Problème d'attaque sur un serveur Web

[kwa29200]

Bonjour à tous,

Depuis de nombreux mois, j'ai installé un serveur web sur ma machine perso. Mais j'ai remarqué aussi que le site est souvent down suite à te très nombreuses connexions intempestives.
Voici un extrait de ma access_log

Code: Tout sélectionner

220.113.1.42 - - [30/Apr/2006:13:12:47 +0200] "GET http://a248.e.akamai.net/7/800/1128/1135271687/network.realmedia.com/RealMedia/ads/Creatives/OasDefault/DEF2002020001_29_NewOrleans_INTL/NewOrleans300x250.gif HTTP/1.0" 200 16885 "http://network.realmedia.com/RealMedia/ads/adstream_sx.ads/zonsoft/300x250/ron/tchentgms/ss/%22%20+%20a4eHTM+%20%22?\"+uniqueA4EIdForTag2+destObj.Version+innerTempTopLayerAdURL+\"a4eflag&fn=\"+eval(" "Mozilla/4.0 (compatible; MSIE 5.01; Windows 95)"8.2.119.135 - - [30/Apr/2006:13:12:52 +0200] "GET http://www.google.com/search?num=100&hl=en&lr=&c2coff=1&q=Montero+photos&btnG=Search HTTP/1.1" 406 434 "http://www.google.com" "-"
222.129.216.123 - - [30/Apr/2006:13:12:50 +0200] "GET http://a248.e.akamai.net/7/800/1128/1144330079/network.realmedia.com/RealMedia/ads/Creatives/OasDefault/DEF2002020001_06_HOUSE_CITYKIDS/citykids_728x90.gif HTTP/1.0" 200 9915 "http://network.realmedia.com/RealMedia/ads/adstream_sx.ads/news2it/728x90/ron/tchnws/ss/a@Top1" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
220.231.44.207 - - [30/Apr/2006:13:12:49 +0200] "GET http://www.actnowendbreastcancer.org/ HTTP/1.0" 302 335 "http://www.autoplans.net" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
220.231.44.217 - - [30/Apr/2006:13:12:50 +0200] "GET http://ad.yieldmanager.com/imp?z=0&s=7024&y=28 HTTP/1.0" 302 - "http://www.arroundmedia.com/index.html" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
219.233.2.64 - - [30/Apr/2006:13:12:50 +0200] "GET http://www.nickelsbyemail.com/affiliate/affiliate8.gif HTTP/1.1" 200 9621 "http://www.autohits247.com" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98)"
221.219.141.208 - - [30/Apr/2006:13:12:49 +0200] "GET http://web.adknowledge.com/js/showAd.js?adkBref=http%3A//network.realmedia.com/RealMedia/ads/adstream_sx.ads/medbroadcast/300x250/ron/hlt/ss/%27%2520+%2520iSRC%2520+%2520%27&AWID=728&AHGT=90&pubID=247media&ran=wuJLXGiWE1pbxKy7 HTTP/1.0" 200 5626 "http://network.realmedia.com/RealMedia/ads/adstream_sx.ads/medbroadcast/300x250/ron/hlt/ss/'%20+%20iSRC%20+%20'" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
82.40.26.221 - - [30/Apr/2006:13:12:47 +0200] "GET http://www.revenuepilot.com/terms.html HTTP/1.0" 200 26992 "http://www.revenuepilot.com/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
220.231.44.207 - - [30/Apr/2006:13:12:51 +0200] "GET http://network.realmedia.com/RealMedia/ads/adstream_jx.ads/autoplans/728x90/ron/autmen/ss/a@Top1 HTTP/1.0" 200 478 "http://www.autoplans.net" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
72.232.111.82 - - [30/Apr/2006:13:12:50 +0200] "GET http://elitestockings.com/cj_out.php HTTP/1.0" 302 - "http://elitestockings.com/?easyvids.com" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0;)"
172.142.131.254 - - [30/Apr/2006:13:12:50 +0200] "HEAD http://www.sun.com/ HTTP/1.0" 200 - "-" "Mozilla/5.0 ( Windows; U; Windows XP; NetCaptor )"
72.197.144.195 - - [30/Apr/2006:13:12:50 +0200] "GET http://members.girlsgonewild.com/ HTTP/1.0" 200 318 "http://members.girlsgonewild.com" "Mozilla/5.0 ( Windows; U; Windows NT5.0; ezn IE )"
66.246.218.214 - - [30/Apr/2006:13:12:51 +0200] "CONNECT www.gamegrene.com:80 HTTP/1.0" 403 304 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"
61.129.117.5 - - [30/Apr/2006:13:12:51 +0200] "GET http://www.ispcheck.com.pk/adsense/c/adclick.php?adv=1001&camp_id=209&rank=1000000.00025&CH=1&UIP=82.245.193.202.FR.001&tmotwt=|no@0.800&loc_id=&ch=001&pub=2129&xml_ver=310A_271C800&offset=0&c_id=867e6cff9f80afc2b56d63ad7c5a1edb&cnty=FR&rgn=&keyd=&zn=001&rnum=1&rnum_tot=3&page_referred= HTTP/1.1" 302 - "http://www.esearchall.com/" "Mozilla/4.0 (compatible; MSIE 5.0; Windows NT 5.2)"
220.231.44.100 - - [30/Apr/2006:13:12:51 +0200] "GET http://static.clicktorrent.info/pasbanner.php?campid=20&bannerid=3&collid=1&affid=p196827.subbannercon&referrer=http%3A//www.gaminghormone.com/120x600place.shtml HTTP/1.0" 200 3083 "http://ad.yieldmanager.com/imp?z=1&Z=120x600&s=39657&t=3&m=2&u=http%3A%2F%2Fwww.gaminghormone.com%2F120x600place.shtml&r=1" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
220.231.44.221 - - [30/Apr/2006:13:12:49 +0200] "GET http://a248.e.akamai.net/7/800/1128/1116354393/network.realmedia.com/RealMedia/ads/Creatives/OasDefault/DEF2002020001_06_HOUSE_CITYKIDS/citykids_160x600.gif HTTP/1.0" 200 15098 "http://www.arroundmedia.com/ds_divider_balls_dividers_variant_page_balls1.html" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
66.55.130.18 - - [30/Apr/2006:13:12:44 +0200] "POST http://nwa.jokealot.net/guestbook.php?do=add_form HTTP/1.1" 200 14143 "-" "Mozilla/4.0 (compatible; MSIE 5.01; Windows NT 5.0)"


