☰

Странные запросы от Facebook в журнале Apache

tag-icon • tag-icon apache-2.2
Странные запросы от Facebook в журнале Apache

У меня огромное количество странных запросов в моем Apache.доступ_журнал.

Некоторые примеры запрашиваемых URI:

216.110.10.170 - - [22/May/2013:18:44:05 +0200] "GET /?url=https://mail.google.com/mail/?shva=1 HTTP/1.1" 401 1248
173.252.71.189 - - [22/May/2013:18:44:07 +0200] "GET /?url=http://www.amazon.com/gp/product/handle-buy-box/ref=dp_start-bbf_1_glance HTTP/1.1" 401 1248
69.63.185.56 - - [22/May/2013:18:43:09 +0200] "GET /?url=https://www.facebook.com/messages/susan.coop HTTP/1.1" 401 1248

Интересно, что все эти IP-адреса зарегистрированы на Facebook.

Все запросы возвращают ошибку 401, поскольку DocumentRoot сервера защищен файлом .htaccess.

Кто-нибудь знает, почему поступают такие запросы?

решение1

Они сканируют на наличие открытого прокси. Есть две причины делать это.

Во-первых, и чаще всего, кто-то ищет открытый прокси-сервер для злоупотреблений. Этот или какой-либо другой тип автоматического сканирования является наиболее частой причиной подозрительных записей в журнале. Первый IP имеет реферальный whois, который, по-видимому, указывает на facebook, но вы заметите, что адрес другой, и он выглядит несколько странно (даже нет контакта администратора, а адрес отличается). Это может быть, а может и не быть, кто-то другой.

Во-вторых, иногда люди, ищущие информацию о безопасности, запускают такие типы сканирования, чтобы создавать черные списки серверов, открытых для злоупотреблений. Затем эти данные можно использовать в качестве входных данных для эвристики (например, показывать ли CAPTCHA, или если действие является подозрительным, это можно улучшить, узнав, был ли запрос отправлен с открытого прокси-сервера). Facebook может собирать такие данные, а может и не собирать.

Конечно, также возможно, что несколько ПК (или даже серверов) на Facebook были скомпрометированы или на них работал ботнет, или они перешли по вредоносной ссылке, и это может быть причиной трафика.

Влияние такого трафика на что-либо, кроме открытого прокси, по сути, равно нулю, и его лучше игнорировать.

решение2

Это тест, позволяющий определить, можно ли использовать ваш сервер в качестве открытого прокси-сервера.

Также первый IP-адрес принадлежит twtelecom.net, а не facebook. Остальные два находятся в netblocks, принадлежащих facebook.

Связанный контент