Odoo 19 Community: Web RBL – lista ta' blokkar għal traffiku ta' attakk fuq il-websajts proprji

Kodiċi sors: github.com/Alex0176/odoo-web-rbl — AGPL-3, liberament użabbli.

Min iħaddem server ta' Odoo fuq l-internet, jirċievi żjarat. Mhux oċċażjonalment, iżda bla heda. Matul sbatax-il jum fuq ħames websajts tagħna reġistrajna u evalwajna 731.297 talba. 110.511 minnhom ma kinux viżitaturi, iżda fittxija awtomatizzata għal vulnerabbiltajiet, kredenzjali u fajls ta' konfigurazzjoni.

Dan l-artikolu jiddeskrivi Web RBL, modulu Open-Source għal Odoo 19 Community, li jagħraf dan it-traffiku, jevalwah, jirreġistrah u jirrifjutah — u li jippubblika l-lista ta' blokkar bħala lista RBL, jiġifieri fil-format li l-firewalls u r-reverse proxies jaqraw mill-ewwel. In-numri kollha jiġu mill-operat reali.

Dak li jista' jagħmel il-modulu — il-funzjonijiet fil-qosor

Funzjoni	Dak li jagħmel	Ġbir
Rikonoxximent ta' mudelli	Jagħraf sondaġġi mill-path u mill-estensjoni: .env, .git, fajls ta' konfigurazzjoni, ċwievet tal-cloud, istruzzjonijiet ta' bini CI/CD, WordPress, PHP, path traversal, ġestjoni tad-database, GraphQL, eżekuzzjoni ta' kmandi permezz ta' /api/fs/exec u interfaces simili	ibblokka
Tliet livelli għal kull mudell	ibblokka, għodd jew irrapporta — jistgħu jinbidlu għal kull mudell, mingħajr kodiċi	għal kull mudell
Limiti	Kemm-il hit tal-istess mudell qabel ma jiġi bblokkat; għal-login għaxra	10 fil-login
Difiża tal-login	Logins falluti permezz tal-maskra u XML-RPC/JSON-RPC, verifiki tas-sessjoni falluti, aċċessi għall-ġestjoni tad-database — fid-database, mhux fil-memorja	mixgħul
Rikonoxximent ta' bots fil-login	Min jinjora l-messaġġ ta' stennija wara għaxar tentattivi fallimentari u jibqa' jħabbat, jiġi bblokkat immedjatament	ibblokka
Rikonoxximent tal-imġiba	Indirizzi li f'ħames minuti joħolqu għoxrin paġna żbaljata u kważi l-ebda paġna misjuba — jiġifieri jaħsbu minflok jaqraw	irrapporta
Valutazzjoni 0–100	Kemm hu żgur li wara l-indirizz hemm attakkant? Mis-severità tal-mudell, in-numru ta' mudelli differenti, jiem notevoli, domains affettwati u n-numru ta' hits — b'raġuni fi kliem sempliċi	mixgħul
Blokk tal-login skont il-valutazzjoni	Minn valutazzjoni konfigurabbli l-login huwa pprojbit, il-websajt tibqa' tinqara	minn 40
Suspett ta' kredenzjali misruqa	Login li rnexxa minn indirizz suspettuż jiġi rrappurtat u, jekk mixtieq, jiġi assenjat bħala kompitu — darba għal kull indirizz u kuljum	mixgħul
Listi ta' theddid	Nodi tal-ħruġ ta' Tor, Spamhaus DROP, FireHOL Level 1, blocklist.de ikkonfigurati minn qabel; kull lista RBL oħra tista' tiddaħħal permezz tal-indirizz, tqabbil ta' kuljum, livell separat għal kull lista	irrapporta
L-ebda aċċess għall-login	Ir-raba' livell għal-listi u l-pajjiżi: il-websajt tibqa' tinqara, il-formola tal-login u l-interfaces huma magħluqin — it-tweġiba t-tajba għal Tor	Għażla
Pajjiż ta' oriġini	Pajjiż għal kull hit u indirizz permezz ta' GeoLite2; il-modulu jżomm id-database aġġornata waħdu b'ċavetta tal-liċenzja mingħajr ħlas	uri
Regoli tal-pajjiżi	Ibblokka, l-ebda aċċess għall-login, irrapporta jew ħieles b'mod espliċitu — għal kull pajjiż, intenzjonalment mingħajr valur predefinit	xejn
Konfigurazzjonijiet żbaljati	QNAP, Synology, Exchange Autodiscover, ActiveSync, WebDAV/CalDAV/CardDAV jiġu rikonoxxuti, qatt ma jiġu mblukkati u jitpoġġew f'lista tax-xogħol bis-sejba u bid-dominju affettwat	irrapporta
Tiket għal kull indirizz	Minn sejba jinħoloq tiket, jekk mixtieq — eżattament wieħed għal kull indirizz, wieħed magħluq jinfetaħ mill-ġdid minflok ma jiġi mdoppjat	off
Paġni obbligatorji u kollezzjonisti	Il-mogħdija kanonika tal-impressum tibqa' dejjem aċċessibbli; it-tentattivi awtomatiċi b'ortografiji barranin jiġu rikonoxxuti u, jekk mixtieq, imblukkati	irrapporta
Lista ta' eżenzjoni	Indirizzi u netwerks li qatt ma jiġu mblukkati; timtela kuljum mill-firewall (l-endpoints tal-VPN) u mill-firxiet ta' indirizzi ppubblikati ta' Googlebot u Bingbot	mixgħul
Assenjazzjoni tal-klijent	Hit min-netwerk ta' klijent jiġi assenjat lilu — mil-lista ta' eżenzjoni, qatt maħsub bl-idejn	mixgħul
Dominju u identifikatur għal kull hit	Liema websajt ġiet indirizzata, b'liema User-Agent — it-tnejn nieqsa mir-reġistru tal-aċċess	mixgħul
Analiżi	Dijagramma u pivot fuq il-hits kollha: għal kull mudell, jum, dominju, pajjiż, indirizz	mixgħul
Lixka	Is-sondi jirċievu tweġibiet maħluqa b'valur canary; min jitlobh aktar tard, jkun qraha	off
Tqassim RBL	Il-lista tal-blokki bħala lista ta' indirizzi sempliċi jew JSON f'indirizz proprju protett b'token — għal HAProxy, OPNsense u kull firewall li taqra listi ta' URL	mixgħul