Donc je me suis dis rajoute un ipcop pour résoudre ce problème. Ce que j'ai fais.
Après avoir installé ipcop en RED+GREEN, j'ai fais un transfert de port sur le 80 afin d'ouvrir l'accès au serveur.
Au pasage : que je soit chez moi ou de l'extérieur l'accès marche (je dis ça car j'ai vu que l'accès n'été pas possible dans le reséau green)
J'ai ensuite rajouté su le serveur apache le mod_security, il marche mais ceux n'est pas encore ça.

Ma question est donc comment faire ?? j'ai vu très peu de mod pour l'interface RED donc je ne sais plus trop où fouiller...

J'attend vos conseils et remarques avec impatiences. Merci

[kwa29200]

Petit up...

[Billou02]

Salut,

Au risque de ne pas trop répondre a ta question mais.... un serveur web, a la base ca ne se mets pas sur la patte orange ? ......

[kwa29200]

En effet excellente question il est vrai que pour l'instant je suis avec une config GREEN+RED mais si mon soucis pouvait être résolut de cette manière je suis preneur...

Si quelqu'un pouvait confirmer ??

[Billou02]

Ok,
Tien regardes ce chapitre de la doc d'ipcop.
il y explique le fonctionnement et les possibilités des différentes pattes d'ipcop.
http://www.ipcop.org/1.4.0/fr/install/html/decide-configuration.html#network-configuration-types

Bonne lecture...

