Registrarse

[crazykenny]

Hola, vereis, el caso es que quisiera publicar este tema aqui por un problema que me ha surgido, y, bueno, si esta no es la sección adecuada para tratar este tema, quisiera pedir a los moderadores/administradores del foro que lo muevan a la sección pertinente.

Entonces, y, yendo al tema principal, el caso es que hace un momento he intentado acceder al foro para volver a mirar si habia algun tema o respuesta nueva y me ha aparecido el siguiente mensaje en el navegador;:

"Web Application Firewall (WAF) Blocked

Una regla de seguridad ha sido aplicada. Si crees que es un error (falso positivo) contacta con webmaster@elhacker.net - Gracias.
The action you just performed triggered the security solution. If you think is false positive please contact to webmaster@elhacker.net - Thank you".

Por supuesto, me sorprende este mensaje viendo que hace un par de horas podia acceder tranquilamente al foro sin ningun problema.

Entonces, dada la situacion y que, al momento de acceder al foro para publicar este mensaje quisiera, si no es molestia, claro esta, preguntar que ha podido provocar lo comentado y si ha sido en respuesta a ese "elevado" numero de visitas que esta registrando el foro desde hace semanas y que supera los, creo, 2000 o 3000 (hoy mas de 4500) visitas.

Y, bueno, lamento las molestias causadas y espero que no suponga ningun problema que haya preguntado sobre si el error antes comentado ha sido debido a, bueno, algun cambio en la configuracion del foro de ultima hora,.

Muchas gracias por vuestra atencion, y, bueno, saludos.

[Danielㅤ]

Hola, si ese error que has tenido ha sido temporal, puede ser causado por alguna configuración o regla que haya creado el-brujo para frenar a las visitas masivas de Visitantes o por alguna otra razón.

Esos Visitantes no son personas, son bots o proxys que están accediendo por alguna razón, puede ser por raspaje/web scraping, es decir recopilar información o enviar parámetros maliciosos en las peticiones o quizás buscar alguna zona oculta del foro para acceder, etc.

Yo cuándo tenía mi foro, controlaba todo eso, algunas IPs enviaban parámetros maliciosos, otras intentaban colar una shell tratando de ejecutar código Bash es decir descargar un archivo y ejecutarlo, yo descargaba ese archivo y lo revisaba para saber que hacía exactamente ese código pero esos archivos no están siempre disponibles, eran temporales por eso por ahí daba error 404, lo que hacía era programar un bot automático qué cuando una IP intente hacer eso, me descargue el archivo en formato inútil es decir sin extensión, cuándo yo accedia por SFTP podía revisar ese archivo.

También habían IPs que dejaban links maliciosos en el URL Referer para que yo o algun admin lo ejecutara sin querer, por ejemplo en el editor Notepad++ qué yo usaba esos links si hacías tan sólo un clic se abría el navegador así que ya te imaginarás, de todas maneras el firewall de mi PC o el mismo navegador no me iba a dejar acceder por considerarlo un sitio inseguro.

Además había conexiones que ni siquiera eran HTTP, eran conexiones socket qué no ejecutaban ningún método, es decir ni GET, POST, PUT, etc, pero el servidor las desconectaba al estar así conectadas sin hacer ninguna acción ya que no correspondía con el protocolo HTTP, otras querían estar vivas usando Keep-Alive.

Incluso habían bots que usaban en sus headers el User-Agent de Google y eso lo hacían seguramente para ver que es lo que Google podía ver que los demás Visitantes no podían, se hacían pasar por spiders/bots crawler.

Por eso lo que te apareció puede haber sido un falso positivo y nada más, el problema sería si ese tipo de mensajes también te aparecieran en otros sitios webs.


Saludos

[crazykenny]

Entiendo, y, bueno, muchas gracias por responder, Daniel.

La verdad es que me ha resuelto la duda que tenia. 

Muchas gracias por vuestra atencion, y, bueno, saludos.

[el-brujo]

Sí, ayer y hoy hemos recibido ataques DDoS al foro y es posible que algún falso positivo haya saltado sin querer con alguna regla aplicada.

En todo caso, debe ser una cosa puntual, si te vuelve a ocurrir pues no dudes en contactar conmigo por e-mail.

Las estadísticas de Cloudflare (Firewall WAF) del foro se pueden ver en tiempo real en:

https://cloudflare.elhacker.net (sólo con IP de España)

Es un panel con Grafana que usa Prometheus y GrapQL para consultar la API de CloudFlare y mostrar los resultados.

[crazykenny]

Sí, ayer y hoy hemos recibido ataques DDoS al foro y es posible que algún falso positivo haya saltado sin querer con alguna regla aplicada.

En todo caso, debe ser una cosa puntual, si te vuelve a ocurrir pues no dudes en contactar conmigo por e-mail.

Las estadísticas de Cloudflare (Firewall WAF) del foro se pueden ver en tiempo real en:

https://cloudflare.elhacker.net (sólo con IP de España)

Es un panel con Grafana que usa Prometheus y GrapQL para consultar la API de CloudFlare y mostrar los resultados.

Ya veo, el-brujo, y agradezco tanto tu respuesta como la que me ha dado daniel.

Aun asi, he de admitir algo: francamente, no me esperaba que acabara sucediendo un ataque DDoS de tal magnitud hacia el foro, y mas viendo que en las estadísticas publicas solo se muestran que ha contado entre 4xxx-5xxx visitantes, quizas mas de 6000 en otras ocasiones.

Muchas gracias por vuestra atencion, y, bueno, saludos.

[Mr.Byte]

Pues hoy me ha pasado a mi, despues de logearme aparece este error.
Retrocedo y me deja entrar sin problemas

[El_Andaluz]

No para de dar problemas al entrar antes casi no me dejaba responder aquí

[Tachikomaia]

¡Hace unos días me apareció lo mismo o muy parecido! Me comuniqué por email y no volví a tener problema por ahora.

[BloodSharp]

Esto va a parecer casi cómico, pero estaba viendo este hilo de conversación desde Ubuntu 26.04 con Firefox, luego quise loguearme en el foro y me apareció el mensaje de WAF.

Por alguna razón que desconozco en la URL cuando intenté modificarla para ponerla sin la query ni parámetros, me refiero a solo "foro.elhacker.net", me saltó que la URL apuntaba hacia https://foro.elhacker.net:2053/

Mi pregunta ¿Es normal que el foro intente apuntar hacia el puerto 2053? De hecho al volver a escribirla a propósito me muestra el mensaje del WAF.


B#

[el-brujo]

Recientemente Cloudflare ha activado nuevas reglas en el WAF por el tema de la vulnerabilidad de PHP.

Aunque el foro utiliza PHP 5.6 también hay un parche disponible (no oficial) y ya ha se aplicado correctamente.

Recientemente, o sea ayer, hemos migrado  a nginx, después de usar durante más de 20 años el servidor web Apache.


Si, es "normal" que aparezca 2053, porque es el puerto en el que funciona realmente, aunque lógicamente no debería aparecer por pantalla. Es alguna redireción de nginx.

Vale ya veo el error del WAF:

Anomaly:Port - Non Standard Port (not 80 or 443)

En teoría ahora ya está arreglado.

Tan fácil cómo añadir:

# Evita que Nginx incluya :2053 en las redirecciones 301/302 automáticas y de rewrite
    port_in_redirect off;