Dak kollu li jiġi mwassal b'irrapporta, off jew għażla huwa hekk apposta: min ixgħel blokk, għandu jagħmel hekk għax ra l-affarijiet għal ftit jiem, min jaqa' fih — mhux għax il-valur predefinit ried hekk.

L-analiżi: hits għal kull mudell fuq seba' ijiem. L-ogħla vleġġa hija t-tfittxija għal fajls .env.

Listi RBL: mod standardizzat biex jitwasslu l-blokki

RBL tfisser Real-time Blackhole List. It-terminu ġej mid-dinja tal-posta, fejn Spamhaus u oħrajn mis-snin disgħin ippubblikaw listi ta' indirizzi ta' mittenti ħżiena. Il-prinċipju huwa sempliċi ħafna u eżattament għalhekk imxerred ħafna: indirizz wieħed f'kull linja, jinqara permezz ta' HTTP, jerġa' jinżel regolarment. L-ebda format li trid tanalizza qabel, l-ebda interface li għaliha jkollok bżonn għodda.

Prattikament kull firewall u kull reverse proxy jistgħu jaqraw lista bħal din u jibnu regoli minnha. Il-manifatturi jsejħulha b'mod differenti, il-mekkaniżmu huwa l-istess kullimkien:

• OPNsense u pfSense — URL Table Alias: tinżel il-lista ta' indirizzi permezz ta' HTTP, tintuża bħala alias fir-regoli tal-firewall, aġġornament kull siegħa jew kuljum
• HAProxy — fajls ACL u Maps: src -f sperrliste.txt f'regola http-request deny, jistgħu jerġgħu jitgħabbew permezz tal-API tar-runtime mingħajr restart
• nginx — modulu geo b'fajl ta' indirizzi inkluż, jew istruzzjonijiet deny minn fajl include iġġenerat
• Fortinet FortiGate — External Block List jew Threat Feed: URL wieħed li minnu l-firewall tieħu lista ta' IP u tużaha fil-politiki
• Palo Alto Networks — External Dynamic List (EDL): l-istess prinċipju, bħala tip ta' oġġett proprju fil-politiki tas-sigurtà
• Check Point — Custom Intelligence Feeds u IP Block Lists permezz ta' URL
• Cisco Secure Firewall (Firepower) — Security Intelligence Feeds b'sorsi ta' listi proprji
• Sophos Firewall — Third-Party Threat Feeds: listi ta' indirizzi minn URL bħala sors għal regoli ta' blokk
• Juniper SRX — Dynamic Address Entries minn feeds
• MikroTik RouterOS — Address Lists, mimlija b'script u fetch minn URL
• CrowdSec — listi proprji bħala sors għall-bouncers fuq kull sistema megħjuna

Eżattament f'dan il-format Web RBL iwassal il-lista tal-blokki tiegħu. Il-firewall tarmi l-pakketti qabel ma jilħqu s-server tal-web — u magħhom kull tentattiv ieħor mill-istess indirizz, pereżempju lejn is-server tal-posta jew il-gateway tal-VPN.

