wpad.dat에 의해 범람되는

그래서 아파치 서버가 느려서 로그 파일을 보았습니다. 그들은 내 호스트 중 하나에서 /wpad.dat에 액세스하려고하는 톤과 톤의 다른 호스트에서 12GB의 액세스로 자랐습니다.

이제 문제의 가상 호스트는 브라우저가 알려진 호스트 이름을 제공하지 않을 때 호출되는 "catch-all"vhost입니다.

현재 "/wpad.dat"에 분당 수천 건의 요청을 받고 있으며 Google에서 알 수있는 한 프록시 서버와 관련이있는 것입니까? 그러나 프록시 서버를 사용하지 않기 때문에 이러한 요청에 문자 그대로 폭격을받는 이유는 무엇입니까?

나는 얻고 더 나는 정상적인 요청을 얻고보다이 존재하지 않는 파일을 분당 요청합니다. 그래서 저는 어떤 형태의 공격을 받고 있다고 가정합니다. 재미있는 것은 일반적으로 밤에만 (여기서는 스웨덴에서는) 발생하지만 낮에는 발생하지 않는다는 것입니다.

최근 500 개의 요청 (예 : 0.5 분)의 샘플 크기는 200 개의 서로 다른 호스트로 구성되어 있음을 보여 주며 작은 샘플은 TOR 프록시가 아닌 모든 유효한 호스트이므로 일부 DNS 서버가 잘못 구성되어 있음을 보여줍니다. ? 컴퓨터에서 DNS 서버를 실행합니다.

도와주세요! :)

편집 그들이 액세스하는 호스트는 "cluster.atlascms.se"이므로 그들이하는 일은 분당 수천 번 http://cluster.atlascms.se/wpad.dat 에 액세스하는 것 입니다.

이제 cluster.atlascms.se는 내 DNS 장애 조치 호스트입니다. 따라서 모든 클라이언트는 하위 도메인을 cluster.atlascms.se로 가리키고 현재 IP (장애 조치 서버의 마스터 서버)를 가리 킵니다.

보이는 것처럼-이것은 cluster.arlascms.se에 대한 수많은 요청을 받고 있음을 의미합니다-내 DNS가 잘못 구성되었음을 의미 할 수 있습니까?

DNS 영역에 포함을 eklundh.com가리키는 와일드 카드 레코드가 정의 cluster.atlascms.se.되어있는 것 같습니다 wpad.eklundh.com. 명시 적으로 정의한 DNS 레코드를 추가하는 것이 좋습니다 wpad.eklundh.com. 로 127.0.0.1또는 뭔가.

컴퓨터는 프록시 자동 검색을 위해 구성된 경우 자체 FQDN을 기반으로 WPAD.dat 파일을 계층 적으로 찾습니다. 따라서 Windows PC가 도메인 cdecom의 구성원 인 경우 다음에서 WPAD.dat를 찾습니다.

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

어딘가에 누군가가 HTTP를 호스팅하는 도메인 중 하나의 하위 도메인 인 도메인을 가지고 있고 프록시 자동 검색을 올바르게 구성하거나 비활성화하지 않은 경우 일 수 있습니다. 결과적으로 계층 적으로 검색 할 가능성이 높습니다.

바이러스로 인해이 작업이 수행되었을 수 있습니다. 쿼리를 수행하는 머신이 매우 많고 다양한 서브넷에있는 경우 이것이 정상입니다.

가능하면 프록시 자동 검색에 사용하지 않을 대상의 wpad 하위 도메인에 대한 DNS 레코드를 정의하지 마십시오.

이것이 옵션이 아닌 경우 계층 7 필터링을 사용하여 wpad.dat에 대한 쿼리를 찾고 ICMP 메시지로 패킷을 거부 할 수 있습니다. IP가 모두 동일한 네트워크에 있고 whois의 기술 담당자가 응답하지 않는 한 실제로 트래픽을 중지하는 가장 효과적인 방법 일 수 있습니다.

wpad.dat의 특정 위치에서 호스트를 가리키는 것은 도메인 설정, DHCP 응답의 도메인 이름 옵션 및 일부 URL에서 프록시 정보를로드하기위한 웹 브라우저의 명시 적 설정을 포함합니다.

내가 할 것이 우선 이러한 요청이가는 곳을 발견하려고 노력하는 것입니다 으로 , 즉 목적지. Apache는 기본적으로 호스트 이름을 기록하지 않으므로 tcpdump간단히 캡처하여 Host:요청 헤더 를 검사 하거나 Apache 로그 형식을 변경하여 기록 할 수 있습니다. 예를 들어 쓸모없는 두 번째 필드에 로그인하는 것을 선호합니다.

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

이러한 잘못된 요청이 누구에게 전달되는지 알면 다음에 수행 할 작업이 명확해질 수 있습니다. 예를 들어, 대기업이 될 수 있는데 example.se,이 경우 네트워크 관리자를 찾아서 소리를지를 수 있습니다.

참고로, ModSecurity이걸 잡아서 막을 것입니다. Comodo에서 제공하는 규칙 세트가 있습니다. 다음은 로그 항목입니다. 계정 관련 데이터를 제거하여 예제로 사용했습니다.

Apache-Error : [file ""] [] [] [client xxx.xxx.xxx.xxx] ModSecurity : 코드 403 (2 단계)으로 액세스가 거부되었습니다. TX : extension에서 일치하는 문구 ".dat /" [file ""] [ "] [id"210730 "] [rev"2 "] [msg"COMODO WAF : URL 파일 확장자가 정책에 의해 제한됨 "] [data".dat "] [심각도"중요 "] [호스트 이름 "제거됨"] [uri "/wpad.dat"] [unique_id "WjFa06qDOW3DDPRieFmICgAAAEg"]

이 문제가 발생하여 "이 페이지를 비워 두었습니다"페이지를 포함하는 wpad.dat 파일을 작성하여 수정했습니다.

CPU가 거의 제로에 갔다. 문제가 해결 된 것 같습니다.