☰

아파치가 침수되고 있나요?

tag-icon • tag-icon apache-2.2 httpd ddos denial-of-service flooding
아파치가 침수되고 있나요?

며칠 전까지만 해도 잘 돌아가던 Linux Apache 서버가 있습니다. 무슨 일이 일어났는지는 액세스 로그에 이런 줄이 있고, 로그 파일은 매초마다 많은 줄씩 늘어나고 있다는 것입니다. 처음에는 서버가 공격을 받은 것으로 의심하고 서버를 중지했습니다. 그런데 며칠이 지나면 서버를 시작할 때마다 비슷한 로그가 발생합니다. 무슨 일이 일어나고 있는지 아는 사람이 있는지 궁금합니다. 바이러스로 인한 건가요?

23.19.76.217 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=728x90&section=3633732&pub_url=${PUB_URL} HTTP/1.0" 200 4497
142.54.177.114 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/imp?Z=300x250&s=3582878&T=3&_salt=3106601030&B=12&m=2&u=http%3A%2F%2Fwww.homesearchcar.com%2F%3Fp%3D184&r=1 HTTP/1.0" 302 -

답변1

실수로 구성한 것 같습니다.오픈 프록시 서버, 그리고 인터넷이 그것에 대해 알아 냈습니다.

따라서 모든 사람과 그들의 어머니는 이제 귀하의 서버를 사용하여 웹 연결을 프록시하고 자신이 하는 일을 숨기고 있습니다. 이 특별한 경우에는 귀하의 서버가 광고 네트워크를 남용하는 데 사용되고 있습니다. 당신은 이것에 대해 비난받을 것입니다.

가능한 한 빨리 서버를 종료하고 다음과 같이 재구성하십시오.프록시 액세스를 거부하거나 꼭 필요한 경우에만 허용하세요..

답변2

나는 방금 같은 문제에 직면했고 내 서버는 공개 프록시를 실행하고 있지 않았습니다. 요청이 모두 기본 사이트에 도달했고 이로 인해 데이터베이스 서버가 압도적이었습니다. 잘못 작성된 클릭 사기 봇넷처럼 보입니다. 공개 프록시를 사용하려고 시도하지만 성공 여부를 확인하지 않습니다. 최대 1,500개의 IP 주소에서 요청을 보았으므로 이를 차단하는 것은 실용적이지 않습니다.

이것을 첫 번째(따라서 기본) 가상 호스트로 추가하면 나에게 도움이 되었습니다.

<VirtualHost *:80>
  ServerName default.only
  <Location />
    Order allow,deny
    Deny from all
  </Location>
</VirtualHost>

(에서http://wiki.apache.org/httpd/ProxyAbuse)

제가 겪은 변종은 다음 광고 서버에서도 페이지를 요청하는 것이었습니다.

  • ad.adorika.com/
  • ad.adserverplus.com/
  • Ads1.ministerial5.com/
  • Ads.clovenetwork.com/
  • Ads.creafi-online-media.com/
  • ad.tagjunction.com/
  • ax-d.pixfuture.net/
  • ib.adnxs.com/
  • www.mmadsgadget.com/

답변3

이것을 .htaccess에 넣어보세요

#-프록시 액세스 방지
#
RewriteEngine 켜짐
RewriteCond %{HTTP:VIA} !^$ [또는]
RewriteCond %{HTTP:FORWARDED} !^$ [또는]
RewriteCond %{HTTP:USERAGENT_VIA} !^$ [OR]
RewriteCond %{HTTP:X_FORWARDED_FOR} !^$ [OR]
RewriteCond %{HTTP:PROXY_CONNECTION} !^$ [또는]
RewriteCond %{HTTP:XPROXY_CONNECTION} !^$ [OR]
RewriteCond %{HTTP:HTTP_PC_REMOTE_ADDR} !^$ [또는]
RewriteCond %{HTTP:HTTP_CLIENT_IP} !^$
RewriteRule .* - [F]
#

그러면 로그의 마지막 줄에서 두 번째 줄이 표시됩니다.

...732&pub_url=${PUB_URL} HTTP/1.0" 200 4497

된다

...732&pub_url=${PUB_URL} HTTP/1.0" 404 4497

답변4

바이러스처럼 보이지는 않지만 "정상적인" 트래픽이 어떤 것인지 모르기 때문에 실제로 많은 것을 말씀드리기가 어렵습니다... 하지만 두 경우 모두 이것이 나쁜 트래픽이라고 생각한다면 그렇게 해야 합니다. 내장된 아파치 메커니즘을 사용하여 차단하지 않으면 항상 방화벽이 있습니다)

호출되는 스크립트를 살펴보십시오.

http://ad.globe7.com/st
document.write("<span>Smart Tag Error: Malformed URL - ST_NO_AD_TYPE_GIVEN </span>");

http://ad.yieldmanager.com/imp?
// Invalid tag - code 1, Invalid size, entity=0

이게 정상적인 행동인가요? 이것도 당신 것인가요?

관련 정보