Iż-żewġ direzzjonijiet, imma l-post it-tajjeb

It-triq taħdem ukoll bil-maqlub: f'Web RBL tista' tidħol kull lista RBL li trid — URL, livell wieħed, lest. Nodi tal-ħruġ ta' Tor, Spamhaus DROP, FireHOL u blocklist.de huma ikkonfigurati minn qabel, oħrajn jiżdiedu b'tlett klikks. Il-modulu jaqsam kull lista f'firxiet ta' indirizzi u jiċċekkja kull talba kontrihom, f'ftit mikrosekondi.

U xorta waħda: Huwa aktar għaqli li tuża listi barranin fuq il-firewall qabel il-modulu. Għal tliet raġunijiet. Il-firewall tara s-servizzi kollha, mhux biss HTTP — indirizz mil-lista ta' Spamhaus għandu jfalli wkoll fis-server tal-posta u fil-VPN. Hija tarmi fil-livell tal-pakketti, qabel ma tinħoloq konnessjoni, u b'hekk ma tiswa xejn lis-server tal-applikazzjoni. U hija l-post fejn dawn il-listi jinżammu b'kull każ; it-tieni kopja fl-applikazzjoni hija t-tieni post li jista' jiskadi.

Għal xiex huma tajbin il-listi fil-modulu allura: għal dak li firewall ma tistax tagħmel. Hija ma tafx xejn dwar formola tal-login. Web RBL jista' jiċħad l-aċċess għall-login lil indirizz mil-lista ta' Tor u xorta jwassal il-websajt — min irid jaqra b'mod anonimu, għandu jitħalla; min irid jipprova passwords b'mod anonimu, le. U jista' jirrapporta login li rnexxa minn indirizz elenkat bħala każ suspettuż. It-tnejn jeħtieġu l-lista eżattament fejn isir il-login.

Valutazzjoni minflok intwizzjoni

Indirizz li talab darba /wp-login.php huwa differenti minn wieħed li f'jumejn għadda b'ħames mudelli differenti fuq tliet dominji. Web RBL jikkalkula dan f' valutazzjoni minn 0 sa 100 — minn dak li rah huwa stess, mingħajr servizz barrani u mingħajr mistoqsija lejn barra.

Entrata waħda: 99 hit, valutazzjoni 84, u r-raġuni b'kliem ċar — l-itqal mudell, ħames mudelli serji differenti, jumejn suspettużi, aktar minn għoxrin hit.

Il-valutazzjoni tiddeċiedi żewġ affarijiet. Minn valur konfigurabbli 'l fuq, il-login huwa pprojbit — il-websajt tibqa' tinqara, imma min diġà fittex dettalji ta' aċċess ma jingħatax l-opportunità li jipprova dawk misjuba. U login li rnexxa minn indirizz b'valutazzjoni jiġi rrappurtat: allura xi ħadd ma kienx għadu qed jgħoqod, imma kien jaf. Jew l-utent leġittimu kien qed jivvjaġġa, jew id-dettalji ta' aċċess intilfu — il-modulu ma jiddeċidix dan, iressqu lil xi ħadd li jista' jistaqsi. Il-password innifisha ma tintmess xejn.

Il-lista tal-blokki, iffiltrata skont valutazzjoni minn 40: għadd ta' hits, jiem suspettużi, dominji affettwati u l-aħħar mogħdija għal kull indirizz.

X'jipproteġi Web RBL — l-effett protettiv fid-dettall

1. Id-dettalji ta' aċċess jibqgħu mhux skoperti

L-akbar klassi ta' attakki mkejla ma tfittixx vulnerabbiltajiet f' Odoo, imma sigrieti li ntilfu. Fuq sbatax-il jum:

• 57.721 talba għal fajls .env — hemm jinsabu passwords tad-database, ċwievet tal-API u sigrieti tas-sessjoni
• 5.535 talba għal fajls ta' konfigurazzjoni
• 4.388 talba għal dettalji ta' aċċess tal-cloud: credentials.json, service-account.json, firebase-adminsdk.json, rclone.conf, .git-credentials
• 2.811 talba għal direttorji .git — min isib wieħed, iniżżel il-kodiċi sors sħiħ flimkien mal-istorja
• 1.907 talba għal istruzzjonijiet tal-bini bħal .github/workflows/deploy.yml jew .gitlab-ci.yml, li fihom ir-reġistri u l-ismijiet taċ-ċwievet

Dak li hu deċiżiv mhuwiex l-għadd ta' talbiet, imma l-għadd ta' indirizzi differenti: /credentials.json ġie minn 98 indirizz, /.git-credentials minn 92. Dan mhuwiex xi scanner wieħed, imma repertorju standard li jaħdem madwar id-dinja fl-istess ħin.

