トップページ⇒sec
18コメント7KB

むかつくdefault.idaによるエラーログ対策

■ このスレッドは過去ログ倉庫に格納されています
0001gummamNGNG
未対策IIS以外のサーバ管理者の皆さんはCode Redの来訪による
default.ida？・・４０４等のエラーログ増加にむかついてませんか？
私はとりあえずdefault.idaと言う名前の空ファイルをhttpdocに
置いてみたところそれをGETして行くのでエラーログの発生は無くなりました。
皆さんは他にどのような対策をしていますか？
ちなみにうちのウェブサーバはBSD＋アパッチで運用してます。
0002名無しさん＠お腹いっぱい。NGNG
うちみたいなアクセス少ないとこなら access_log を　grep -v default.ida
してcron で回してもたいして負荷にならないけど、大手プロバイダとかは
どうしてるんでしょうね?

ふと思いつくのは src/main/http_log.c 辺りを書き換えることですが、
誰かやってる人いますか?
0003名無しさん＠お腹いっぱい。NGNG
ちょっと暇ができたのでやってみました。

src/main/http_request.c の void ap_process_request(request_rec *r)
の中で ap_log_transaction(r); を呼び出している部分を下のように書き換えて
みました。

if(strcmp("/default.ida", r->uri)){
ap_log_transaction(r);
}

strncmp()を使うべきですか？
0004ゆNGNG
糖分とりすぎだよ？
0005某弱小ISPNGNG
>>2
プロバイダさんでは、たかが1日1000回ぐらいdefault.idaが来たところで
誤差でしかないので放置です。
# 404 Not Found だけで何万回もあるわけだし。
0006gummamNGNG
うちも弱小なサイトですよ(^^;;;
だから余計アクセスログの何倍も溜まるエラーログが気に成っちゃうんですよね。
１週間もほっとくと１０Mｂ超えちゃうし(８割方default.idaの404)
httpd.confでアクセス制限かけるにも相手先が不特定多数だし
エラーログが403になるだけで減らないから無駄ですしね（藁

大手プロバは設備があるからサーバ手前で排除してるんでしょうかね
けっこう大手は管理が楽(難しい知識不用)だからIIS使ってますからね（藁

そうですね文字列の比較して排除するって手もいいですね
strcmpとstrncmpはどちらも同じ処理するからどっちでも良いのではないでしょうか
どっちか忘れたけど片方は最大文字列から比較するんでしたよね

どうせならdefault.idaにリクエスト来たらtaerdropとか無限大に返すとかね(犯罪か（~~;;;
0007置くのやめれNGNG
default.ida置くのなんてとっくにやってるよ。
喰わせたら登録されるのか知らんが、アタック増えるからやめれ！
0008名無しさん＠お腹いっぱい。NGNG
今、エラーログチェックしたら、
1分間に20回もアクセスがあって、
それがなんと韓国NICからだった。
ログ付きメールを送って連絡する。
0009gummamNGNG
本当だ！今ログチェックしたら倍ぐらいに増えてるよ
それも同じ所から秒単位で複数回来てるし、XXXのタイプばかりが・・・
NNNがほとんど来なくなった。XXXタイプは餌置くとアタック増えるのかな？
とりあえず負荷が限界にならない程度まで観察してみます。

韓国NICもIISか・・・クライアントPCかな？
そういえば210.や211.で始まる生IPからかなり来るところを見ると国内で
個人でIISのサーバ立ててるのがかなり居ますね(Apache使えばいいのに）
彼らは感染してる事も気づいてないのだろうな・・・かなり迷惑ですよね
伝染病の保菌者が自覚もなく健常者に接触して病気を蔓延させてるようなものです。
0010名無しさん＠お腹いっぱい。01/08/30 11:05ID:isgt6sN6
>>9

210. とか 211. で始まるIPは、環太平洋地域だから、国内とはかぎらん。
ttp://www.nic.ad.jp/jp/faq/stat/q8070.html
0011gummam01/08/31 12:32ID:banOKcEg
しらなかった・・・わたしが厨房でした（藁
てっきりJPNICがIP割り当ててるから国内だけかと思ってました。
APNICの委託を受けてJPNICが環太平洋地域すべてのIP割り当てしてたんですね。
ありがとう、ひとつ利口になりました（まだまだ勉強不足ですね(^^;;;
中国、韓国、Etc〜オーストラリアまですべてのIPはJPNICが割り当てしてたとは・・・
00121001/08/31 14:36ID:Bm8DSwSU
いや、各国毎に管理機関があるでしょ。
JPNIC、KRNIC、TWNIC、CNNIC・・・

APNIC が管理してる 210.0.0.0/8 をさらに分けるのよ。
ここみれ。
http://www.soi.wide.ad.jp/iw99/iw99_tut/slides/02/58.html
0013gummam01/08/31 15:58ID:banOKcEg
そうなんですか、なんかIT用語辞典だとAPNIC所属の各国NICが（KRNICがWWW、
AUNICがDNS、JPNICがIPアドレスの割り当て）と役割分担してると書いてありますけど
それじゃJPNICは 210.0.0.0/8のIPをAクラスの分割Bitで各国NICに割り当ててるだけで
各国NICがIP管理してるって事ですね。（又一つ勉強になりました）

http://nttcom.e-words.ne.jp/view.asp?ID=81
でもここの説明じゃそう言う風には読み取れませんよね（説明不足じゃ！）

話し替わりますけど最近default.ida？XXX来るの減ってきてませんか？
0014名無しさん＠お腹いっぱい。NGNG
個人でサーバ立ち上げているけどinetd経由にしている。
XXNNは目がちかちかするよ。
0015名無しさん＠お腹いっぱい。NGNG
　　　　　　　　　　　∧＿∧　　／￣￣￣￣￣￣￣￣￣￣￣
　　　　　　　　　　　（ ´Д｀ ）＜　ﾚｯﾂﾆｭｳｻﾂ!
　　　　　　　　　　／,　　/　　　 ＼＿＿＿＿＿＿＿＿＿＿＿
　　　　　　　　　(ぃ９　　|
　　　　　　　 　 /　　　 /、
　　　　　　　　 /　　　∧_二つ
　　　　　　 　 /　　　/
　　　　　　　 /　　　 ＼
0016名無しさん＠お腹いっぱい。NGNG
（・∀・）きゃ！
0017名無しさん＠お腹いっぱい。NGNG
sed /default.ida/d error_log > error_log &
0018名無しさん＠お腹いっぱい。NGNG
ttp://slashdot.jp/comments.pl?sid=11203&cid=59610
韓国のISPじゃ、サーバがワームに感染していても、放置だそうだ。

■ このスレッドは過去ログ倉庫に格納されています