☰

¿Apache se está inundando?

tag-icon • tag-icon apache-2.2 httpd ddos denial-of-service flooding
¿Apache se está inundando?

Tengo un servidor Linux Apache que funcionaba bien hasta hace unos días. Lo que sucedió es que en el registro de acceso hay líneas como esta, y el archivo de registro crece muchas líneas cada segundo. Inicialmente sospeché que el servidor había sido atacado y lo detuve. pero después de varios días, cada vez que inicio el servidor, ocurre un registro similar. Me pregunto si alguien sabe lo que está pasando. ¿Es causado por un virus?

23.19.76.217 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=728x90&section=3633732&pub_url=${PUB_URL} HTTP/1.0" 200 4497
142.54.177.114 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/imp?Z=300x250&s=3582878&T=3&_salt=3106601030&B=12&m=2&u=http%3A%2F%2Fwww.homesearchcar.com%2F%3Fp%3D184&r=1 HTTP/1.0" 302 -

Respuesta1

Parece que has configurado accidentalmente unabrir servidor proxy, e Internet se enteró.

Entonces, todos y sus madres ahora usan su servidor para representar sus conexiones web y ocultar lo que están haciendo. En este caso particular, su servidor se está utilizando para abusar de una red publicitaria. Serás culpado por esto.

Apague su servidor lo antes posible y reconfigurelo paradenegar el acceso proxy o permitirlo solo cuando sea absolutamente necesario.

Respuesta2

Acabo de sufrir el mismo problema y mi servidor definitivamente no estaba ejecutando un proxy abierto: todas las solicitudes llegaban al sitio predeterminado y esto estaba abrumando al servidor de la base de datos. Parece una botnet de fraude de clics mal escrita: intenta utilizar proxies abiertos pero no comprueba si tiene éxito o no. He visto solicitudes de ~1500 direcciones IP, por lo que bloquearlas no es práctico.

Agregar esto como el primer host virtual (y por lo tanto predeterminado) funcionó para mí

<VirtualHost *:80>
  ServerName default.only
  <Location />
    Order allow,deny
    Deny from all
  </Location>
</VirtualHost>

(dehttp://wiki.apache.org/httpd/ProxyAbuse)

La variante que me encontré también solicitaba páginas en estos servidores de anuncios:

  • ad.adorika.com/
  • ad.adserverplus.com/
  • anuncios1.ministerial5.com/
  • ads.clovenetwork.com/
  • ads.creafi-online-media.com/
  • ad.tagjunction.com/
  • ax-d.pixfuture.net/
  • ib.adnxs.com/
  • www.mmadsgadget.com/

Respuesta3

intenta poner esto en tu .htaccess

#-Evitar el acceso proxy
#
Reescribir motor en
ReescribirCond %{HTTP:VIA} !^$ [O]
RewriteCond %{HTTP:REENVIADO} !^$ [O]
ReescribirCond %{HTTP:USERAGENT_VIA} !^$ [O]
ReescribirCond %{HTTP:X_FORWARDED_FOR} !^$ [O]
ReescribirCond %{HTTP:PROXY_CONNECTION} !^$ [O]
RewriteCond %{HTTP:XPROXY_CONNECTION} !^$ [O]
RewriteCond %{HTTP:HTTP_PC_REMOTE_ADDR} !^$ [O]
ReescribirCond %{HTTP:HTTP_CLIENT_IP} !^$
Reescribir regla.* - [F]
#

y notará la segunda a la última línea en el registro.

...732&pub_url=${PUB_URL} HTTP/1.0" 200 4497

se convierte

...732&pub_url=${PUB_URL} HTTP/1.0" 404 4497

Respuesta4

Eso no parece un virus, pero en realidad es un poco difícil para nosotros decirte mucho ya que no sabemos cómo es el tráfico "normal"... pero en cualquier caso, si crees que se trata de tráfico malo, entonces deberías bloquearlo usando el mecanismo integrado de Apache o siempre hay un firewall)

echa un vistazo a tu script que se está llamando

http://ad.globe7.com/st
document.write("<span>Smart Tag Error: Malformed URL - ST_NO_AD_TYPE_GIVEN </span>");

http://ad.yieldmanager.com/imp?
// Invalid tag - code 1, Invalid size, entity=0

¿Es este comportamiento normal? ¿Esto es incluso tuyo?

información relacionada