2. It-tentattivi ta' login jispiċċaw fix-xejn — b'mod permanenti

Odoo għandu l-brejk tiegħu stess kontra l-ittestjar ta' passwords. Għandu tliet limiti, dokumentati fil-kodiċi sors ta' Odoo stess: Il-kontatur jinsab fil-memorja tal-proċess tax-xogħol u jerġa' jiġi rrisettjat f'kull restart, huwa jdewwem biss minflok ma jibblokka, u jgħodd esklussivament tentattivi li jgħaddu sal-verifika tal-password.

Web RBL jidħol fl-istess postijiet, imma jikteb fid- database. Għalhekk japplika:

• L-istat jibqa' wara kull restart u japplika fuq il-proċessi kollha tax-xogħol
• Jiġu rreġistrati ż-żewġ toroq: il-formola tal-login /web/login u l-interfaces /xmlrpc/2/common u /jsonrpc
• Jiġu rreġistrati wkoll tentattivi li qatt ma jilħqu l-verifika tal-password — pereżempju logins mingħajr marka tas-sessjoni valida
• Aċċess falluti għall-maniġer tad-database jingħadd ukoll; dan huwa l-aktar tentattiv ta' login serju li jeżisti

Il-limitu għal-logins huwa għaxra, u r-raġuni hija kejl: Minn disa' logins falluti f'sbatax-il jum, il-maġġoranza kienet ta' klijenti li stabbilixxew l-aċċess waħedhom fuq apparat ieħor u daħlu d-dominju ħażin — f'każ wieħed id-dominju tagħhom stess, imma b'ċineg minflok b'punt. Blokk fl-ewwel tentattiv fallit ma kienx jolqot attakkanti, imma klijenti waqt l-istabbiliment.

Min min-naħa l-oħra jibqa' jħabbat għalkemm is-server diġà weġibu “stenna ftit”, jiġi mblukkat immedjatament. Din it-tweġiba taqraha bniedem u jistenna; min jinjorha, huwa programm. Mudell proprju b'limitu żero jaqbad eżattament dan il-każ, u ma jistax jolqot kollega: Hemm jasal biss min diġà għandu għaxar tentattivi falluti warajh u wara jkompli.

3. L-attakk ma jiswa xejn lis-server aktar

Sonda għal mogħdija bħal /@fs/../../.env kienet għalja qabel il-modulu: Odoo jfittex il-paġna tal-iżball, jirrenderjaha, jiżbalja mat-tqegħid tal-indirizz fuq is-segmenti bin-nukket u wara jfalli anki fuq il-paġna tal-iżball tal-paġna tal-iżball. Żewġ stack traces għal kull sonda. Ġew imkejla 28.401 żball bħal dan fi sbatax-il jum, flimkien ma' 9.467 żball konsegwenzjali.

Web RBL jidħol f'ir.http._match, jiġifieri qabel l-instradament. It-tweġiba toħroġ mingħajr template, mingħajr aċċess għad-database lil hinn mill-verifika tal-blokk u mingħajr linja fir-reġistru. Il-verifika kontra l-lista ta' eżenzjoni, il-listi ta' theddid u r-regoli tal-pajjiżi taħdem mill-cache fuq firxiet ta' indirizzi ordnati — ftit mikrosekondi, anki b'aktar minn tletin elf firxa.

4. Il-firewall titfa' lill-attakkant 'il barra qabel ma jasal

Il-lista tal-blokki tiġi ppubblikata bħala lista RBL li HAProxy u OPNsense jaqraw direttament. L-attakkant ma jilħaqx għalhekk is-server tal-web għal kollox — u lanqas ebda servizz ieħor fuq l-istess host. Aċċess li ġie rikonoxxut darba bħala ħażin jipproteġi hekk retroattivament il-magna kollha.

