Strange Centos 5 log de acesso Lighttpd

Question

Eu investiguei o meu log de acesso ao Lighttpd e encontrei algumas coisas estranhas listadas abaixo. Eu não sei se é bom ou ruim, mas urso? Eu nunca fui ou esses sites eu uso o meu Centos apenas para hospedagem de sites. Você poderia me ajudar a entender esses registros?

87.219.0.18 download.bearshare.com - [26/Sep/2009:12:41:37 +0200] "GET http://download.bearshare.com/BSInstall.exe HTTP/1.0" 404 345 "-" "Mozilla/3.0 (compatible)"
87.219.17.44 proxyworld.ifrance.com - [26/Sep/2009:20:13:53 +0200] "GET http://proxyworld.ifrance.com/azenv.php HTTP/1.1" 404 345 "http://proxyworld.ifrance.com/azenv.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
87.219.17.44 proxyworld.ifrance.com - [26/Sep/2009:20:44:12 +0200] "GET http://proxyworld.ifrance.com/azenv.php HTTP/1.1" 404 345 "http://proxyworld.ifrance.com/azenv.php" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
118.168.162.245 - - [27/Sep/2009:12:43:58 +0200] "CONNECT 220.132.13.98:25 HTTP/1.0" 501 357 "-" "-"
125.224.203.130 203.188.201.253:25 - [28/Sep/2009:00:28:09 +0200] "CONNECT 203.188.201.253:25 HTTP/1.1" 501 357 "-" "-"
69.46.23.47 174.34.157.98 - [28/Sep/2009:23:48:54 +0200] "GET http://174.34.157.98/proxychecker/check.cgi?action=getinfo HTTP/1.1" 404 345 "http://www.google.com/search?hl=ru&q=free+proxy+checker&sourceid=navclient-ff&ie=UTF-8" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
125.224.203.130 203.188.201.253:25 - [28/Sep/2009:23:58:14 +0200] "CONNECT 203.188.201.253:25 HTTP/1.1" 501 357 "-" "-"
124.133.252.204 www.yahoo.com - [29/Sep/2009:10:25:59 +0200] "GET http://www.yahoo.com/ HTTP/1.1" 200 1953 "-" "Mozilla/5.0 (compatible; MSIE 5.01; Win2000)"
124.11.136.231 72.14.221.111:25 - [29/Sep/2009:14:59:51 +0200] "CONNECT 72.14.221.111:25 HTTP/1.1" 501 357 "-" "-"
125.224.197.97 203.188.201.253:25 - [01/Oct/2009:01:30:56 +0200] "CONNECT 203.188.201.253:25 HTTP/1.1" 501 357 "-" "-"

    

Answer 1

Parece que alguém está tentando usar seu servidor lighttpd como um servidor proxy. Isso significa que eles se conectam a você e solicitam que você busque uma página da Web ou faça o download de um arquivo em seu nome e, em seguida, envie-o de volta para eles com transparência. Razões comuns para as pessoas fazerem isso:

• Para contornar firewalls corporativos ou governamentais. Por exemplo, o host 87.219.0.18 pode não ser capaz de se conectar ao bearshare.com, mas eles podem se conectar a você e você pode se conectar ao bearshare.com. Se eles puderem fazer com que o seu proxy do servidor da Web seja sua conexão, eles ainda poderão efetivamente acessar o site.
• Para obscurecer a identidade de alguém. No que diz respeito ao bearshare.com, você é o único que se conecta a eles, e não 87.219.0.18.

Ocorre que você está bloqueando a maioria deles, conforme indicado pelos códigos HTTP 404 e 501. No entanto, a conexão de 124.133.252.204 para yahoo.com deu um código 200, o que indica sucesso. Você deve definitivamente verificar sua configuração do lighttpd e garantir que o mod_proxy seja restrito ou desabilitado (a menos que você pretenda oferecer serviços de proxy gratuitos).