Gregory's Server
...и что с этой херней делать?
врядли хочется авторизоваться на скрыторесурсе через фэйк оригинала:)
на стороне клиента более/менее просто - можно настроить фильтр на прокси/adblocks на этот стиль.
правда тэги внутри {} меняются местами, но их набор - остается постоянным. можно блокировать или выдавать предупреждение при нахождении.
на стороне сервера - хуже. отличия при обращении клиента к оригиналу и к фэйку есть, но они укладываются в rfc7230: у фэйка - заголовки полей хедера всегда начинаются с маленькой буквы и порядок полей - зеркален к оригиналу.
идем на оригинал -
�¥?�¥?GET /api/v1/instance HTTP/1.1
Host: iwojimagzktuisvveh6zjuv453wm6rnch6oefof66mt7nuoxn4nliwqd.onion
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:126.0) Gecko/20100101 Firefox/126.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,/;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: keep-alive
Upgrade-Insecure-Requests: 1
Priority: u=1
а вот что приходит если ломишься через фэйк:
��T���GET /api/v1/instance HTTP/1.1
priority: u=1
upgrade-insecure-requests: 1
connection: keep-alive
accept-encoding: gzip, deflate
accept-language: en-US,en;q=0.5
accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,/;q=0.8
user-agent: Mozilla/5.0 (X11; Linux x86_64; rv:126.0) Gecko/20100101 Firefox/126.0
host: iwojimagzktuisvveh6zjuv453wm6rnch6oefof66mt7nuoxn4nliwqd.onion
отловить это наверно както можно, но стоит ли городить на основании этого фильтр - для меня вопрос открытый
вроде правильные клиенты всегда отдают поля с большой буквы и начитают с имени хоста, но хз, всегда найдуться исключения тем более формат позволяет.
врядли хочется авторизоваться на скрыторесурсе через фэйк оригинала:)
на стороне клиента более/менее просто - можно настроить фильтр на прокси/adblocks на этот стиль.
правда тэги внутри {} меняются местами, но их набор - остается постоянным. можно блокировать или выдавать предупреждение при нахождении.
на стороне сервера - хуже. отличия при обращении клиента к оригиналу и к фэйку есть, но они укладываются в rfc7230: у фэйка - заголовки полей хедера всегда начинаются с маленькой буквы и порядок полей - зеркален к оригиналу.
идем на оригинал -
�¥?�¥?GET /api/v1/instance HTTP/1.1
Host: iwojimagzktuisvveh6zjuv453wm6rnch6oefof66mt7nuoxn4nliwqd.onion
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:126.0) Gecko/20100101 Firefox/126.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,/;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: keep-alive
Upgrade-Insecure-Requests: 1
Priority: u=1
а вот что приходит если ломишься через фэйк:
��T���GET /api/v1/instance HTTP/1.1
priority: u=1
upgrade-insecure-requests: 1
connection: keep-alive
accept-encoding: gzip, deflate
accept-language: en-US,en;q=0.5
accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,/;q=0.8
user-agent: Mozilla/5.0 (X11; Linux x86_64; rv:126.0) Gecko/20100101 Firefox/126.0
host: iwojimagzktuisvveh6zjuv453wm6rnch6oefof66mt7nuoxn4nliwqd.onion
отловить это наверно както можно, но стоит ли городить на основании этого фильтр - для меня вопрос открытый
вроде правильные клиенты всегда отдают поля с большой буквы и начитают с имени хоста, но хз, всегда найдуться исключения тем более формат позволяет.
задал себе вопрос - а сколько таких фэйков у меня в базе сейчас есть? и как давно такие стили начали попадаться?
на середину июля у меня в базе ~4300 совпадений по маске такого стиля
разброс по месяцам:
2023-11 336
2023-12 782
2024-01 157
2024-02 332
2024-03 455
2024-04 56
2024-05 0
2024-06 2146
2024-07 126
т.е. история это достаточно недавняя и она похоже набирает обороты.
много это или мало?
всего активных v3 сайтов попавших в базу за все время наблюдения - 240k (домены от 1го уровня)
т.е. фэйков ~1,58%
...но это только те которые в корне имеют вставку говностилем, а мы знаем что стиль в корень может и не попадать...
идем дальше. второй признак - совпадение 7 первых знаков имени.
посмотрим сколько вообще дублирующихся хостов у меня в базе есть?
(буду смотреть все, а не только активные)
всего v3 доменов - 258k (из них первого уровня - 202k)
уникальных 7ми знаков (в доменах 1го уровня) - 190k
т.е. разница 12k - это дублирующиеся 7ми знаки
неуникальных (от 2 до 263 совпадений) 7ми знаков - 8649 (топ3: 263 - lolipor; 72 - lockbit; 69 - search7)
iwojima - 3 совпадения:)
т.е пропорция дубли/все v3 домены ~2,32%
по остальным 8-16 знаков
# total doubles
8 | 199k | 1554 (261 - loliporn; 58 - alphabay; 42 - darkfail)
9 | 201k | 312 (24 - lockbit7z;9 - lockbitsu,lolipornd;8 - loliporn{7,h,i,l})
10 | 202k | 87 (9 - lockbitsup; 7- lockbit7z3; 5 - glmkh4z5lt, lockbit7z{5,6})
11 | 202k | 38 (5 - glmkh4z5ltu; 3 - b2lcjga2wbk, qq4loyw4baw, xrvdjuk74lu)
12 | 202k | 32 (5 - glmkh4z5ltud; 3 - b2lcjga2wbkk, qq4loyw4bawo, xrvdjuk74lui)
13 | 202k | 32
14 | 202k | 31
15 | 202k | 30
16 | 202k | 29
если посмотреть внимательно на совпадения 10-16 знаки то это скорее всего опечатки - отличия буквально в одном символе.
за сим все.
задал себе вопрос - а сколько таких фэйков у меня в базе сейчас есть? и как давно такие стили начали попадаться?
на середину июля у меня в базе ~4300 совпадений по маске такого стиля