☰

Apache затоплен?

tag-icon • tag-icon apache-2.2 httpd ddos denial-of-service flooding
Apache затоплен?

У меня есть сервер linux apache, который работал нормально до недавнего времени. Произошло следующее: в журнале доступа есть такие строки, и файл журнала увеличивается на много строк каждую секунду. Сначала я подозревал, что сервер подвергся атаке dos, и остановил сервер. Но через несколько дней, когда я запускаю сервер, появляется аналогичный журнал. Мне интересно, знает ли кто-нибудь, что происходит? Это вызвано вирусом?

23.19.76.217 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=728x90&section=3633732&pub_url=${PUB_URL} HTTP/1.0" 200 4497
142.54.177.114 - - [17/Oct/2012:10:21:47 -0400] "GET http://ad.globe7.com/imp?Z=300x250&s=3582878&T=3&_salt=3106601030&B=12&m=2&u=http%3A%2F%2Fwww.homesearchcar.com%2F%3Fp%3D184&r=1 HTTP/1.0" 302 -

решение1

Похоже, вы случайно настроилиоткрытый прокси-сервер, и Интернет узнал об этом.

Итак, все и их матери теперь используют ваш сервер для проксирования своих веб-соединений и скрытия того, что они делают. В этом конкретном случае ваш сервер используется для злоупотребления рекламной сетью. Вас будут обвинять в этом.

Выключите сервер как можно скорее и перенастройте егозапретить доступ через прокси или разрешить его только в случае крайней необходимости.

решение2

Я только что столкнулся с той же проблемой, и мой сервер определенно не работал с открытым прокси - все запросы попадали на сайт по умолчанию, и это перегружало сервер базы данных. Похоже на плохо написанный ботнет клик-фрода - он пытается использовать открытые прокси, но не проверяет, успешно это или нет. Я видел запросы примерно с 1500 IP-адресов, поэтому блокировать их нецелесообразно.

Добавление этого в качестве первого (и, следовательно, по умолчанию) виртуального хоста сработало для меня

<VirtualHost *:80>
  ServerName default.only
  <Location />
    Order allow,deny
    Deny from all
  </Location>
</VirtualHost>

(отhttp://wiki.apache.org/httpd/ProxyAbuse)

Вариант, с которым я столкнулся, также запрашивал страницы на этих рекламных серверах:

  • ad.adorika.com/
  • ad.adserverplus.com/
  • ads1.ministerial5.com/
  • ads.clovenetwork.com/
  • ads.creafi-online-media.com/
  • ad.tagjunction.com/
  • ax-d.pixfuture.net/
  • ib.adnxs.com/
  • www.mmadsgadget.com/

решение3

попробуйте добавить это в ваш .htaccess

#-Запретить доступ через прокси
#
RewriteEngine включен
RewriteCond %{HTTP:VIA} !^$ [ИЛИ]
RewriteCond %{HTTP:FORWARDED} !^$ [ИЛИ]
RewriteCond %{HTTP:USERAGENT_VIA} !^$ [ИЛИ]
RewriteCond %{HTTP:X_FORWARDED_FOR} !^$ [ИЛИ]
RewriteCond %{HTTP:PROXY_CONNECTION} !^$ [ИЛИ]
RewriteCond %{HTTP:XPROXY_CONNECTION} !^$ [ИЛИ]
RewriteCond %{HTTP:HTTP_PC_REMOTE_ADDR} !^$ [ИЛИ]
RewriteCond %{HTTP:HTTP_CLIENT_IP} !^$
RewriteRule .* - [F]
#

и вы заметите предпоследнюю строку в журнале.

...732&pub_url=${PUB_URL} HTTP/1.0" 200 4497

становится

...732&pub_url=${PUB_URL} HTTP/1.0" 404 4497

решение4

Это не похоже на вирус, но на самом деле нам сложно что-либо вам сказать, поскольку мы не знаем, как выглядит «нормальный» трафик... но в любом случае, если вы считаете, что это плохой трафик, вам следует заблокировать его с помощью встроенного механизма Apache или всегда есть брандмауэр)

взгляните на ваш сценарий, который называется

http://ad.globe7.com/st
document.write("<span>Smart Tag Error: Malformed URL - ST_NO_AD_TYPE_GIVEN </span>");

http://ad.yieldmanager.com/imp?
// Invalid tag - code 1, Invalid size, entity=0

это нормальное поведение? это вообще твоё?

Связанный контент