Tliet livelli: ibblokka, għodd, irrapporta

Mhux kull talba fil-vojt hija attakk. Web RBL jiddistingwi għalhekk tliet livelli, u l-livell jista' jinbidel għal kull mudell, mingħajr ma jintmess il-kodiċi.

Livell	It-talba li tqanqal	Konsegwenza għall-indirizz
ibblokka	tiġi rrifjutata	imblukkat għal 24 siegħa, wara tliet jiem suspettużi b'mod permanenti
għodd	tgħaddi	biss irreġistrata, l-ebda blokk
irrapporta	tgħaddi	irreġistrata b'test tas-sejba, qatt ma tiġi mblukkata

Għal-listi ta' theddid u għall-pajjiżi hemm raba': l-ebda aċċess għall-login. Il-websajt tibqa' tinqara, il-formola tal-login u l-interfaces huma magħluqin. Din hija t-triq tan-nofs għal kull ma hu suspettuż imma mhux neċessarjament ħażin — Tor, firxa taċ-ċentru tad-data, pajjiż mingħajr klijenti.

Liema attakki jiġu rikonoxxuti

Il-mudelli kollha huma ttestjati kontra traffiku reali. L-għadd ta' indirizzi differenti jinsab apposta ħdejhom — juri jekk mudell jolqotx scanner wieħed jew proċedura mifruxa.

Klassi ta' attakk	Talbiet	Indirizzi
Qbid ta' .env	57.721	223
Sondi PHP	12.237	256
Path traversal b'mira li tħallas	10.046	64
Fajls ta' konfigurazzjoni	5.535	114
Ċwievet ta' aċċess tal-cloud	4.388	152
Sondi WordPress	3.366	385
Qbid ta' .git	2.811	255
Esplorazzjoni ta' Odoo (maniġer tad-database, mistoqsija tal-verżjoni)	2.500	213
Katini ta' għodod tal-AI u eżekuzzjoni ta' kmandi (/mcp, /api/fs/exec)	2.450	74
Istruzzjonijiet tal-bini (CI/CD)	1.907	88
Endpoints GraphQL	1.878	71

L-aħħar klassi hija notevoli. /api/fs/exec ġie mitlub 369 darba minn 54 indirizz differenti — dan mhuwiex aċċess ta' qari, imma tentattiv biex jiġu eżegwiti kmandi. Miri bħal dawn ma kinux jeżistu sentejn ilu; joriġinaw minn interfaces ta' għodod ġodda tal-AI u ta' kodi ta' kompiti. Min jorjenta d-difiża tiegħu biss fuq WordPress u PHP, ma jara xejn minn dan. Fil-valutazzjoni din il-klassi tiżen skont dan.

Listi ta' theddid u pajjiż ta' oriġini

Erba' listi, 32.851 firxa ta' indirizzi, kollha fuq “irrapporta biss”. Kull lista oħra hija indirizz u livell.

Lista barranija hija sostenn li xi ħadd ieħor jagħmel, għal raġunijiet li ma nafux, dwar traffiku li qatt ma rajna. Tista' tkun żbaljata, skaduta jew maħsuba għal skop ieħor: blocklist.de jiġbor l-aktar indirizzi li ppruvaw logins SSH x'imkien ieħor, u dan jgħid ftit dwar server tal-web. Għalhekk Web RBL iżomm listi barranin separati mil-lista tal-blokki proprja, u għalhekk il-valur predefinit huwa irrapporta. U l-lista ta' eżenzjoni proprja dejjem tirbaħ: Klijent li nafu jiżen aktar mill-valutazzjoni ta' terza persuna.

Il-pajjiż ta' oriġini jinsab ma' kull hit u kull indirizz. Għall-valutazzjoni huwa insostitwibbli — tentattiv ta' login mill- pajjiż proprju fl-għaxra ta' filgħodu huwa differenti minn wieħed minn pajjiż mingħajr klijent wieħed. Biex jiġi mblukkat b'mod ġenerali huwa tajjeb ftit, u dan jgħidu n-numri proprji: L-attakkanti fil- lista tagħna ġew prinċipalment minn firxiet tal-cloud fil-Belġju, il-Finlandja u l-Olanda. Blokk għal kull ħaġa barra mill-pajjiżi li jitkellmu bil-Ġermaniż ma kienx jolqothom — imma kien jolqot impjegati proprji fil-btala u klijenti f'vjaġġ ta' negozju.

Ir-regoli tal-pajjiżi jitwasslu vojta, u l-veduta tgħid għala.

