เหมือนโดนกลั่นแกล้งครับช่วยหน่อย

kendevil · March 14, 2012, 11:09am

คึือว่าตอนนี้เว็บมีปัญหาครับ

คนเข้าหน้าเว็บเยอะเกินไป พอไปเช็ค log ดู ก็เจอแต่ log แบบนี้ (คัดมาแต่ตัวพวก Useragent ว่า “Google” ที่เหลือเป็น user ปกติที่เข้ามาใช้งานหน้าเว็บจริง

หลังจากนั้น ก็ไปแก้ vhost ให้มัน deny agent ที่ชื่อว่า google มันเลยเปน 403 ครับ แต่ทั้งคืนที่ผ่านมา ก็ยังคงมีการเพิ่มหน้า pageview ขึ้นเรื่อยๆ จากหน้าของ 403

ครั้ง/ร้อยละ/Bandwidth จาก AWSTAT

403 Forbidden 872,951 99.6 % 168.18 MB

404 Document Not Found (hits on favicon excluded) 2,316 0.2 % 511.57 KB

206 Partial Content 690 0 % 34.89 MB

301 Moved permanently (redirect) 178 0 % 40.97 KB

302 Moved temporarily (redirect) 65 0 % 2.41 MB

500 Internal server Error 5 0 % 2.66 KB

ไม่รู้มาจากไหน น่าจะเป็นการยัดสคริป refresh ตัวมันเอง ที่หน้าเว็บของผู้ที่หวังไม่ดี

นี่ครับคือ log ที่ได้จาก apache

171.5.61.157 - - [14/Mar/2012:11:02:15 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

171.5.61.157 - - [14/Mar/2012:11:02:14 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

171.5.61.157 - - [14/Mar/2012:11:02:13 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:02:13 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:02:12 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

มีวิธีัแก้ไขไหมครับ

ใช้ Windowserver 2003 ครับ ลง appache ไม่มี CP จััดการ

kendevil · March 14, 2012, 11:38am

อันนี้ภายใน วินาทีที่ 27 - 28

180.183.68.182 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

113.53.7.84 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

171.5.61.157 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

113.53.7.84 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

171.5.61.157 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:27 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

113.53.7.84 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

171.5.61.157 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

180.183.68.182 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.0” 403 202 “-” “Google”

182.53.66.23 - - [14/Mar/2012:11:33:28 +0700] “GET / HTTP/1.1” 403 202 “-” “Google”

icez · March 14, 2012, 11:50am

ก็พวกป่วนอะแหละครับ พยายาม ddos ไปเรื่อยๆ

kke · March 14, 2012, 6:47pm

windows ไม่ถนัดซะด้วย หา app ฟรีๆไม่ค่อยมีให้ใช้

ถ้า linux ละก็สบายเลย ตั้ง cron ให้ process log แล้วจับยัดเข้า firewall block ip ไปเลย

ดูจากความถึ่ใน log แล้ว mod_evasive http://www.helicontech.com/ape/doc/mod_evasive.htm น่าจะช่วยได้ (ใช้กับ Apache ถ้าเป็น iis ลองดูตัวนี้ http://www.defensia.co.il/2011/05/17/iis-dynamic-ip-restrictions-module-the-mod_evasive-of-iis/ )

กำหนดค่า config ให้เหมาะสม เช่น ip ที่เข้าเกิน 6 หน้า ใน 2 วินาที ก็ให้ block ไป 10 วินาที

(เวลาที่ block 10 วินาที จะเริ่มนับถอยหลังจาก request ครั้งสุดท้าย ถ้ายังมี request เข้ามาเรื่อยๆก็ยังถูก block อยู่ คือต้องหยุด request ไปเกิน 10 วิ จึงจะเข้าได้ปกติ ตั้งค่าให้สูงขึ้นได้ตามต้องการ)

แต่บน windows ไม่รู้ว่า compile ยังไงเหมือนกัน ปกติ compile แต่บน linux

smartnet.co.th · March 14, 2012, 7:15pm

Google คงต้องการให้เปลี่ยนมาใช้ Linux มั้ง (วินโดว์ไม่ถนัดเหมือนกัน)

plug.in · March 14, 2012, 10:56pm

การที่ฝังสคริปท์ refresh ในหน้าเว็บ เพื่อไปยิงเว็บคนอื่น มันจะต้องติด HTTP_REFERER ไปด้วยใช่หรือป่าวครับ ?

แบบนั้น ก็น่าจะไปหาทางจัดการกับ คนที่เป็นตัวการได้ครับ

kendevil · March 16, 2012, 12:39am

ขอขอบคุณครับทุกท่านที่ช่วยชี้แนะนะครับ ขณะนี้ปวดหัวมากเลย

แล้วถ้าสมมุตินะครับว่า โดนยิงที่เน็ตเวิร์ค เราสามารถรู้ได้ไหมครับ ว่าเขายิงมาผ่าน พอตอะไร กี่ % ของสาย (ของวินโดว์)

ถ้ามีโปรแกรมอะไรแนะนำบอกหน่อยนะครับ เอาที่บอกเป็น % ได้เลยก็ยิงดี เช่น Network รวม เราวิ่ง 40 % ของสาย G ผ่านโปรแกรมอะไร % อะไรอย่างนี้อะครับ

ขอบคุณล่วงหน้านะครับ

icez · March 16, 2012, 12:55am

task manager ของ windows นั่นแหละครับ

ถาไม่ละเอียดพอ มี performance monitor อีกตัว กดปุ่ม start แล้วพิมพ์หาได้เลยครับ

plug.in · March 18, 2012, 2:47am

โดนแบบเดียวกันเลยครับ

ตอนแรกใช้ cronjob block ip จาก httpd log แต่ว่า IP ที่เข้ามามันมีหลาย IP เข้ามาพร้อมๆ กันไปเรื่อยๆ ครับ ทำให้ในที่สุดไฟล์ /etc/apf/deny_hosts มีขนาดใหญ่มาก จนมันไม่ยอมบล็อค IP หลังๆ แล้วครับ.

ลักษณะเหมือนว่าเป็นโปรแกรม หรืออะไรสักอย่างที่ฝังอยู่ในเครื่องครับ ไม่ใช่แบบ IFRAME หรือ JavaScript ในเว็บครับ เนื่องจากเพราะว่าไม่มี HTTP_REFERER เข้ามาด้วยครับ

ถ้าเจอแบบนี้ ควรทำอย่างไรดีครับ ไม่รู้ว่าจะไปตามหาต้นตอจากไหนเลยครับ

[font=“Courier New”]118.173.169.46 - - [17/Mar/2012:23:12:18 +0700] “GET /forums;Mozilla/5.0%20(compatible;%20MSIE%209.0;%20Windows%20NT%206.1;%20WOW64;%20Trident/5.0)2011-10-16%2020:21:07; HTTP/1.1” 404 657 “-” “-”

118.173.169.46 - - [17/Mar/2012:23:12:18 +0700] “GET /forums;Mozilla/5.0%20(compatible;%20MSIE%209.0;%20Windows%20NT%206.1;%20WOW64;%20Trident/5.0)2011-10-16%2020:21:07; HTTP/1.1” 404 657 “-” “-”