Быть залитым wpad.dat

Итак, мой сервер Apache работал медленно, и я посмотрел в файлах журнала. Оказалось, что они выросли до 12 ГБ обращений от множества различных хостов, пытающихся получить доступ к /wpad.dat на одном из моих Vhosts.

Теперь рассматриваемый виртуальный хост - это «универсальный» vhost, который вызывается, когда браузер не предоставляет известное имя хоста.

В настоящее время я получаю тысячи запросов в минуту к /wpad.dat, и, насколько мне может сказать Google, это как-то связано с прокси-серверами? Но я не использую прокси-серверы, так почему я буквально засыпан этими запросами.

Я получаю больше запросов в минуту для этого несуществующего файла, чем я получаю обычные запросы. Поэтому я предполагаю, что я нахожусь в какой-то форме нападения. Забавно, что это обычно происходит только ночью (здесь, в Швеции), а не днем.

Размер выборки последних 500 запросов (то есть полминуты) показывает, что он состоит из 200 различных хостов, и небольшая выборка показывает, что все они являются действительными хостами (не прокси TOR), поэтому некоторые DNS-серверы неправильно настроены ? Я действительно запускаю DNS-сервер на машине.

Пожалуйста помоги! :)

РЕДАКТИРОВАТЬ Хост, к которому они обращаются, это «cluster.atlascms.se», поэтому они обращаются к http://cluster.atlascms.se/wpad.dat тысячи раз в минуту.

Теперь cluster.atlascms.se - мой отказоустойчивый хост DNS. Таким образом, все мои клиенты указывают свои поддомены на cluster.atlascms.se, который, в свою очередь, указывает их на текущий IP (главный сервер аварийного сервера).

Как кажется - это означает, что я получаю тонны и тонны запросов к cluster.arlascms.se - может ли это означать, что мой DNS настроен неправильно?

Похоже, что в вашей DNS-зоне eklundh.comопределена подстановочная запись, указывающая на cluster.atlascms.se. это wpad.eklundh.com. Я предлагаю вам добавить запись DNS, явно определяющую wpad.eklundh.com. к 127.0.0.1или что-то.

Машины будут искать файл WPAD.dat в иерархическом порядке на основе своего собственного полного доменного имени, если они настроены для автоматического обнаружения прокси. Таким образом, если ПК с Windows является членом домена cdecom, он будет искать WPAD.dat в:

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

Скорее всего, где-то у кого-то есть домен, который является поддоменом одного из тех, на которых вы размещаете HTTP, и который не настроен должным образом или не отключил автоматическое обнаружение прокси. В результате они, вероятно, ищут в иерархическом порядке.

Возможно, вирус заставил их сделать это; Скорее всего, если машины, выполняющие запрос, чрезвычайно многочисленны и находятся в разных подсетях, дело обстоит именно так.

Если возможно, избегайте определения DNS-записи для субдомена wpad для всего, что вы не собираетесь использовать для автоматического обнаружения прокси.

Если это не вариант, вы можете рассмотреть возможность использования фильтрации уровня 7 для поиска запросов для wpad.dat и отклонения пакетов с сообщением ICMP. На самом деле это может быть наиболее эффективным способом остановки трафика, если только IP-адреса не принадлежат одной сети и их технический контакт в whois не отвечает.

Вещи, которые будут указывать хост в определенном месте для wpad.dat, включают настройки домена, опцию доменного имени в ответах DHCP и явную настройку в веб-браузере для загрузки информации прокси-сервера из некоторого URL-адреса.

Первое , что я хотел бы сделать , это попытаться выяснить , где эти запросы идут к , т.е. их назначения. Apache не регистрирует имя хоста по умолчанию, поэтому вы можете либо использовать его tcpdumpдля получения краткого перехвата и проверки его на предмет Host:заголовка запроса, либо изменить формат журнала Apache для его регистрации. Я предпочитаю регистрировать это в другом бесполезном втором поле, например:

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

Как только вы узнаете, кому адресованы эти ошибочные запросы, станет ясно, что делать дальше. Например, это может оказаться какой-то крупной компанией, и example.seв этом случае вы можете найти их сетевых администраторов и кричать на них.

Просто к вашему сведению, ModSecurityпоймать это и заблокировать. Comodo предоставляет набор правил. Вот запись в журнале. Я удалил данные, относящиеся к аккаунту, чтобы они были в них только для того, чтобы использовать их в качестве примера.

Ошибка Apache: [файл ""] [] [] [клиент xxx.xxx.xxx.xxx] ModSecurity: доступ запрещен с кодом 403 (этап 2). Подходящая фраза ".dat /" в TX: расширение. [file ""] ["] [id" 210730 "] [rev" 2 "] [msg" COMODO WAF: расширение файла URL ограничено политикой "] [data" .dat "] [серьезность" CRITICAL "] [имя хоста "удален"] [uri "/wpad.dat"] [unique_id "WjFa06qDOW3DDPRieFmICgAAAEg"]

Решил эту проблему и исправил ее, создав файл wpad.dat, добавив в него страницу «Эта страница оставлена ​​пустой».

Процессор ушел почти в ноль. Проблема кажется решенной.