Irrapporta konfigurazzjonijiet żbaljati minflok tibblokkahom

L-aktar każ komuni fit-traffiku reali mhuwiex attakk u lanqas żjara, imma softwer difettuż li jaħseb li s-server tal-web huwa xi ħaġa oħra:

• 1.367 aċċess għall-interface tal-web ta' NAS QNAP — klijent tas-sinkronizzazzjoni li l-mira tiegħu ma tkunx tapplika aktar. Port wieħed ħabbat 962 darba.
• 65 mistoqsija Autodiscover — Outlook li jaħseb li d- dominju tal-web huwa l-Exchange tiegħu

Indirizzi bħal dawn qatt ma jiġu mblukkati. Blokk ma jirranġax id-difett, jaħbih — u jolqot lil min l-apparat tiegħu diġà huwa ssettjat ħażin. Minflok jinħoloq entrata bit-test tas-sejba u d-dominji affettwati, li minnha, jekk mixtieq, awtomatikament jinħoloq tiket: eżattament wieħed għal kull indirizz, u jekk jingħalaq u l-indirizz jerġa' jolqot l-attenzjoni, l-istess tiket jerġa' jinfetaħ, minflok ma jinħoloq it-tieni.

Jiġu rikonoxxuti QNAP, Synology, Exchange Autodiscover, ActiveSync kif ukoll klijenti WebDAV, CalDAV u CardDAV. Il-mudelli jsemmu ismijiet eżatti ta' fajls u direttorji, qatt sempliċi estensjonijiet: Hija l-istess direttorju /cgi-bin/ li fih jinsabu l-aċċessi bla ħsara tas-sinkronizzazzjoni ħdejn sondi klassiċi bħal printenv.pl.

Il-lista ta' eżenzjoni: indirizzi li qatt ma jiġu mblukkati

Il-prezz ta' żball mhuwiex l-istess għall-indirizzi kollha. Ma' scanner minn ċentru tad-data, allarm falz ma jiswa xejn. Ma' l-endpoint ta' mina ta' sit, jiswa s-sit.

Għalhekk hemm it-tieni lista li tinsab qabel l-ewwel: indirizzi u netwerks li qatt ma jiġu mblukkati. Hija ma tikkamufla xejn — min jinsab fuqha, jibqa' jiġi ċċekkjat u reġistrat, jonqos biss il-konsegwenza. Din hija d-differenza minn eċċezzjoni fil-firewall: Din tagħmi, din tagħmel biss paċenzja.

Timtela kuljum minn żewġ sorsi: mill-firewall innifisha bl-endpoints kollha tal-VPN, biex mina mwaqqfa ġdida ma jkollhiex bżonn li xi ħadd jiftakar fil-lista tal-blokki — u mill-firxiet ta' indirizzi ppubblikati ta' Google u Microsoft għall-crawlers tagħhom. Biss hekk Googlebot veru jista' jiġi distint minn scanner li jisejjaħ hekk. L-magni tat-tfittxija qatt m'għandhom jiġu mblukkati; min jeskludihom, jneħħi l-websajt tiegħu mill-indiċi mingħajr triq lura.

Hemm tapplika regola li hija aktar importanti mit-tqabbil: Tweġiba vojta qatt ma tħassar. Jekk is-sors ma jweġibx, vojt jew mhux mifhum, il-lista tibqa' bla bidla. Lista ta' eżenzjoni li tiżvojta lilha nnifisha waqt problema, tieħu fl-agħar moment possibbli l-mini kollha magħha.

Jekk entrata tal-lista ta' eżenzjoni jkollha klijent, kull hit min-netwerk tiegħu jiġi assenjat lilu. Konfigurazzjoni żbaljata għandha għalhekk minnufih persuna ta' kuntatt, mingħajr ma xi ħadd ikollu jfittex indirizzi.

Dettalji obbligatorji u kollezzjonisti awtomatiċi tad-data

L-impressum mhuwiex paġna ordinarja. Għandu jibqa' aċċessibbli għall-bnedmin, għax blokk fuqu joħloq eżattament il-ksur li kollezzjonista jfittex. Fl-istess ħin hija l-paġna li fiha jinsabu l-isem u l-indirizz — u għalhekk il-mira ta' ħsad awtomatiku.

Fil-mewġa awstrijaka ta' ittri ta' twissija dwar il-fonts ta' Google inkorporati, ir-reġistri wrew li l-ittri ma ġewx minn żjajjar individwali, imma minn ħarbta awtomatika: hosts differenti, mhux relatati, f'intervall ta' millisekondi.

