☰

Apache wird überflutet?

tag-icon • tag-icon apache-2.2 httpd ddos denial-of-service flooding
Apache wird überflutet?

Ich habe einen Linux-Apache-Server, der bis vor ein paar Tagen einwandfrei lief. Was passiert ist, ist, dass im Zugriffsprotokoll Zeilen wie diese stehen und die Protokolldatei jede Sekunde um viele Zeilen wächst. Anfangs vermutete ich, dass der Server einem DoS-Angriff ausgesetzt war, und stoppte den Server. Aber nach einigen Tagen erscheint jedes Mal, wenn ich den Server starte, ein ähnliches Protokoll. Ich frage mich, ob jemand weiß, was los ist. Wird es durch einen Virus verursacht?

23.19.76.217 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=728x90&section=3633732&pub_url=${PUB_URL} HTTP/1.0" 200 4497
142.54.177.114 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/imp?Z=300x250&s=3582878&T=3&_salt=3106601030&B=12&m=2&u=http%3A%2F%2Fwww.homesearchcar.com%2F%3Fp%3D184&r=1 HTTP/1.0" 302 -

Antwort1

Sieht so aus, als hätten Sie versehentlich eineProxyserver öffnen, und das Internet hat davon erfahren.

Jeder und jede nutzt jetzt Ihren Server, um seine Internetverbindungen zu übertragen und zu verbergen, was er tut. In diesem konkreten Fall wird Ihr Server dazu missbraucht, ein Werbenetzwerk zu missbrauchen. Sie werden dafür verantwortlich gemacht.

Fahren Sie Ihren Server so schnell wie möglich herunter und konfigurieren Sie ihn neuProxy-Zugriff verweigern oder nur dort zulassen, wo er unbedingt erforderlich ist.

Antwort2

Ich hatte gerade das gleiche Problem und mein Server hatte definitiv keinen offenen Proxy - die Anfragen gingen alle an die Standardsite und das überlastete den Datenbankserver. Sieht aus wie ein schlecht geschriebenes Klickbetrugs-Botnetz - es versucht, offene Proxys zu verwenden, prüft aber nicht, ob es erfolgreich ist oder nicht. Ich habe Anfragen von ~1.500 IP-Adressen gesehen, also ist es nicht praktikabel, sie zu blockieren.

Das Hinzufügen als erster (und daher standardmäßiger) virtueller Host hat bei mir funktioniert

<VirtualHost *:80>
  ServerName default.only
  <Location />
    Order allow,deny
    Deny from all
  </Location>
</VirtualHost>

(aushttp://wiki.apache.org/httpd/ProxyAbuse)

Die Variante, die mir begegnete, forderte auch Seiten auf diesen Ad-Servern an:

  • ad.adorika.com/
  • ad.adserverplus.com/
  • ads1.ministerial5.com/
  • ads.clovenetwork.com/
  • ads.creafi-online-media.com/
  • ad.tagjunction.com/
  • ax-d.pixfuture.net/
  • ib.adnxs.com/
  • www.mmadsgadget.com/

Antwort3

Versuchen Sie, dies in Ihre .htaccess einzufügen

#-Proxy-Zugriff verhindern
#
RewriteEngine ein
RewriteCond %{HTTP:VIA} !^$ [ODER]
RewriteCond %{HTTP:FORWARDED} !^$ [ODER]
RewriteCond %{HTTP:USERAGENT_VIA} !^$ [ODER]
RewriteCond %{HTTP:X_FORWARDED_FOR} !^$ [ODER]
RewriteCond %{HTTP:PROXY_CONNECTION} !^$ [ODER]
RewriteCond %{HTTP:XPROXY_CONNECTION} !^$ [ODER]
RewriteCond %{HTTP:HTTP_PC_REMOTE_ADDR} !^$ [ODER]
RewriteCond %{HTTP:HTTP_CLIENT_IP} !^$
RewriteRule .* - [F]
#

und Sie werden die vorletzte Zeile im Protokoll bemerken.

...732&pub_url=${PUB_URL} HTTP/1.0" 200 4497

wird

...732&pub_url=${PUB_URL} HTTP/1.0" 404 4497

Antwort4

Das sieht nicht wie ein Virus aus, aber es ist wirklich schwierig für uns, Ihnen mehr darüber zu sagen, da wir nicht wissen, wie „normaler“ Datenverkehr aussieht. Wenn Sie jedoch der Meinung sind, dass es sich um schädlichen Datenverkehr handelt, sollten Sie ihn in jedem Fall mit dem integrierten Apache-Mechanismus blockieren, oder es gibt immer eine Firewall.)

Schauen Sie sich Ihr Skript an, das aufgerufen wird

http://ad.globe7.com/st
document.write("<span>Smart Tag Error: Malformed URL - ST_NO_AD_TYPE_GIVEN </span>");

http://ad.yieldmanager.com/imp?
// Invalid tag - code 1, Invalid size, entity=0

ist das normales Verhalten? ist das überhaupt Ihrs?

verwandte Informationen