Jak najít IP adresu hackera

Pokud se vám podařilo odhalit, že byl váš web napaden, může to mít různé následky – od nepříjemného spamu v komentářích až po urážlivý obsah, který může vést k právním problémům. Jakmile zaznamenáte známky útoku, okamžitě změňte heslo používané při nahrávání obsahu (webové rozhraní i FTP) a ujistěte se, že ho zná jen důvěryhodná osoba s administrativním přístupem. Jedním z nejúčinnějších způsobů, jak útočníka identifikovat, je zjistit jeho IP adresu a zakázat mu přístup.

Jak zjistit, kdy byly soubory napadeny

Předpokládejme, že stránka about.php byla během odpoledne (12 – 15 h východního času) zneužita, zatímco ostatní stránky zůstaly nedotčeny. Pokud váš hosting umožňuje stažení serverového logu, můžete v něm najít potřebné informace. Log je prostý text, například:

123.45.67.89 - - [13/Oct/2009:13:51:31 -0600] "GET /about.php HTTP/1.1" 200 3286 "-" "google.com"

Každý řádek logu obsahuje:

• IP adresu návštěvníka (123.45.67.89)
• Datum a čas přístupu (v časovém pásmu serveru)
• Metodu požadavku („GET“)
• Požadovanou stránku („/about.php“)
• HTTP stavový kód (200 = OK)
• Počet odeslaných bajtů
• Referer (prázdný, pokud návštěvník přišel přímo)

Prohledání logu

Vyhledejte všechny záznamy s /about.php v časovém rozmezí 11:00 – 14:00 místního času serveru. Pokud žádný záznam neodpovídá, pravděpodobně změnil stránku někdo s administrativním přístupem. Pokud najdete jediný záznam, získáte IP adresu útočníka a můžete přistoupit k dalšímu kroku. V případě více IP adres si poznamenejte, co uživatelé na webu dělali (časté obnovy, nevhodné komentáře, pokusy o přihlášení apod.).

Blokování útočníka

Jakmile znáte IP adresu, můžete útočníka trvale vyloučit úpravou souboru .htaccess:

Options -Indexes
Order allow,deny
Allow from all
<Limit GET POST>
Deny from 123.45.67.89
</Limit>

Po přidání těchto pravidel útočník nemůže přistupovat k vašemu webu. Poté obnovte napadenou stránku do původního stavu.

Co dělat, když nemáte přístup k logům nebo .htaccess

U levnějších hostingových tarifů nemusí být logy ani soubor .htaccess k dispozici. V takovém případě kontaktujte technickou podporu poskytovatele a požádejte o přístup k logům nebo o pomoc s blokací IP adresy. Informujte poskytovatele o všech pokusech o napadení – i neúspěšných – protože další weby na stejném serveru mohou být také ohroženy.

Další informace o útočníkovi

IP geolokační služby dokážou zjistit město, zemi, PSČ, rychlost připojení a poskytovatele internetových služeb (ISP). Pokud se útoky opakují, můžete ISP útočníka upozornit a požádat o zásah.