Web RBL isolvi dan permezz ta' tnaqqis ta' livell minflok eċċezzjoni. Il- mogħdija kanonika /impressum ma taqbel ma ebda mudell u tibqa' dejjem aċċessibbli. Ortografiji barranin bħal /impressum.php — li ma jistgħux jeżistu fuq paġna Odoo — jiġu rrappurtati, u min ma jridx jaċċetta l-ħsad awtomatiku, ibiddel parametru. sitemap u robots huma eżentati minn dan u bażikament ma jistgħux jiġu mblukkati: ma fihom ebda informazzjoni personali, u li jinġiebu huwa x-xogħol ta' kull crawler ta' magna tat-tfittxija.

Dominju u identifikatur: dak li jonqos mir-reġistru tal-aċċess

Ir-reġistru tal-aċċess ta' werkzeug la jikteb il-host indirizzat u lanqas l-identifikatur ta' min jagħmel it-talba. Odoo jirċievi t-tnejn naturalment — mingħajr il-host ma setax jagħżel il-websajt t-tajba meta jkun hemm bosta websajts. Imma wara ma tistax terġa' taqrahom.

Web RBL iżomm it-tnejn għal kull hit. Dan iweġibb żewġ mistoqsijiet li altrimenti ma jistgħux jiġu mweġba: liema websajt tindirizza konfigurazzjoni żbaljata — u għalhekk lil liema klijent jappartjeni d-dominju — u jekk indirizz iżurx paġna waħda jew kollha. Bosta dominji mhux relatati mill-istess indirizz huma l-karatteristika tal-ħarbta, u jżidu l-valutazzjoni.

Kemm l-identifikatur jgħodd, uriet analiżi fuq waħda mill- websajts tagħna: Aktar minn sebgħin fil-mija tat-traffiku kollu kien minn kaller wieħed biss, mifrux fuq aktar minn mija indirizz. Mingħajr l-identifikatur dan kien jidher bħal scraper mifrux. Kien GPTBot, il-crawler ta' OpenAI — kien jistaqsi kontinwament dwar robots.txt u ġab ruħu b'mod kompletament korrett.

L-aspetti tas-sigurtà fid-dettall

1. Ir-rikonoxximent tal-proxy — l-aktar punt perikoluż

Jekk Odoo jaħdem wara reverse proxy u proxy_mode huwa ssettjat ħażin, il-modulu jara l-istess indirizz f'kull talba: il-proxy. Blokk imbagħad kien jeskludi lill-viżitaturi kollha fl-istess ħin.

Għalhekk Web RBL jiċċekkja qabel kull blokk jekk id-determinazzjoni tal-indirizz hijiex affidabbli. Jeżiġi proxy_mode flimkien ma' header ta' forwarding, jirrifjuta li jaħdem jekk forwarding jasal mingħajr proxy_mode, u jirrifjuta bl-istess mod meta jkun hemm aktar minn proxy intermedju wieħed. Fil-każ ta' dubju ma jiġi mblukkat xejn.

2. Netwerks proprji qatt

Firxiet ta' indirizzi privati, loopback, link-local u CGNAT huma eżentati b'mod fiss. Ma jistgħux jispiċċaw fil-lista taħt ebda ċirkostanza, anki mhux bl-idejn. L-istess japplika għal-listi barranin: Firxiet privati u riżervati kif ukoll netwerks assurdament kbar jiġu skartati meta jinqraw.

3. Żball proprju m'għandux iġorr il-websajt miegħu

Il-verifika kollha taħdem f'protezzjoni li taqbad kull żball. Dak li jmur ħażin hawn jiġi rreġistrat, u t-talba tkompli bla bidla. Modulu ta' protezzjoni li, f'żball proprju, jiġbed il-websajt miegħu, huwa agħar minn ebda wieħed. Il-mistoqsijiet kollha fit-triq tat-talba jaħdmu wkoll mingħajr il-lingwa tal-browser tal-viżitatur u mingħajr ordni skont kampijiet tradotti — viżitatur b'lingwa mhux installata ma jistax jwaqqa' l-verifika.

4. Osserva qabel ma tibblokka

Wara l-installazzjoni, il-blokk ta' indirizzi elenkati f'talbiet ordinarji huwa skonnettjat. Is-sondi jiġu rrifjutati u rreġistrati, kull ħaġa oħra tgħaddi. B'hekk jista' jinqara fuq ftit jiem min fil-fatt jispiċċa fil-lista, qabel ma xi ħadd jiġi eskluż. L-istess japplika għar-rikonoxximent tal-imġiba, il-listi ta' theddid u r-regoli tal-pajjiżi: l-ewwel irrapporta, ibblokka wara valutazzjoni.

