web-dev-qa-db-ja.com

httpd access_logに多くの奇妙なリクエストがありますが、ウイルスに感染しているということですか？

私はhttpdログ情報を持っていますが、それは永遠に続きます。まず、これは私がウイルスに感染していることを意味しますか？私のサーバーはボットネットの一部ですか？私のサーバーはLinuxCentos5です。

tail -f /var/log/httpd/access_log

また、どうすればこの攻撃をブロックできますか？

サーバーがリクエストを送信していないことを確認するにはどうすればよいですか？

他にどのようなセキュリティ対策を追加できますか？

69.164.209.127 - - [14/Jun/2012:18:49:05 +0800] "GET http://69.164.209.127/82d8e94797c2079b53bb3d36157a699f HTTP/1.1" 404 309 "-" "Avant Browser - MSIE 7 (Win XP)|Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Avant Browser; Avant Browser; .NET CLR 1.0.3705; .NET CLR 1.1.4322; Media Center PC 4.0; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30)"
176.227.198.140 - - [14/Jun/2012:18:49:05 +0800] "GET http://www.google.com/search?as_q=monochrom+inurl:%3Fp%3D%2A%26option%3Dcom%5Fwordpress%26Itemid%3D%2A&num=100&hl=en&output=ie&filter=0 HTTP/1.0" 404 283 "http://www.google.com/search?as_q=monochrom+inurl:%3Fp%3D%2A%26option%3Dcom%5Fwordpress%26Itemid%3D%2A&num=100&hl=en&output=ie&filter=0" "Mozilla/4.0 (compatible; MSIE 7.0b; Windows NT 6.0)"
173.236.110.243 - - [14/Jun/2012:18:49:06 +0800] "CONNECT evisaforms.state.gov:443 HTTP/1.1" 200 9452 "-" "-"
95.250.43.84 - - [14/Jun/2012:18:49:06 +0800] "POST http://www.alldebrid.com/api.php?action=info_user&login=zcnhaa&pw=123456789 HTTP/1.1" 404 287 "-" "Mozilla/5.0 (Windows; U; MSIE 7.0; Windows NT 6.0; en-US)"
176.227.198.140 - - [14/Jun/2012:18:49:06 +0800] "GET http://www.google.com/search?as_q=monopsonic+%22Write+a+Comment%22+Website&num=100&hl=en&output=ie&filter=0 HTTP/1.0" 404 283 "http://www.google.com/search?as_q=monopsonic+%22Write+a+Comment%22+Website&num=100&hl=en&output=ie&filter=0" "Mozilla/4.79 [en] (Windows NT 5.0; U)"
173.236.110.243 - - [14/Jun/2012:18:49:06 +0800] "CONNECT evisaforms.state.gov:443 HTTP/1.1" 200 9452 "-" "-"
46.4.25.139 - - [14/Jun/2012:18:49:07 +0800] "GET http://www.ebay.it/itm/-/280882450672 HTTP/1.0" 404 292 "-" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.0; Trident/4.0; SLCC1; .NET CLR 2.0.50727; .NET CLR 1.1.4322; InfoPath.2; .NET CLR 3.5.21022; .NET CLR 3.5.30729; MS-RTC LM 8; OfficeLiveConnector.1.4; OfficeLivePatch.1.3; .NET CLR 3.0.30729)"
173.236.110.243 - - [14/Jun/2012:18:49:07 +0800] "CONNECT evisaforms.state.gov:443 HTTP/1.1" 200 9452 "-" "-"
216.58.17.248 - - [14/Jun/2012:18:49:07 +0800] "GET http://images.google.com/ HTTP/1.1" 200 9452 "-" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; WOW64; .NET CLR 1.1.4322; Media Center PC 5.0; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E)"
173.236.110.244 - - [14/Jun/2012:18:49:07 +0800] "CONNECT evisaforms.state.gov:443 HTTP/1.1" 200 9452 "-" "-"
173.236.110.244 - - [14/Jun/2012:18:49:07 +0800] "CONNECT evisaforms.state.gov:443 HTTP/1.1" 200 9452 "-" "-"
173.236.110.244 - - [14/Jun/2012:18:49:09 +0800] "CONNECT evisaforms.state.gov:443 HTTP/1.1" 200 9452 "-" "-"
173.236.110.244 - - [14/Jun/2012:18:49:09 +0800] "CONNECT evisaforms.state.gov:443 HTTP/1.1" 200 9452 "-" "-"
linuxcentosmalwarebotnet
3
Phil

私はhttpdログ情報を持っていますが、それは永遠に続きます。まず、これは私がウイルスに感染していることを意味しますか？私のサーバーはボットネットの一部ですか？

ウイルスに感染しているようには見えません。また、ボットネットの一部である可能性もありません。これらのケースはどちらも、アクティビティをログに記録してプレゼンスを発表することを望んでいません。

また、どうすればこの攻撃をブロックできますか？

これは攻撃ではありません。オープンプロキシサーバーを実行しているようです。プロキシサーバーを実行する必要がない場合は、Apache構成でプロキシアクセスを無効にします。

サーバーがリクエストを送信していないことを確認するにはどうすればよいですか？

サーバーがリクエストを送信しています。 Apache構成のプロキシ要求にACLを追加して、プロキシアクセスをブロックします。このようなものは、ローカルホストとプライベートネットワークブロックからのプロキシアクセスを許可する必要があります。必要に応じて、最後の許可行を調整します。

<Proxy *>
    Order deny,allow
    Deny  from all
    Allow from 127.0.0.0/255.0.0.0 ::1/128
    Allow from 192.168.2.0/24
</Proxy>

他にどのようなセキュリティ対策を追加できますか？

インターネットホストにWebサービスを提供する必要がない場合は、上記のようにApacheサーバーにACLを追加します。 iptablesを使用して着信Webリクエストをブロックすることも検討してください。

プロキシが必要な場合は、適切なアクセス制御を備えたsquidなどの専用プロキシの使用を検討してください。プロキシの目的で、別のポートに別の仮想ホストを作成することもできます。これには適切なアクセス制御が必要です。

6
BillThor