[kwa29200]

Merci pour le lien. Je vais lire ça avec attention en espérant que je ne soit pas obligé d'acheter une 3 eme cartes réseaux.

[Billou02]

une carte doit valoir dans le pire des cas une dizaine d'euros...
c'est pas la mort...
par contre ca fait pas cher pour faire un réseau propre......

A toi de voir !

[kwa29200]

C'est sur si cela me résoud mon soucis cela ne fais pas cher

[Billou02]

Merci de faire le feedback

[kwa29200]

Bonjour,

Après lecture je me dis que le solution serait de passer à une configuration RED+GREEN+ORANGE afin d'héberger le serveur sur un réseau sécurisé.
Il me faut donc dans ce cas acheter une nouvelle carte réseau (ce qui n'est pas un pronlème en soit).
Mais sachant que cette machine me sers aussi comme serveur de stockage en interne cela ne posera pas de problème pour y accéder ?? et pour finir si quelqu'un pouvait confirmer les remarques de Billou02.
Je vous remercie par avance.

[Billou02]

re,

En ce qui concerne ton acces de ORANGE vers GREEN,
regarde un des posts de Loberty sur le Newbie kit en page un,
http://forums.fr.ixus.net/viewtopic.php?t=24737&postdays=0&postorder=asc&start=13
il y indique comment faire pour les differents acces.

@+

[Franck78]

Salut,

Ce ne serait pas un vieil IIS non patché ce serveur web? Quand je vois la tronche des urls, je pense à un genre de proxy ouvert au grand public....

Ce qui est sur et certain: IPCop ne résoudra rien si le serveur web n'est pas clean.

bye

[kwa29200]

Salut Franck78,

Et non ceux n'est pas un IIS mal patché mais un apache-2.0.54-10.2+mod_security sous Fedora.
Le parefeu du serveur est désactivé...
Et ça n'arrête pas, ma machine plante une fois par jour minimum (normal me dirait vous).

