Extraño flujo de solicitudes a mi servidor web

Question

Extraño flujo de solicitudes a mi servidor web

#1 de troelskn (1 votos)

0

Hace aproximadamente una hora, empezaron a aparecer solicitudes extrañas en mis registros de acceso. Ellos están llegando a una tasa de ca. 400 req / s y parecen provenir de direcciones IP de todo el lugar. Comenzó a un ritmo de amante y ha ido aumentando, lo que me preocupa. Las solicitudes se ven así:

63.141.242.51 - - [17/Aug/2014:19:10:50 +0000]  "GET http://anx.batanga.net/tt?id=3011996&cb=[CACHEBUSTER]&referrer=[REFERRER_URL]&pubclick=[INSERT_CLICK_TAG] HTTP/1.0" http 200 0.000 612 "http://www.youdaoqii.com/news/014082324453123443.html" "Mozilla/5.0 (X11; U; Linux i686; en-US) AppleWebKit/532.0 (KHTML, like Gecko) Chrome/4.0.211.0 Safari/532.0"
107.151.241.5 - - [17/Aug/2014:19:10:50 +0000]  "GET http://ib.adnxs.com/tt?id=3351132&referrer=yesshealth.com HTTP/1.0" http 200 0.000 612 "http://wwww.yesshealth.com" "Mozilla/4.0 (compatible; MSIE 8.0; AOL 9.5; AOLBuild 4337.43; Windows NT 6.0; Trident/4.0; SLCC1; .NET CLR 2.0.50727; Media Center PC 5.0; .NET CLR 3.5.21022; .NET CLR 3.5.30729; .NET CLR 3.0.30618)"
67.198.137.236 - - [17/Aug/2014:19:10:50 +0000]  "GET http://anx.batanga.net/ttj?id=3289594&cb=[CACHEBUSTER]&referrer=[REFERRER_URL]&pubclick=[INSERT_CLICK_TAG] HTTP/1.0" http 200 0.000 612 "http://www.formerfinance.com/?p=1363" "Mozilla/4.0 (compatible; MSIE 8.0; AOL 9.6; AOLBuild 4340.27; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
198.204.227.19 - - [17/Aug/2014:19:10:50 +0000]  "GET http://anx.batanga.net/tt?id=3087276&cb=[CACHEBUSTER]&referrer=[REFERRER_URL]&pubclick=[INSERT_CLICK_TAG] HTTP/1.0" http 200 0.000 612 "htp://www.canyouqq.com/news/2014/34457v0947608250480.html" "Mozilla/4.0 (compatible; MSIE 8.0; AOL 9.6; AOLBuild 4340.17; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
198.204.231.173 - - [17/Aug/2014:19:10:50 +0000]  "GET http://anx.batanga.net/tt?id=3087276&cb=[CACHEBUSTER]&referrer=[REFERRER_URL]&pubclick=[INSERT_CLICK_TAG] HTTP/1.0" http 200 0.000 612 "htp://www.canyouqq.com/news/2014/344570947608250480.html" "Mozilla/4.0 (compatible; MSIE 8.0; AOL 9.6; AOLBuild 4340.17; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)"
67.229.227.59 - - [17/Aug/2014:19:10:50 +0000]  "GET http://anx.batanga.net/tt?id=3253370&cb=[CACHEBUSTER]&referrer=[REFERRER_URL]&pubclick=[INSERT_CLICK_TAG] HTTP/1.0" http 200 0.000 612 "http://www.selfisheducation.com/walmart-scholarships-provides-students-with-millions-for-college/feed/" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.0; Trident/4.0; Acoo Browser; GTB6; 001|Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; InfoPath.1; .NET CLR 3.5.30729; .NET CLR 3.0.30618)"
107.151.233.52 - - [17/Aug/2014:19:10:50 +0000]  "GET http://ib.adnxs.com/tt?id=3351132&referrer=yesshealth.com HTTP/1.0" http 200 0.000 612 "http://wwww.yesshealth.com" "Mozilla/4.0 (compatible; MSIE 6.0; AOL 8.0; Windows NT 5.1; SV1)"

Encontré otra pregunta donde alguien parece estar recibiendo el mismo tipo de tráfico: Registros de acceso de Apache extraño La conclusión parece ser que es una búsqueda de proxies abiertos. Pero si esto es un escaneo, ¿no debería provenir de una sola (o unas pocas) direcciones IP? Esto parece ser otra cosa, en mi conocimiento limitado.

¿Alguien puede confirmar que esto es solo un escaneo o quizás decirme qué está pasando?

Estoy ejecutando nginx y aunque el tráfico es bastante, actualmente no está causando ningún problema.

ddos nginx network-scanners

pregunta troelskn 17.08.2014 - 21:22

fuente

1 respuesta

Lea otras preguntas en las etiquetas ddos nginx network-scanners

Prueba de seguridad de token inteligente [cerrado] Uso de diferentes algoritmos para ralentizar el descifrado de contraseñas de GPU [duplicar]

score 1 · Answer 1

Encontré este artículo, que parece explicar lo que está pasando: enlace

He modificado la configuración de host predeterminada para devolver http 444 ahora. Con suerte, los culpables se darán cuenta de que esto no es un proxy abierto y simplemente desaparecerán en algún momento.

Por ejemplo:

server {
        listen 80 default_server;
        listen [::]:80 default_server ipv6only=on;

        root /usr/share/nginx/html;
        index index.html index.htm;

        # Make site accessible from http://localhost/
        server_name localhost;

        location / {
                return 444;
        }
}

Parece que funciona. 10 minutos después de que inserté esto, el tráfico se redujo considerablemente. Supongo que el hecho de que nginx respondiera con http 200 a las solicitudes de proxy, significaba que el culpable pensaba que funcionaba como un proxy (aunque solo estaba sirviendo la página del servidor predeterminado). Responder con un error debe haberlos avisado.