☰

Solicitações estranhas do Facebook no log do Apache

tag-icon • tag-icon apache-2.2
Solicitações estranhas do Facebook no log do Apache

Eu tenho uma enorme quantidade de pedidos estranhos nos meus Apacheslog_de acesso.

Alguns exemplos dos URIs solicitados:

216.110.10.170 - - [22/May/2013:18:44:05 +0200] "GET /?url=https://mail.google.com/mail/?shva=1 HTTP/1.1" 401 1248
173.252.71.189 - - [22/May/2013:18:44:07 +0200] "GET /?url=http://www.amazon.com/gp/product/handle-buy-box/ref=dp_start-bbf_1_glance HTTP/1.1" 401 1248
69.63.185.56 - - [22/May/2013:18:43:09 +0200] "GET /?url=https://www.facebook.com/messages/susan.coop HTTP/1.1" 401 1248

É interessante que todos esses endereços IP estejam registrados no Facebook.

Todas as solicitações resultam em 401 porque o DocumentRoot do servidor é protegido por um arquivo .htaccess.

Alguém sabe por que esses pedidos são feitos?

Responder1

Eles estão procurando por um proxy aberto. Existem duas razões para fazer isso.

Primeiro, e na maioria das vezes, alguém procura um proxy aberto para abusar. Este ou algum outro tipo de verificação automática é o motivo mais frequente para entradas de log suspeitas. O primeiro IP tem um whois de referência que parece apontar para o Facebook, mas você notará que o endereço é diferente e parece um pouco estranho (não há nem mesmo um contato administrativo e o endereço é diferente). Pode ou não ser outra pessoa.

Em segundo lugar, às vezes as pessoas que procuram inteligência de segurança executam esses tipos de varreduras para criar listas negras de servidores abertas a abusos. Esses dados podem então ser usados ​​como entrada para uma heurística (seja para mostrar um CAPTCHA, talvez, ou se uma ação é suspeita, pode ser melhorado sabendo se a solicitação veio de um proxy aberto). O Facebook pode ou não estar coletando esses dados.

Claro, também é possível que vários PCs (ou mesmo servidores) no Facebook tenham sido comprometidos, estejam executando uma botnet ou tenham visitado um link malicioso, e esse pode ser o motivo do tráfego.

O impacto desse tráfego em direção a algo que não seja um proxy aberto é basicamente nulo e é melhor ignorá-lo.

Responder2

É um teste para ver se o seu servidor pode ser abusado como um proxy aberto.

Além disso, o primeiro endereço IP pertence ao twtelecom.net, não ao facebook. Os outros dois estão em netblocks pertencentes ao Facebook.

informação relacionada