Dotaz: apache2 - ddos?

[alant]

Zdravim,

v poslednych dnoch sa nam v logoch apache2 mnozia pristupy z ip adresy samotneho serveru, kde bezi apache (predpokladam, ze tie dotazy maju podvrhnutu ip).

ip-serveru - - [17/Aug/2007:10:43:39 +0200] "GET / HTTP/1.1" 200 14 "-" "-"
ip-serveru - - [17/Aug/2007:10:43:39 +0200] "GET / HTTP/1.0" 200 14 "-" "-"
ip-serveru - - [17/Aug/2007:10:43:39 +0200] "GET / HTTP/1.0" 200 14 "-" "-"
ip-serveru - - [17/Aug/2007:10:44:39 +0200] "GET / HTTP/1.1" 200 14 "-" "-"

Tieto requesty prichadzaju priamo na ip adresu serveru absolutne nepravidelne - v spicke az niekolko 100 za sekundu

ako vizno z logu nie je nastaveny user_agent ani nic ine, podla coho by sa dal identifikovat povod requestu

Je mozne sa niekcomu takemuto branit, resp. zistit odkial prichadzaju?

Odpovědi

[Filip Jirsák]

v poslednych dnoch sa nam v logoch apache2 mnozia pristupy z ip adresy samotneho serveru, kde bezi apache (predpokladam, ze tie dotazy maju podvrhnutu ip).

Podvrženou IP adresu nemají, to u TCP spojení není možné (pokud tedy nemá někdo v moci počítač síťově blízko tomu vašemu, ve vašem případě by to musel být přímo váš stroj). Aby se navázalo TCP spojení, musí projít pakety oběma směry, a to by ten váš server odpověděl "podvržené IP adrese, čili sobě, a žádné spojení by se nenavázalo.

Tedy požadavky tedy přicházejí přímo od vašeho serveru, a bude to dělat nějaký chybný skript (třeba v PHP) nebo zvláštně nakonfigurovaný redirect (např. mod_rewrite).

[alant]

vdaka za odpoved.

problem bol v php scripte nasho zakaznika, ktory nemal osetreny vstup do funkcie file..