Code: Tout sélectionner

61.129.77.160 - - [02/May/2006:17:36:22 +0200] "GET http://www.78878.com/default.aspx HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
221.229.253.231 - - [02/May/2006:17:36:26 +0200] "POST Phttp://shop.yxbyh.com/nsortxxx.asp HTTP/1.1" 403 316 "http://www.mxd666.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
220.231.44.85 - - [02/May/2006:17:36:26 +0200] "GET http://www.webnetad.com/eva.js HTTP/1.0" 200 3008 "http://ads.webnetad.com/cgi-bin/ssirand.cgi/12345?REGION=alexgame" "Mozilla/4.0 (compatible; MSIE 4.01; Mac_PowerPC)"
220.231.44.209 - - [02/May/2006:17:36:25 +0200] "GET http://adfarm.mediaplex.com/ad/ck/709-5450-4148-77?url=http://64.158.223.128/ad/ck/709-5450-4148-66?RedirectEnter&partner=33705&loc=http://www.ebay.fr HTTP/1.0" 200 763 "http://www.autoplans.net" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
68.82.241.229 - - [02/May/2006:17:36:26 +0200] "GET http://login.tpe.yahoo.com/config/login?.patner=sbc&login=larinator&passwd=steph&.save=1 HTTP/1.0 " 406 435 "-" "-"
68.205.14.29 - - [02/May/2006:17:36:27 +0200] "GET http://216.109.127.32/config/login?login=rick_karen@sbcglobal.net&passwd=global&.done=http%3a//subscribe.yahoo.com/showaccount&.intl=us HTTP/1.0" 406 477 "-" "-"
220.231.44.198 - - [02/May/2006:17:36:26 +0200] "GET http://network.realmedia.com/RealMedia/ads/adstream_jx.ads/focuscars/160x600/ron/autmen/ss/a@x10 HTTP/1.0" 200 448 "http://www.focuscars.com" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
61.129.77.160 - - [02/May/2006:17:36:24 +0200] "GET http://www.esnsp.com/ HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
61.129.77.160 - - [02/May/2006:17:36:24 +0200] "GET http://www.78878.com/default.aspx HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
204.15.74.36 - - [02/May/2006:17:36:27 +0200] "GET http://search.yahoo.com/search/msie?ei=UTF-8&fr=sfp&p=linkdomain:credit-score-help.slowcredit-reportfast.great.gb.com+site:www.loveandhonesty.com HTTP/1.1" 410 3442 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322)"
69.226.110.215 - - [02/May/2006:17:36:27 +0200] "GET http://p4.pf.scd.yahoo.com/8dean@sbcglobal.net HTTP/1.0" 406 381 "-" "-"
221.217.168.199 - - [02/May/2006:17:36:27 +0200] "GET http://ypn-js.overture.com/d/search/p/ypn/jsads/?Partner=1528505543&adwd=468&adht=60&ctxtUrl=http%3A//www.mediciations.com/home/&bc=E0E0E0&cc=E0E0E0&lc=708090&tc=000000&uc=999999&du=1&cb=1146584190000 HTTP/1.1" 200 3823 "http://www.mediciations.com/home/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 95)"
220.231.44.85 - - [02/May/2006:17:36:27 +0200] "GET http://c4.maxserving.com/gen.js?site=5677&area=ros&group=topbar&PageID=68211175678039800 HTTP/1.0" 200 1288 "http://ads.webnetad.com/cgi-bin/ssirand.cgi/12345?REGION=alexgame" "Mozilla/4.0 (compatible; MSIE 4.01; Mac_PowerPC)"
221.229.253.227 - - [02/May/2006:17:36:27 +0200] "POST http://shop.yxbyh.com/nsortxxx.asp HTTP/1.1" 404 1308 "http://www.mxd666.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
61.129.77.160 - - [02/May/2006:17:36:25 +0200] "GET http://www.esnsp.com/ HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
61.129.77.160 - - [02/May/2006:17:36:26 +0200] "GET http://www.78878.com/default.aspx HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
207.44.196.24 - - [02/May/2006:17:36:28 +0200] "GET http://drunklife.com/tgp/thumbs/1000324.jpg HTTP/1.1" 200 2966 "http://www.fullpool.com/tgp/galleries/midget" "Mozilla/4.0 (compatible; MSIE 5.5; AOL 7.0; Windows 98; Win 9x 4.90)"
221.234.192.246 - - [02/May/2006:17:36:28 +0200] "GET http://union.narrowad.com/proxy/wadshower.jsp?wid=10927&cid=23343&rc=1&cc=4&h=85&w=750&bdc=9178E7&bgc=F0ECFF&tc=0000ff&dc=000000&uri=www.pove.info/index.php HTTP/1.1" 200 4459 "www.pove.info/index.php" "Mozilla/4.0 (compatible; MSIE 5.0; Windows 98; DigExt; TencentTraveler ; (R1 1.3))"
