Затоплений wpad.dat

Отже, мій сервер apache був повільним, і я заглянув у файли журналів. Виявилося, що вони виросли до 12 ГБ доступу з тонн і тонн різних хостів, які намагалися отримати доступ до /wpad.dat на одному з моїх привидів.

Тепер віртуальний хост, про який йде мова, є vhost "catch-all", який викликається, коли браузер не надає відомого імені хоста.

Зараз я отримую тисячі запитів на хвилину до "/wpad.dat", і наскільки Google може мені сказати, це щось пов'язане з проксі-серверами? Але я не використовую проксі-сервери, тому чому мене буквально бомбардують ці запити.

Я отримую більше запитів за хвилину для цього неіснуючого файлу, ніж я отримую звичайні запити. Тож моє припущення полягає в тому, що я перебуваю під деякою формою нападу. Смішним є те, що воно, як правило, відбувається лише вночі (тут, у Швеції), а не вдень.

Розмір вибірки останніх 500 запитів (тобто півхвилини) показує, що він складається з 200 різних хостів, і невеликий зразок цих показує, що всі вони дійсні хости (а не проксі-сервери TOR), тому деякі DNS-сервери неправильно налаштовані ? Я запускаю DNS-сервер на машині.

Будь ласка, допоможіть! :)

EDIT Хост, до якого вони звертаються, - це "cluster.atlascms.se", тому те, що вони роблять, - це доступ до http://cluster.atlascms.se/wpad.dat тисячі разів на хвилину.

Тепер, cluster.atlascms.se - мій хост відмови DNS. Тому всі мої клієнти вказують свої субдомени на cluster.atlascms.se, що, у свою чергу, вказує їх на поточний IP (головний сервер сервера відмови).

Як здається - це означає, що я отримую багато тонн запитів до cluster.arlascms.se - це може означати, що мій DNS неправильно налаштований?

Здається, що у вашій зоні DNS eklundh.comвизначено запис підстановки, який вказує на cluster.atlascms.se. Це включає wpad.eklundh.com. Я пропоную вам додати запис DNS, чітко визначаючи wpad.eklundh.com. до 127.0.0.1чи чогось.

Машини шукатимуть файл WPAD.dat ієрархічно на основі власного FQDN, якщо вони налаштовані для автоматичного відкриття проксі. Отже, якщо Windows PC є членом домену cdecom, він шукатиме WPAD.dat у:

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

Ймовірно, що десь у когось є домен, який є піддоменом одного з тих, на яких ви розміщуєте HTTP, і не має належних налаштувань або відключення автоматичного відкриття проксі. Отже, вони, ймовірно, шукають ієрархічно.

Можливо, вірус, можливо, змусив їх це зробити; швидше за все, якщо машин, що роблять запит, надзвичайно багато і в різних підмережах, це те, що розроблено.

Якщо можливо, уникайте визначення запису DNS для піддомену wpad усього, що ви не збираєтесь використовувати для автоматичного виявлення проксі.

Якщо це не варіант, ви можете скористатися фільтруванням рівня 7 для пошуку запитів для wpad.dat та відхилення пакетів із повідомленням ICMP. Насправді це може бути найефективнішим способом зупинити трафік, якщо тільки IP-адреси не з однієї мережі та їх технічний контакт у когось не відповідає.

Речі, які вказуватимуть хост на певне місце для wpad.dat, включають налаштування домену, параметр доменного імені у відповідях DHCP та явне налаштування у веб-браузері для завантаження інформації про проксі з деякої URL-адреси.

Перше , що я хотів би зробити , це спробувати з'ясувати , де ці запити йдуть до , тобто їх призначення. Apache не записує ім'я хоста за замовчуванням, тому ви можете або скористатися tcpdumpдля отримання короткого захоплення та ознайомлення з ним щодо Host:заголовка запиту, або змінити формат журналу Apache для його входу. Я вважаю за краще записати його в інакше непридатне друге поле, наприклад:

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

Як тільки ви дізнаєтесь, до кого звертаються ці помилкові запити, що робити далі, може стати зрозумілим. Наприклад, може виявитись якась велика компанія, і example.seв цьому випадку ви можете знайти їх адміністраторів мережі і кричати на них.

Просто FYI, ModSecurityце схопить і заблокує. Існує набір правил, наданий Comodo. Ось запис у журналі. Я викреслив відповідні дані облікового запису, щоб вони були в ньому просто так, щоб використовувати їх як приклад.

Apache-Error: [файл ""] [] [] [клієнт xxx.xxx.xxx.xxx] ModSecurity: Доступ відмовлено з кодом 403 (фаза 2). Відповідна фраза ".dat /" у TX: розширення. [file ""] ["] [id" 210730 "] [rev" 2 "] [msg" COMODO WAF: Розширення файлу URL-адреси обмежено політикою "] [data" .dat "] [строгість" CRITICAL "] [ім'я хоста "видалено"] [uri "/wpad.dat"] [унікальний_id "WjFa06qDOW3DDPRieFmICgAAAEg"]

Виникла ця проблема та її виправили, створивши файл wpad.dat, помістивши в неї сторінку "ця сторінка залишилася порожньою".

Процесор вийшов майже до нуля. Проблема здається вирішеною.