URL: https://linuxfr.org/forums/linux-general/posts/nginx-trapper-des-logs-bizarres Title: Nginx : trapper des logs "bizarres". Authors: Kwiknclean Date: 2014年10月31日T17:58:06+01:00 License: CC By-SA Tags: charset, logs et nginx Score: 2 Hello, J'ai beaucoup de lignes avec ce genre de cochonneries dans ma log Nginx : 113.248.xxx.xxx www.pentakonix.fr - [31/Oct/2014:13:50:16 +0100] "H~*\xE3PA\xF7\xC8\xFA\x12\xAE\xEE\xDFS\xC1\xBE\xDCX`\xBA\xF2\xC5\xC2\xE0\x9D\x19\x9C\xFA\xB7\xE8\x88\xC7\xF2\x19\x83ijh\xCEd?" 400 166 "-" "-" - 0.589 59.174.xxx.xxx www.pentakonix.fr - [31/Oct/2014:13:50:20 +0100] "84n\x16\x92ty\x89\xA4d\xCE\xAB2\x98av\xE9\x98{\x09\x98\xAESct\xB3\xFA;\xE1]\xB4\x031\x9A=\xF7Xvq;\xE5f\x1Dq\x13\xCC\xB3\xE4]\xB8\x9B0,7\xE7\x906\xAD\x07z\xE1\xDC\xBF'z\xCE\x8C\x16\x1Es\xA0\x1B\x103\xF3\xC1\x8A5F\xC9SD\xE2L\xA8\x0C\xFF\xD8`\x0C\xC1[ad\xCAZ\xB2V\xEE\xCFH\x8Ei\xD7\xC1\xDB\x98\xCA\x10]\x93b \xF5.G\x01\xAC\x9E\xDF\xB7`;\x98C\x84\xF1t\xD9`D\xA1\xED,x.\x87\x8Fx\x96k\x0Bx\x8A\x7F\xA5P\xFFQn\xDE\x87\xCD\x98\x9E\x8F\x1C\x10\x04uo\xC6\x16\xDB\xF1\x8D" 400 166 "-" "-" - 0.456 Je ne suis pas dupe j'imagine qu'il s'agit de scan http ou de tentatives d'exploit. J'aimerais pouvoir trapper ce genre de "choses" en analysant la log et coller un gros blacklist dans la tronche à l'IP, jusque là tout va bien rien d'anormal. Le hic c'est que je ne sais pas trop comment m'y prendre pour traper ça, enfin je saurai pondre une regex mais reste à savoir quel pattern attraper ! Les caractères m'ont l'air d'être du genre aléatoires, et je ne sais pas si c'est affiché ainsi parce que j'avais un problème de charset ISO/UTF ou s'il s'agit bien de ce qu'envoie l'attaquant. Nginx était jusque là configuré en UTF8, je viens de bien faire le ménage et de tout mettre en fr_FR.ISO8859-1 pour mes variables d'environnement et ISO8859-1 pour Nginx également, FreeBSD n'aimant pas trop [l'UTF apparemment](https://www.freebsd.org/doc/fr/books/handbook/using-localization.html). Jusqu’à attendre d'autres tentatives de hack de ce genre et identifier s'ils sont toujours sous la même forme je ne vois pas trop comment faire pour trapper ça ... Quelqu'un a t il ce genre de choses dans ses logs de son côté ou est-ce bien un problème de charset ? Des idées ?