5. Mudelli stretti minflok netwerks wiesgħa

Viżitatur identifikat ħażin jiswa aktar minn sonda li ma ntlaqtitx. Kull mudell għalhekk iġorr il-livell tiegħu, u jista' jinbidel għal kull mudell. Estensjoni tal-fajl waħedha rarament hija biżżejjed: Ma' .php hemm 14.012 sonda ġenwina kontra ftit links antiki, ma' .asp il-proporzjon huwa maqlub. Deċiżjonijiet bħal dawn jeħtieġu jitkejlu, mhux jiġu stmati.

6. Rilaxx bl-idejn jibqa' fis-seħħ

Min jilliberaw indirizz, kellu raġuni. Hit ieħor ma jneħħix din id-deċiżjoni silenzjożament.

7. Il-lista hija protetta, imma mhijiex sigriet

L-endpoint jeżiġi token u mingħajr token validu jwieġeb b'404, mhux b'403 — l-eżistenza tal-indirizz ma tiġix għalhekk anki kkonfermata. It-tqabbil jaħdem b'ħin kostanti. Il-lista nnifisha ma fiha xejn kunfidenzjali: Hija tikkonsisti f'indirizzi li ħabbtu waħedhom magħna.

8. L-ebda sigrieti fil-kontabilità

F'logins falluti jiġi nnotat l-isem tal-utent li ppruvaw, qatt il-password. Mal-maniġer tad-database xejn ma jinqara mill-valuri mgħoddija: Hemm fl-ewwel post tinsab il-password ewlenija, u entrata f'lista ta' blokki tmur f'kull backup tad-database. Iċ-ċavetta tal-liċenzja għal GeoLite2 tinsab biss fil-parametru tas-sistema u f'ebda linja tar-reġistru.

9. Il-lixka ma tikxifx xejn użabbli

Fakultattivament Web RBL iweġġeb is-sondi b'kontenut maħluq li jkun fih valur canary uniku. Min jitlob dan il-valur aktar tard, ikun qara t-tweġiba foloz u aġixxa b'konsegwenza — allarm falz hawn huwa eskluż. Il-lixki ma fihom ebda dettalji użabbli, ebda mogħdijiet reali u ebda dettalji ta' aċċess validi. Din il-funzjoni titwassal skonnettjata, ġaladarba tbiddel l-imġiba b'mod viżibbli għal barra.

X'ma jistax jagħmel il-modulu

Ma jissostitwix firewall u lanqas Web Application Firewall. Jirrikonoxxi mudelli magħrufa ta' sondaġġ fil-mogħdijiet, logins falluti u mġiba suspettuża — mhux attakki fuq formoli, mhux tentattivi ta' injezzjoni fil-parametri.

Jara wkoll biss dak li jirritorna permezz ta' HTTP. Dak li attakkant jagħmel b'aċċessi misruqin għad-database jew għall-kaxxa postali jibqa' mhux viżibbli — u eżattament għalhekk il-valuri canary huma mogħdijiet u mhux dettalji ta' aċċess.

U ma jissostitwix l-attenzjoni: Modulu li jirrifjuta sondi .env ma jagħmilx fajl .env imwassal bi żball inqas perikoluż.

Disponibbiltà

Web RBL huwa disponibbli pubblikament taħt l-AGPL-3 u jaħdem għandna fil-produzzjoni fuq ħames websajts:

github.com/Alex0176/odoo-web-rbl

Il-modulu jeżiġi Odoo 19 Community u m'għandux dipendenzi ħlief base u web. L- integrazzjoni tat-tiketti hija fakultattiva u ma teħtieġ ebda sistema speċifika ta' tiketti; mingħajr waħda, ma jiġri xejn. Il- pajjiż ta' oriġini jeħtieġ id-database GeoLite2 mingħajr ħlas ta' MaxMind; jekk ma teżistix, il-kamp jibqa' vojt u kull ħaġa oħra taħdem bla bidla.

Aktar informazzjoni: Kif Web RBL jidħol f'arkitettura sħiħa tas-sigurtà -- flimkien ma' firewall, awtentikazzjoni b'żewġ fatturi u permessi, inkluża gwida pass pass: Kif tikkombina sew l-arkitettura tas-sigurtà ta' Odoo 19.

Mistoqsijiet, kummenti u rapporti ta' żbalji nilqgħuhom b'pjaċir — aħjar bħala issue fuq GitHub.