☰

Apache 访问日志中的垃圾邮件

tag-icon • tag-icon apache-2.2 security debian-squeeze
Apache 访问日志中的垃圾邮件

我刚刚从我的云托管提供商启动了一台全新的 Debian Squeeze x64 服务器。我通过电子邮件收到了 root 密码，登录并运行以下命令：

apt-get 更新 apt-get 升级 apt-get 安装 apache2

等待几分钟后，我在 Apache 日志中看到以下内容：

$ tail -f /var/log/apache2/access.log
142.0.136.91 - - [14/Apr/2013:17:24:57 +0000] "GET http://ib.adnxs.com/ttj?id=1203788&size=120x600 HTTP/1.0" 404 520 "http://www.axmoviereviews.com/?p=93" "Mozilla/4.61 (Macintosh; I; PPC)"

23.19.26.22 - - [14/Apr/2013:17:24:57 +0000] "GET http://ads1.ministerial5.com/creative/2-002134487-00001j;size=2 HTTP/1.0" 404 560 "://www.bigmoonman.com/index.php?view=article&catid=34%3Acredit-cards&id=147%3A2012-11-04-20-21-54&tmpl=component&print=1&layout=default&page=&option=com_content&Itemid=53" "Mozilla/4.0 (compatible; MSIE 5.5; Windows 98; Alexa Toolbar)"
142.4.97.29 - - [14/Apr/2013:17:24:57 +0000] "GET http://ib.adnxs.com/ttj?id=1187354 HTTP/1.0" 404 520 "http://www.axtourism.com/index.php?view=article&catid=38:tourism-studies&id=2001:2012-08-11-23-06-15&format=pdf" "Mozilla/4.61 [en] (WinNT; I)"
142.4.127.44 - - [14/Apr/2013:17:24:57 +0000] "GET http://ads.yashi.com/2382/ HTTP/1.0" 404 523 "http://www.today-entertainment.com/?p=25" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/535.1 (KHTML, like Gecko) Chrome/14.0.814.0 Safari/535.1"
192.0.17.59 - - [14/Apr/2013:17:24:57 +0000] "GET http://ib.adnxs.com/ttj?id=1150137 HTTP/1.0" 404 520 "http://www.keelm.com/car-finance-advice/buying-cars-on-finance-your-questions-answered.html" "Opera/9.80 (S60; SymbOS; Opera Tablet/9174; U; en) Presto/2.7.81 Version/10.5"
108.62.42.19 - - [14/Apr/2013:17:24:57 +0000] "GET http://ads1.ministerial5.com/creative/2-002134228-00001j;size=4 HTTP/1.0" 404 560 "http://earthmouth.com/index.php?option=com_content&view=article&id=5839:2012-10-02-14-13-13&catid=35:journey-wiki&Itemid=54" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.7) Gecko/20040626 Firefox/0.8"
174.34.140.155 - - [14/Apr/2013:17:24:58 +0000] "GET http://ad.yieldmanager.com/st?ad_type=iframe&ad_size=300x250&section=4270745&pub_url=${PUB_URL} HTTP/1.0" 404 526 "http://touristforce.com/index.php/tourist-guide/1864-part-time-tourist-guide-job-london--job-requirements/" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; MAXTHON 2.0)"
173.208.85.13 - - [14/Apr/2013:17:24:58 +0000] "GET http://ib.adnxs.com/ttj?id=1273606 HTTP/1.0" 404 520 "http://womenorange.com/index.php?option=com_content&view=article&id=13682:2011-12-14-21-50-00&catid=42:womens-health-diet&Itemid=98" "Opera/9.80 (Windows NT 5.1; U; en) Presto/2.9.168 Version/11.51"
64.31.36.235 - - [14/Apr/2013:17:24:58 +0000] "GET http://ad.globe7.com/st?ad_type=iframe&ad_size=160x600&section=3698931&pub_url=${PUB_URL} HTTP/1.0" 404 520 "http://www.mortcard.com/html/what-is-considered-a-good-credit-score.html" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; de) Opera 11.01"
69.162.82.53 - - [14/Apr/2013:17:24:58 +0000] "GET http://ib.adnxs.com/tt?id=1180784&cb=${CACHEBUSTER}&pubclick=${CLICK_URL} HTTP/1.0" 404 519 "http://www.voguewow.com/index.php?option=com_content&view=article&id=2593:sleep-apnea-and-weight-loss-surgery&catid=52:weight-loss&Itemid=144" "Mozilla/3.0 WebTV/1.2 (compatible; MSIE 2.0)"
...

你可以想象，这是以相当高的速度滚动的。

那么，结论是什么？我的托管服务提供商安装的 Debian 发行版是否存在安全漏洞？

（只要我不确定这确实是源自托管服务提供商分发的安全问题，我宁愿不透露它的名字）

答案1

有人一直使用您的 VPS 的 IP 地址作为代理来滥用此处显示的各种广告网络。如果您刚刚收到此信息，则可能是上次拥有该 IP 地址的人在运行开放代理。

如果我遇到这种情况，我会关闭网络服务器，然后联系提供商，让他们知道该问题并要求提供不同的 IP 地址。

答案2

所有请求都出现 404（未找到文件）响应，因此看起来您正遭受某种僵尸网络攻击，这种攻击在该 VPS 中相当常见。

首先：

# service apache2 stop

之后，安装并配置fail2ban。这至少应该能给你一些保护。网上有关于如何使用mod_rewrite来删除一些垃圾的文档。

答案3

如果您查看网址，它们看起来都是广告/横幅。我认为您的服务提供商为您提供了一个旧的 AdServer IP。您可以要求新的 IP，并希望它不会被使用。

我认为如果保留此 IP 并尝试某种方式阻止，将会浪费带宽/CPU。

相关内容