und ).
Antwort Zitieren Bearbeiten Löschen Beitrag melden
tdd Gast #3011675
Lesenswert?
• ▲
▼ 
Rüdiger Meinhard schrieb:
> Du könntest also mal versuchen,
> das durch einen Disassembler laufen zu lassen.
Habe ich gerade mal probiert, sehr sinnvoll sieht das nicht aus. Ich 
muss allerdings sagen ich kann nur AVR-ASM.

1
F0 E5 F1 F3 F0 F1 E4 EB FF EF EE F1 F2 E8 ED E3 E0 ED E5 EF F0 E8 E3 EE E4 E5 ED 28 EB E8 E1 EE EE F2 F1 F3 F2 F1 F2 E2 F3 E5 F2 EF EE E4 EA EB FE F7 E5 ED E8 E5 EA E8 ED F2 E5 F0 ED E5 F2 F3 29


http://onlinedisassembler.com/odaweb/run_hex

(Resultat wird beim Kopieren vermurkst, aber kann ja jeder selber auf 
der Seite angucken.)
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Thread beobachten

Antwort schreiben

Hinweis: der ursprüngliche Beitrag ist mehr als 6 Monate alt. Bitte hier nur auf die ursprüngliche Frage antworten, für neue Fragen einen neuen Beitrag erstellen.

Formatierung
  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] – Link zu einem Artikel
  • Verweis auf einen anderen Beitrag: Rechtsklick auf dessen Beitrags-ID (#8078628), „Adresse kopieren“, in den Text einfügen

Mehr zur Formatierung

Längeren Sourcecode als Anhang, nicht in den Text. JPG nur für Fotos und Scans; Zeichnungen und Screenshots als PNG oder GIF. Siehe Bildformate.

Dein Name und deine E-Mail-Adresse

Schon registriert? Anmelden

Wird nicht angezeigt. Wir schicken dir einen Link; sobald du damit bestätigst, erscheint dein Beitrag.

Mit dem Abschicken legst du einen kostenlosen Account an und erkennst die Nutzungsbedingungen und die Datenschutzerklärung an.