Bị ngập bởi wpad.dat

Vì vậy, máy chủ apache của tôi rất chậm và tôi đã xem các tệp nhật ký. Hóa ra họ đã tăng lên 12GB lượt truy cập từ hàng tấn máy chủ khác nhau đang cố truy cập /wpad.dat trên một trong những Vhost của tôi.

Bây giờ, máy chủ ảo được đề cập là vhost "bắt tất cả" được gọi khi trình duyệt không cung cấp tên máy chủ đã biết.

Tôi hiện đang nhận được hàng ngàn yêu cầu mỗi phút cho "/wpad.dat" và theo như Google có thể cho tôi biết, đây có phải là điều gì đó có liên quan đến máy chủ proxy không? Nhưng tôi không sử dụng máy chủ proxy, vậy tại sao tôi lại bị bắn phá bởi những yêu cầu này.

Tôi nhận được nhiều yêu cầu hơn mỗi phút cho tệp không tồn tại này hơn là tôi nhận được yêu cầu bình thường. Vì vậy, giả định của tôi là tôi đang bị tấn công. Điều buồn cười là nó thường chỉ xảy ra vào ban đêm (ở đây là Thụy Điển) chứ không phải vào ban ngày.

Kích thước mẫu của 500 yêu cầu mới nhất (tức là nửa phút) cho thấy rằng nó bao gồm 200 máy chủ khác nhau và một mẫu nhỏ trong số đó cho thấy tất cả chúng đều là máy chủ hợp lệ (không phải proxy TOR) nên một số máy chủ DNS được định cấu hình không chính xác ? Tôi chạy một máy chủ DNS trên máy.

Xin vui lòng giúp đỡ! :)

EDIT Máy chủ mà họ đang truy cập là "cluster.atlascms.se" vì vậy những gì họ làm là truy cập http://cluster.atlascms.se/wpad.dat hàng nghìn lần mỗi phút.

Bây giờ, cluster.atlascms.se là máy chủ chuyển đổi dự phòng DNS của tôi. Vì vậy, tất cả các máy khách của tôi trỏ tên miền phụ của chúng vào cluster.atlascms.se, lần lượt chúng trỏ đến IP hiện tại (máy chủ chính của máy chủ chuyển đổi dự phòng).

Có vẻ như - điều này có nghĩa là tôi đang nhận được rất nhiều yêu cầu tới cluster.arlascms.se - điều đó có nghĩa là DNS của tôi bị định cấu hình sai?

Dường như vùng DNS của bạn eklundh.comcó bản ghi ký tự đại diện được xác định trỏ đến cluster.atlascms.se. Điều này bao gồm wpad.eklundh.com. Tôi đề nghị bạn thêm một bản ghi DNS xác định rõ ràng wpad.eklundh.com. đến 127.0.0.1hoặc một cái gì đó.

Các máy sẽ tìm kiếm tệp WPAD.dat theo phân cấp dựa trên FQDN của riêng chúng, nếu chúng được cấu hình để tự động phát hiện proxy. Vì vậy, nếu một PC Windows là thành viên của một cdecom miền, nó sẽ tìm WPAD.dat trong:

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

Có thể ở đâu đó, ai đó có một tên miền là một tên miền phụ của một trong những tên miền bạn đang lưu trữ HTTP và không được tự động định cấu hình hoặc tự động phát hiện proxy bị vô hiệu hóa. Kết quả là, họ có khả năng tìm kiếm theo thứ bậc.

Có khả năng virus có thể khiến chúng làm điều này; có khả năng, nếu các máy thực hiện truy vấn là vô cùng nhiều và trong các mạng con khác nhau, thì đây là những gì đang xảy ra.

Nếu có thể, tránh xác định bản ghi DNS cho tên miền phụ wpad của bất kỳ thứ gì bạn không định sử dụng để tự động phát hiện proxy.

Nếu đây không phải là một tùy chọn, bạn có thể cân nhắc sử dụng tính năng lọc lớp 7 để tìm các truy vấn cho wpad.dat và từ chối các gói với thông báo ICMP. Đây thực sự có thể là cách hiệu quả nhất để ngăn chặn lưu lượng, trừ khi tất cả các IP đều từ cùng một mạng và liên hệ kỹ thuật của chúng trong whois là phản hồi.

Những thứ sẽ trỏ máy chủ tại một vị trí cụ thể cho wpad.dat bao gồm cài đặt tên miền, tùy chọn tên miền trong trả lời DHCP và cài đặt rõ ràng trong trình duyệt web để tải thông tin proxy từ một số URL.

Điều đầu tiên tôi sẽ làm là cố gắng tìm ra nơi những yêu cầu này sẽ đến , tức là đích đến của chúng. Apache không đăng nhập tên máy chủ theo mặc định, vì vậy bạn có thể sử dụng tcpdumpđể có được một bản chụp ngắn và kiểm tra nó cho Host:tiêu đề yêu cầu hoặc thay đổi định dạng nhật ký Apache của bạn để ghi nhật ký. Tôi thích đăng nhập nó trong trường thứ hai vô dụng, ví dụ:

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

Một khi bạn biết những yêu cầu sai lầm này đang được gửi đến ai, phải làm gì tiếp theo có thể trở nên rõ ràng. Ví dụ, nó có thể trở thành một công ty lớn example.setrong trường hợp bạn có thể tìm quản trị viên mạng của họ và la mắng họ.

Chỉ cần FYI, ModSecuritysẽ nắm bắt điều này và chặn nó. Có một quy tắc được cung cấp bởi Comodo. Đây là một mục nhật ký. Tôi đã loại bỏ dữ liệu có liên quan đến tài khoản để sử dụng nó làm ví dụ.

Lỗi Apache: [file ""] [] [] [client xxx.xxx.xxx.xxx] ModSecurity: Truy cập bị từ chối với mã 403 (giai đoạn 2). Kết hợp cụm từ ".dat /" tại TX: phần mở rộng. . "đã xóa"] [uri "/wpad.dat"] [unique_id "WjFa06qDOW3DDPRieFmICgAAAEg"]

Có vấn đề này và đã khắc phục nó bằng cách tạo tệp wpad.dat đặt trang "trang này để trống" trong đó.

CPU đã gần như bằng không. Vấn đề dường như đã được giải quyết.