☰

Apache sendo inundado?

tag-icon • tag-icon apache-2.2 httpd ddos denial-of-service flooding
Apache sendo inundado?

Eu tenho um servidor Linux Apache que estava funcionando bem até alguns dias atrás. O que aconteceu é que no log de acesso existem linhas como esta, e o arquivo de log está crescendo muitas linhas a cada segundo. Inicialmente suspeitei que o servidor tivesse sido atacado e parei o servidor. mas depois de vários dias, sempre que inicio o servidor, acontece um log semelhante. Gostaria de saber se alguém sabe o que está acontecendo? é causado por um vírus?

23.19.76.217 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=728x90&section=3633732&pub_url=${PUB_URL} HTTP/1.0" 200 4497
142.54.177.114 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/imp?Z=300x250&s=3582878&T=3&_salt=3106601030&B=12&m=2&u=http%3A%2F%2Fwww.homesearchcar.com%2F%3Fp%3D184&r=1 HTTP/1.0" 302 -

Responder1

Parece que você configurou acidentalmente umservidor proxy aberto, e a Internet descobriu isso.

Então, todos e suas mães agora estão usando seu servidor para fazer proxy de suas conexões da web e ocultar o que estão fazendo. Neste caso específico, seu servidor está sendo usado para abusar de uma rede de anunciantes. Você será culpado por isso.

Desligue seu servidor o mais rápido possível e reconfigure-o paranegar acesso de proxy ou permitir apenas quando for absolutamente necessário.

Responder2

Acabei de ser atingido pelo mesmo problema e meu servidor definitivamente não estava executando um proxy aberto - todas as solicitações estavam atingindo o site padrão e isso estava sobrecarregando o servidor de banco de dados. Parece um botnet de fraude de cliques mal escrito - ele está tentando usar proxies abertos, mas não verifica se foi bem-sucedido ou não. Já vi solicitações de aproximadamente 1.500 endereços IP, portanto bloqueá-los não é prático.

Adicionar isso como o primeiro host virtual (e, portanto, padrão) funcionou para mim

<VirtualHost *:80>
  ServerName default.only
  <Location />
    Order allow,deny
    Deny from all
  </Location>
</VirtualHost>

(dehttp://wiki.apache.org/httpd/ProxyAbuse)

A variante que fui atingido também solicitava páginas nestes servidores de anúncios:

  • ad.adorika.com/
  • ad.adserverplus.com/
  • ads1.ministerial5.com/
  • ads.clovenetwork.com/
  • ads.creafi-online-media.com/
  • ad.tagjunction.com/
  • ax-d.pixfuture.net/
  • ib.adnxs.com/
  • www.mmadsgadget.com/

Responder3

tente colocar isso no seu .htaccess

#-Impedir acesso proxy
#
RewriteEngine ativado
ReescreverCond %{HTTP:VIA} !^$ [OU]
RewriteCond %{HTTP:FORWARDED} !^$ [OU]
ReescreverCond %{HTTP:USERAGENT_VIA} !^$ [OU]
ReescreverCond %{HTTP:X_FORWARDED_FOR} !^$ [OU]
ReescreverCond %{HTTP:PROXY_CONNECTION} !^$ [OU]
ReescreverCond %{HTTP:XPROXY_CONNECTION} !^$ [OU]
ReescreverCond %{HTTP:HTTP_PC_REMOTE_ADDR} !^$ [OU]
ReescreverCond %{HTTP:HTTP_CLIENT_IP} !^$
RewriteRule .* - [F]
#

e você notará da segunda à última linha do log.

...732&pub_url=${PUB_URL} HTTP/1.0" 200 4497

torna-se

...732&pub_url=${PUB_URL} HTTP/1.0" 404 4497

Responder4

Isso não parece um vírus, mas na verdade é um pouco difícil para nós dizer muito, pois não sabemos como é o tráfego "normal"... mas de qualquer forma, se você acha que é um tráfego ruim, você deveria bloqueie-o usando o mecanismo integrado do Apache ou sempre há um firewall)

dê uma olhada no seu script que está sendo chamado

http://ad.globe7.com/st
document.write("<span>Smart Tag Error: Malformed URL - ST_NO_AD_TYPE_GIVEN </span>");

http://ad.yieldmanager.com/imp?
// Invalid tag - code 1, Invalid size, entity=0

esse é um comportamento normal? isso é mesmo seu?

informação relacionada