220.231.44.198 - - [02/May/2006:17:36:28 +0200] "GET http://a248.e.akamai.net/7/800/1128/1116354393/network.realmedia.com/RealMedia/ads/Creatives/OasDefault/DEF2002020001_06_HOUSE_CITYKIDS/citykids_160x600.gif HTTP/1.0" 200 15098 "http://www.focuscars.com" "Mozilla/4.0 (compatible; MSIE 6.0; Windows 98)"
61.181.230.156 - - [02/May/2006:17:36:29 +0200] "GET http://network.realmedia.com/RealMedia/ads/adstream_sx.ads/movieopen/728x90/ron/wmn/ss/a@Top1 HTTP/1.0" 200 453 "http://www.movieopen.com/" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
207.44.196.24 - - [02/May/2006:17:36:29 +0200] "GET http://drunklife.com/tgp/thumbs/1000294.jpg HTTP/1.1" 200 3535 "http://www.fullpool.com/tgp/galleries/midget" "Mozilla/4.0 (compatible; MSIE 5.5; AOL 7.0; Windows 98; Win 9x 4.90)"
61.129.77.160 - - [02/May/2006:17:36:27 +0200] "GET http://www.esnsp.com/ HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
66.28.157.226 - - [02/May/2006:17:36:29 +0200] "GET http://www.adultcybersites.com/legs//index.html HTTP/1.1" 200 - "http://www.pantyhose-legs-movies.com/index.htm" "Mozilla/4.0 (compatible; MSIE 5.01; Windows 98)"
61.129.77.160 - - [02/May/2006:17:36:27 +0200] "GET http://www.78878.com/default.aspx HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
67.18.148.250 - - [02/May/2006:17:36:31 +0200] "POST http://www.aa.cyberhome.ne.jp/cgi-bin/menote.cgi HTTP/1.1" 406 386 "http://www.aa.cyberhome.ne.jp/cgi-bin/menote.cgi" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"
67.18.148.251 - - [02/May/2006:17:36:31 +0200] "POST http://www.aa.alpha-net.ne.jp/cgi-bin/musoho/yyregi.pl HTTP/1.1" 406 392 "http://www.aa.alpha-net.ne.jp/cgi-bin/musoho/yyregi.pl" "Mozilla/4.0 (compatible; MSIE 4.01; Windows 95)"
8.2.119.135 - - [02/May/2006:17:36:31 +0200] "GET http://news.google.com/news?hl=en&q=volvo+345&as_scoring=d&ie=UTF-8&ned=&num=50&output=rss HTTP/1.1" 406 445 "-" "-"
220.231.44.85 - - [02/May/2006:17:36:29 +0200] "GET http://c4.maxserving.com/gen.js?site=5517&group=botbar&area=ad1x1&pageid=58523264238 HTTP/1.0" 200 12232 "http://ads.webnetad.com/cgi-bin/ssirand.cgi/12345?REGION=alexgame" "Mozilla/4.0 (compatible; MSIE 4.01; Mac_PowerPC)"
61.129.77.160 - - [02/May/2006:17:36:28 +0200] "GET http://www.esnsp.com/ HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
67.168.172.131 - - [02/May/2006:17:36:32 +0200] "GET http://a575.t.akamai.net/login.bjs.yahoo.com/config/login?login=pimpgirl_&passwd=ghost HTTP/1.0" 406 423 "http://login.tpe.yahoo.com/config/login" "-"
61.129.77.160 - - [02/May/2006:17:36:29 +0200] "GET http://www.78878.com/default.aspx HTTP/1.1" 200 16068 "http://www.baidu.com" "mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1;Windows 5.5;Windows 6.0)"
8.2.119.135 - - [02/May/2006:17:36:32 +0200] "GET http://news.google.com/news?hl=en&q=nissan+cabstar&as_scoring=d&ie=UTF-8&ned=&num=50&output=rss HTTP/1.1" 406 450 "-" "-"
222.189.228.14 - - [02/May/2006:17:36:28 +0200] "GET http://w1.7clink.com/code/1_0.asp?u=7clink&w=8&h=6&tw=800&th=126&pp=0&b=FFFFFF&d=8EB3FF&f=5B4F57 HTTP/1.1" 200 14550 "http://w1.7clink.com/code/1_0.asp?u=7clink&w=8&h=6&tw=800&th=126&pp=0&b=FFFFFF&d=8EB3FF&f=5B4F57" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322)"


Je suis vraiment désamparé et je ne sais plus trop quoi faire mise à part une nouvelle carte réseau (sans succès garanti)
Ou mettre aussi le firewall sur le serveur ??

[kwa29200]

Je viens à l'instant de tenter le coup avec une nouvelle machine toute propre, apache et tout et tout ...
Et bien le résultat est identique une floppé d'url en provenance de n'import où ...
Sniffff

[Franck78]

Et bien si ce n'est Apache, c'est le contenu de ton site qui pose problème. C'est quoi donc que l'on y trouve? Du dev perso? Une appli spécifique? Un frontal mysql?