Wpad.dat tarafından sular altında kalmak

Apache sunucum yavaştı ve günlük dosyalarına baktım. Vhosts'umdan birinde /wpad.dat'a erişmeye çalışan ton ve tonlarca farklı ana bilgisayardan 12GB erişim elde ettikleri ortaya çıktı.

Şimdi, söz konusu sanal ana bilgisayar, bir tarayıcı bilinen bir ana bilgisayar adı sağlamadığında çağrılan "tümünü yakala" hayaletidir.

Şu anda "/wpad.dat" için dakikada binlerce istek alıyorum ve Google bana söyleyebildiği gibi, bu proxy sunucuları ile ilgili bir şey var mı? Ama proxy sunucuları kullanmıyorum, neden bu isteklerle tam anlamıyla bombalanıyorum.

Bu var olmayan dosya için dakika başına daha fazla istek alıyorum, normal istekleri alıyorum. Benim varsayım, bir çeşit saldırı altında olduğumdur. Komik olan şey, genellikle sadece geceleri (burada İsveç'te) gerçekleşir, gündüz değil.

En son 500 isteğin örnek boyutu (yani yarım dakika), 200 farklı ana bilgisayardan oluştuğunu gösterir ve bunlardan küçük bir örnek, bunların hepsinin geçerli ana bilgisayar (TOR proxy'si değil) olduğunu gösterir, bu nedenle bu bazı DNS sunucuları yanlış yapılandırılmıştır ? Makinede bir DNS sunucusu çalıştırıyorum.

Lütfen yardım et! :)

DÜZENLEME Eriştikleri ana bilgisayar "cluster.atlascms.se" olduğundan, yaptıkları şey http://cluster.atlascms.se/wpad.dat dakikada binlerce kez erişilir .

Şimdi, cluster.atlascms.se DNS yük devretme ana bilgisayarım. Böylece tüm müşterilerim alt alanlarını cluster.atlascms.se'ye yönlendirir ve bu da onları geçerli IP'ye (yük devretme sunucusunun ana sunucusu) yönlendirir.

Göründüğü gibi - bu, cluster.arlascms.se'ye tonlarca ton talep aldığım anlamına gelir - bu, DNS'imin yanlış yapılandırıldığı anlamına gelebilir mi?

DNS bölge görünür eklundh.comişaret tanımlanmış bir joker kaydı var cluster.atlascms.se. Bu içermektedir wpad.eklundh.com. Açıkça tanımlayan bir DNS kaydı eklemenizi öneririm wpad.eklundh.com. için 127.0.0.1falan.

Makineler, proxy otomatik bulma için yapılandırılmışsa, kendi FQDN'lerine göre hiyerarşik olarak bir WPAD.dat dosyası arayacaktır. Yani, bir Windows PC bir etki alanı cdecom üyesi ise, WPAD.dat içinde arayacaktır:

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

Muhtemelen bir yerde, birisinin HTTP'yi barındırdığınız alanlardan birinin alt etki alanı olan ve proxy otomatik keşfini düzgün yapılandırmamış veya devre dışı bırakmamış bir alanı vardır. Sonuç olarak, muhtemelen hiyerarşik olarak arama yapıyorlar.

Bir virüsün bunu yapmalarına neden olmuş olabilir; muhtemelen, sorguyu yapan makineler son derece sayısız ve çeşitli alt ağlarda ise, sorun budur.

Mümkünse, proxy otomatik bulma için kullanmak istemediğiniz herhangi bir şeyin wpad alt etki alanı için bir DNS kaydı tanımlamaktan kaçının.

Bu bir seçenek değilse, wpad.dat sorgularını bulmak ve paketleri bir ICMP iletisiyle reddetmek için katman 7 filtrelemeyi kullanmayı düşünebilirsiniz. IP'lerin hepsi aynı ağdan olmadığı ve whois'e yanıt vermedeki teknik iletişimi olmadığı sürece, bu aslında trafiği durdurmanın en etkili yolu olabilir.

Bir ana bilgisayarı wpad.dat için belirli bir konuma işaret edecek şeyler arasında alan adı ayarları, DHCP yanıtlarındaki alan adı seçeneği ve bazı URL'lerden proxy bilgilerini yüklemek için web tarayıcısında açık bir ayar bulunur.

Yapacağım ilk şey bu istekleri gidiyor nerede olduğunu öğrenmek için çalışmaktır için , yani hedeflerine. Apache, ana makine adını varsayılan olarak günlüğe tcpdumpkaydetmez , bu nedenle kısa bir yakalama için kullanabilir ve Host:istek başlığı için inceleyebilir veya günlüğe kaydetmek için Apache günlük biçiminizi değiştirebilirsiniz. Aksi takdirde işe yaramaz ikinci alanda oturum açmayı tercih ederim, örneğin:

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

Bu hatalı isteklerin kime gönderildiğini öğrendikten sonra, daha sonra ne yapılacağı netleşebilir. Örneğin, büyük bir şirket olabilir example.se, bu durumda ağ yöneticilerini bulabilir ve onlara bağırabilirsiniz.

Sadece FYI, ModSecuritybunu yakalayacak ve engelleyecek. Comodo tarafından sağlanan bir kural kümesi vardır. İşte bir günlük girişi. Hesapla ilgili verileri elimden aldım, bu yüzden örnek olarak kullanmak için içinde var.

Apache Hatası: [file ""] [] [] [istemci xxx.xxx.xxx.xxx] ModSecurity: Erişim 403 koduyla (aşama 2) reddedildi. TX: ".dat /" ile eşleşen ifade: uzantı. [dosya ""] ["] [id" 210730 "] [rev" 2 "] [msg" COMODO WAF: URL dosya uzantısı politika "] tarafından kısıtlandı [veri" .dat "] [önem derecesi" CRITICAL "] [ana makine adı "kaldırıldı"] [uri "/wpad.dat"] [unique_id "WjFa06qDOW3DDPRieFmICgAAAEg"]

Bu sorun vardı ve içinde "bu sayfa boş bırakıldı" sayfası koyarak bir wpad.dat dosyası oluşturarak düzeltildi.

CPU neredeyse sıfıra indi. Sorun çözülmüş görünüyor.