被wpad.dat淹没

所以,我的apache服务器很慢,我查看了日志文件。 原来他们已经增长到12GB的访问吨和不同的主机试图访问我的虚拟主机之一/wpad.dat吨。

现在,所讨论的虚拟主机是当浏览器不提供已知主机名时被调用的“全部”虚拟主机。

我目前每分钟都会收到数千个“/wpad.dat”的请求,而且据Google的说法,这与代理服务器有关。 但是我不使用代理服务器,那为什么我会被这些请求直接轰炸呢?

对于这个不存在的文件,我得到的每分钟更多的请求比我得到正常的请求。 所以我的假设是我受到某种forms的攻击。 有趣的是,它通常只发生在晚上(这里在瑞典),而不是白天。

最新的500个请求(即半分钟)的示例大小显示它由200个不同的主机组成,并且一小部分示例显示它们都是有效的主机(不是TOR代理),所以这是一些DNS服务器configuration不正确? 我在机器上运行DNS服务器。

请帮忙! 🙂

编辑他们正在访问的主机是“cluster.atlascms.se”,所以他们做的是访问http://cluster.atlascms.se/wpad.dat每分钟数千次。

现在,cluster.atlascms.se是我的DNS故障转移主机。 因此,我所有的客户端将他们的子域指向cluster.atlascms.se,然后将其指向当前IP(故障转移服务器的主服务器)。

看起来 – 这意味着我越来越多的请求cluster.arlascms.se – 这可能意味着我的DNSconfiguration错误?

看起来您的DNS区域eklundh.com有一个通配符logging,指向cluster.atlascms.se. 这包括wpad.eklundh.com 。 我build议你添加一个明确定义wpad.eklundh.com的DNSlogging。 到127.0.0.1什么的。

如果将机器configuration为代理自动发现,计算机将根据自己的FQDN分层查找WPAD.dat文件。 所以,如果一个Windows PC是一个域的成员,则会在以下位置查找WPAD.dat:

 http://wpad.cdecom/wpad.dat http://wpad.decom/wpad.dat http://wpad.e.com/wpad.dat http://wpad/wpad.dat 

有可能是某个地方有人拥有一个域名,这个域名是您正在托pipeHTTP的子域名之一,并且没有正确configuration或禁用代理自动发现function。 结果,他们很可能在等级上search。

病毒可能导致他们这样做; 很有可能,如果查询的机器非常多,而且子网不一样,那么这就是事实。

如果可能,请避免为任何不打算用于代理自动发现的wpad子域定义DNSlogging。

如果这不是一个选项,您可以考虑使用第7层过滤来查找wpad.dat的查询,并用ICMP消息拒绝这些数据包。 这实际上可能是阻止stream量的最有效的方法,除非这些IP都来自同一个networking,并且他们在whois的技术联系方式是有反应的。

将一个主机指向wpad.dat的特定位置的东西包括域设置,DHCP回复中的域名选项以及Web浏览器中的一个显式设置,用于从某个URL加载代理信息。

我要做的第一件事就是试图找出这些请求将要发哪里,即目的地。 Apache默认情况下不会logging主机名,所以你可以使用tcpdump获取一个简单的捕获,并检查Host: request头,或者更改你的Apache日志格式来logging它。 我更喜欢将它logging在另外没用的第二个字段中,例如:

 LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined 

一旦你知道这些错误的请求正在处理到什么地方,下一步可能会变得清楚。 例如,这可能会成为一个大公司的例子。在这种情况下,你可以去找他们的networkingpipe理员,并对他们大喊大叫。

有这个问题,并通过创build一个wpad.dat文件,把“这个页面留空”页面中解决它。

CPU接近零。 问题似乎解决了。