Acabei de inicializar um novo servidor x64 do Debian Squeeze x64 do meu provedor de hospedagem na nuvem. Recebi por senha de root por e-mail, fiz o login e executei os seguintes comandos:
atualização do apt-get atualização do apt-get apt-get instala o apache2
Depois de esperar alguns minutos, isso é o que eu vejo nos meus logs do Apache:
$ tail -f /var/log/apache2/access.log
142.0.136.91 - - [14/Apr/2013:17:24:57 +0000] "GET http://ib.adnxs.com/ttj?id=1203788&size=120x600 HTTP/1.0" 404 520 "http://www.axmoviereviews.com/?p=93" "Mozilla/4.61 (Macintosh; I; PPC)"
23.19.26.22 - - [14/Apr/2013:17:24:57 +0000] "GET http://ads1.ministerial5.com/creative/2-002134487-00001j;size=2 HTTP/1.0" 404 560 "://www.bigmoonman.com/index.php?view=article&catid=34%3Acredit-cards&id=147%3A2012-11-04-20-21-54&tmpl=component&print=1&layout=default&page=&option=com_content&Itemid=53" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98; Alexa Toolbar)"
142.4.97.29 - - [14/Apr/2013:17:24:57 +0000] "GET http://ib.adnxs.com/ttj?id=1187354 HTTP/1.0" 404 520 "http://www.axtourism.com/index.php?view=article&catid=38:tourism-studies&id=2001:2012-08-11-23-06-15&format=pdf" "Mozilla/4.61 [en] (WinNT; I)"
142.4.127.44 - - [14/Apr/2013:17:24:57 +0000] "GET http://ads.yashi.com/2382/ HTTP/1.0" 404 523 "http://www.today-entertainment.com/?p=25" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/535.1 (KHTML, like Gecko) Chrome/14.0.814.0 Safari/535.1"
192.0.17.59 - - [14/Apr/2013:17:24:57 +0000] "GET http://ib.adnxs.com/ttj?id=1150137 HTTP/1.0" 404 520 "http://www.keelm.com/car-finance-advice/buying-cars-on-finance-your-questions-answered.html" "Opera/9.80 (S60; SymbOS; Opera Tablet/9174; U; en) Presto/2.7.81 Version/10.5"
108.62.42.19 - - [14/Apr/2013:17:24:57 +0000] "GET http://ads1.ministerial5.com/creative/2-002134228-00001j;size=4 HTTP/1.0" 404 560 "http://earthmouth.com/index.php?option=com_content&view=article&id=5839:2012-10-02-14-13-13&catid=35:journey-wiki&Itemid=54" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.7) Gecko/20040626 Firefox/0.8"
174.34.140.155 - - [14/Apr/2013:17:24:58 +0000] "GET http://ad.yieldmanager.com/st?ad_type=iframe&ad_size=300x250§ion=4270745&pub_url=${PUB_URL} HTTP/1.0" 404 526 "http://touristforce.com/index.php/tourist-guide/1864-part-time-tourist-guide-job-london--job-requirements/" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; MAXTHON 2.0)"
173.208.85.13 - - [14/Apr/2013:17:24:58 +0000] "GET http://ib.adnxs.com/ttj?id=1273606 HTTP/1.0" 404 520 "http://womenorange.com/index.php?option=com_content&view=article&id=13682:2011-12-14-21-50-00&catid=42:womens-health-diet&Itemid=98" "Opera/9.80 (Windows NT 5.1; U; en) Presto/2.9.168 Version/11.51"
64.31.36.235 - - [14/Apr/2013:17:24:58 +0000] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=160x600§ion=3698931&pub_url=${PUB_URL} HTTP/1.0" 404 520 "http://www.mortcard.com/html/what-is-considered-a-good-credit-score.html" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; de) Opera 11.01"
69.162.82.53 - - [14/Apr/2013:17:24:58 +0000] "GET http://ib.adnxs.com/tt?id=1180784&cb=${CACHEBUSTER}&pubclick=${CLICK_URL} HTTP/1.0" 404 519 "http://www.voguewow.com/index.php?option=com_content&view=article&id=2593:sleep-apnea-and-weight-loss-surgery&catid=52:weight-loss&Itemid=144" "Mozilla/3.0 WebTV/1.2 (compatible; MSIE 2.0)"
...
Como você pode imaginar, esta é uma rolagem em alta velocidade.
Então, qual é o veredicto? Existe uma falha de segurança dentro da distribuição Debian instalada pelo meu provedor de hospedagem?
(Desde que eu não tenha certeza se é realmente um problema de segurança que deriva da distribuição do provedor de hospedagem, prefiro não dar seu nome)
Alguém usou o endereço IP do seu VPS como proxy para abusar das várias redes de anúncios mostradas aqui. Se você acabou de obter a coisa, foi provavelmente quem quer que tenha o endereço IP executando um proxy aberto.
Se eu tiver encontrado essa situação, encerrei o servidor da Web e entre em contato com o provedor para informá-lo sobre o problema e solicite um endereço IP diferente.
Todas as solicitações estão tendo uma resposta 404 (arquivo não encontrado), então parece que você está sob algum tipo de ataque de botnet, bastante freqüente neste VPS.
Então, primeiro:
# service apache2 stop
depois. instalar e configurar fail2ban . Isso deve, pelo menos, dar-lhe alguma proteção.
Há documentação on-line sobre o uso de mod_rewrite para descartar algumas dessas porcarias.
Se você olhar para as urls, tudo parece propaganda / banner. Acho que seu provedor de serviços oferece um antigo IP do AdServer. Você pode pedir um novo e esperar que não seja usado.
Acho que será um desperdício de largura de banda / cpu se você mantiver esse IP e tentar bloquear alguma forma.