☰

Apache が洪水状態ですか?

tag-icon • tag-icon apache-2.2 httpd ddos denial-of-service flooding
Apache が洪水状態ですか?

数日前まで問題なく動作していた Linux Apache サーバーがあります。アクセス ログにこのような行が記録され、ログ ファイルが毎秒数行ずつ増えています。最初はサーバーが DoS 攻撃を受けたと疑い、サーバーを停止しました。しかし、数日後、サーバーを起動するたびに同様のログが表示されます。何が起こっているのか知っている人はいませんか? ウイルスが原因でしょうか?

23.19.76.217 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=728x90&section=3633732&pub_url=${PUB_URL} HTTP/1.0" 200 4497
142.54.177.114 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/imp?Z=300x250&s=3582878&T=3&_salt=3106601030&B=12&m=2&u=http%3A%2F%2Fwww.homesearchcar.com%2F%3Fp%3D184&r=1 HTTP/1.0" 302 -

答え1

誤って設定したようですプロキシサーバーを開く、そしてインターネットでそれが知られるようになりました。

つまり、今では誰もがあなたのサーバーを使用して Web 接続をプロキシし、自分の行動を隠しています。この特定のケースでは、あなたのサーバーが広告ネットワークを悪用するために使用されています。この責任はあなたにあります。

できるだけ早くサーバーをシャットダウンし、プロキシアクセスを拒否するか、絶対に必要な場合にのみ許可する。

答え2

私も同じ問題に遭遇しましたが、私のサーバーはオープン プロキシを実行していなかったのは確かです。リクエストはすべてデフォルトのサイトにアクセスしていたため、データベース サーバーが過負荷になっていました。クリック詐欺のボットネットが下手に書かれているようです。オープン プロキシを使用しようとしていますが、成功するかどうかを確認していません。約 1,500 の IP アドレスからのリクエストを確認したので、それらをブロックするのは現実的ではありません。

これを最初の（つまりデフォルトの）仮想ホストとして追加するとうまくいきました

<VirtualHost *:80>
  ServerName default.only
  <Location />
    Order allow,deny
    Deny from all
  </Location>
</VirtualHost>

（からhttp://wiki.apache.org/httpd/ProxyAbuse）

私が遭遇した亜種は、次の広告サーバー上のページもリクエストしていました:

  • ad.adorika.com/
  • ad.adserverplus.com/
  • ads1.ministerial5.com/
  • 広告.clovenetwork.com/
  • ads.creafi-online-media.com/
  • ad.tagjunction.com/
  • 出典: ax-d.pixfuture.net/
  • ib.adnxs.com/
  • www.mmadsgadget.com/

答え3

これを.htaccessに記述してみてください

#-プロキシアクセスを防止する
#
RewriteEngineオン
書き換え条件 %{HTTP:VIA} !^$ [または]
書き換え条件 %{HTTP:FORWARDED} !^$ [または]
書き換え条件 %{HTTP:USERAGENT_VIA} !^$ [または]
書き換え条件 %{HTTP:X_FORWARDED_FOR} !^$ [または]
RewriteCond %{HTTP:PROXY_CONNECTION} !^$ [または]
書き換え条件 %{HTTP:XPROXY_CONNECTION} !^$ [または]
書き換え条件 %{HTTP:HTTP_PC_REMOTE_ADDR} !^$ [または]
書き換え条件 %{HTTP:HTTP_CLIENT_IP} !^$
書き換えルール .* - [F]
#

ログの最後から 2 行目に注目してください。

...732&pub_url=${PUB_URL} HTTP/1.0" 200 4497

なる

...732&pub_url=${PUB_URL} HTTP/1.0" 404 4497

答え4

これはウイルスのようには見えませんが、実際には「通常の」トラフィックがどのようなものか分からないため、私たちには多くのことをお伝えするのは難しいです...しかし、いずれにしても、これが不正なトラフィックであると思われる場合は、組み込みの Apache メカニズムを使用してブロックするか、ファイアウォールを使用する必要があります。

呼び出されているスクリプトを見てください

http://ad.globe7.com/st
document.write("<span>Smart Tag Error: Malformed URL - ST_NO_AD_TYPE_GIVEN </span>");

http://ad.yieldmanager.com/imp?
// Invalid tag - code 1, Invalid size, entity=0

これは普通の行動ですか？これはあなたの行動ですか？

関連情報