Это были боты которые видимо нашли дыру в апаче и коннектились в через нее, отключение мода прокси результата не дало, показалось просто.
Способы решения проблемы:
1. Не ставить апач на порт 8080 (не совсем решение, но все же).
2. Если не хотите изменять порт - закройте порт 8080 (на ispманагаре + nginx этот порт юзается апачем по умолчанию и изменить порт будет геморно при наличие большого количество вхостов).
doves-wholesale.com legalmdma.net Эти домены принадлежат одному акку, как я понимаю... с него скорее всего и рассылалось... Акк давно создан? если давно - скорее всего вломили ему какую-нить джумлу и тд если недавно - скорее всего спамер :)
cyber2 добавил 19.02.2010 в 16:31 Creation Date: 15-Feb-2010
таки да, домены недавно созданы, один акк, скорее всего злостный спамер гоните David Rayson, акк rdavidr нафиг с хостинга :) неужели у вас не вызвало подозрения что в имени доменов упоминаются таблетки, и вообще, часто к вам из Великобритании клиенты приходят? У вас же сайт как я понимаю только на русском?
Нашел дырку, в апаче был включен прокси модуль. После отключения запросов существенно поменьшало.
Насчет rdavidr, проверил его файлы неоднократно, так ничего и не нашел. Будь это обычный клиент я бы его уже давно отключил, но этот за неделю у нас потратил 800$.
madoff: Что за система у вас, для начала, если это хостинг то всё как бы норм у вас, у юзеров созданы домены пачками, и обращаютца к ним что тут не так то ?
Я не слепой. В root-директориях никаких скриптов не обнаружено. Только на скольких сайтах на данном аккаунте стоит ZeburumCMS (кажется так называется).
madoff: ::1 gigant.unixhost.com.ua OPTIONS * HTTP/1.0 ---- OPTIONS используется для передачи данных о соединении, apache их использует чтобы "разбудить" свои потомки. У вас видимо Debian Linux, подключения идут с localhost (ipv6-адрес ::1) если вы не используйте Ipv6 выключите его.
Я тоже гуглить умею. Я спрашиваю о картине в общем.
Все началось после поселения на сервер клиента который оплатим нам за это не мало денег. Собственно после отключения аккаунта запросы все равно идут, вчера перебанил с несколько десятков IP с которых шли такие запросы, стало вроде полегче, но достаточно много запросов еще осталось.
/ru/forum/461270
Лицензия на панель за доп. плату.
С бесплатными лицензиями (Начиная с UnixVPS 2) - http://unixhost.com.ua/vds.php
Кому интересно:
Это были боты которые видимо нашли дыру в апаче и коннектились в через нее, отключение мода прокси результата не дало, показалось просто.
Способы решения проблемы:
1. Не ставить апач на порт 8080 (не совсем решение, но все же).
2. Если не хотите изменять порт - закройте порт 8080 (на ispманагаре + nginx этот порт юзается апачем по умолчанию и изменить порт будет геморно при наличие большого количество вхостов).
3. Установить фаервол csf - http://www.configserver.com/cp/csf.html
После установки фаервола все боты ушли в бан.
по идее просто через ваш сервер вызывали форму отправки сообщения обратной связи на http://www.hackingtonpc.kentparishes.gov.uk и уже через нее слали спам.
doves-wholesale.com
legalmdma.net
Эти домены принадлежат одному акку, как я понимаю... с него скорее всего и рассылалось...
Акк давно создан? если давно - скорее всего вломили ему какую-нить джумлу и тд
если недавно - скорее всего спамер :)
cyber2 добавил 19.02.2010 в 16:31
Creation Date: 15-Feb-2010
таки да, домены недавно созданы, один акк, скорее всего злостный спамер
гоните David Rayson, акк rdavidr нафиг с хостинга :)
неужели у вас не вызвало подозрения что в имени доменов упоминаются таблетки, и вообще, часто к вам из Великобритании клиенты приходят? У вас же сайт как я понимаю только на русском?
Нашел дырку, в апаче был включен прокси модуль. После отключения запросов существенно поменьшало.
Насчет rdavidr, проверил его файлы неоднократно, так ничего и не нашел. Будь это обычный клиент я бы его уже давно отключил, но этот за неделю у нас потратил 800$.
Совсем запутался. абуза на спам, причём тут тогда сервер статус.
Смотрите в очередях /var/spool/mail кто там рассылает письма.
Думаете я не запутался)
Судя по всему спам рассылается не sendmailом.
visionasvd@gmail.com - мыло с которого рассылается спам.
Из лога апача:
Видимо на сервере все таки где-то присутствует proxy-скрипт.
Пришла абуза на спам, судя по этому:
[root@gigant ~]# grep -rl 'visionasvd@gmail.com' /var/www
/var/www/httpd-logs/doves-wholesale.com.error.log
/var/www/httpd-logs/legalmdma.net.access.log
/var/www/httpd-logs/gigant.unixhost.com.ua.access.log
/var/www/httpd-logs/doves-wholesale.com.access.log
/var/www/test/data/logs/gigant.unixhost.com.ua.access.log
/var/www/rdavidr-user/data/logs/doves-wholesale.com.error.log
/var/www/rdavidr-user/data/logs/legalmdma.net.access.log
/var/www/rdavidr-user/data/logs/doves-wholesale.com.access.log
это связано с этими долбаными запросами. осталось найти скрипт.
Drum4ik, вы тестировали такие запросы (GET http:// etc) к своему серверу? Может Вы и в самом деле open proxy устроили? :)
Я ничего не устраивал, если и устроил то клиент. Проверю еще раз файлы юзеров.
Что за система у вас, для начала, если это хостинг то всё как бы норм у вас, у юзеров созданы домены пачками, и обращаютца к ним что тут не так то ?
Вы вообще обычные, здоровые запросы видели?
Вот Вам для сравнения:
[asdasd@gigant ~]# ps ax | grep perl
23815 pts/2 S+ 0:00 grep perl
[asdasd@gigant ~]# ps ax | grep pl
23900 pts/2 S+ 0:00 grep pl
[asdasd@gigant ~]# ps ax | grep cgi
23832 pts/2 S+ 0:00 grep cgi
Еще раз повторяю, меня волнуют GET запросы и коннекты на левые сайты, если Вы не поняли.
Ну как это "непонятно от куда" от сюда , берём первую строчку.
Я не слепой. В root-директориях никаких скриптов не обнаружено. Только на скольких сайтах на данном аккаунте стоит ZeburumCMS (кажется так называется).
Вот меня волную вот эти запросы, непонятно от куда, кто в этом виноват и как от них избавится.
::1 gigant.unixhost.com.ua OPTIONS * HTTP/1.0
----
OPTIONS используется для передачи данных о соединении, apache их использует чтобы "разбудить" свои потомки. У вас видимо Debian Linux, подключения идут с localhost (ipv6-адрес ::1) если вы не используйте Ipv6 выключите его.
Я тоже гуглить умею. Я спрашиваю о картине в общем.
Все началось после поселения на сервер клиента который оплатим нам за это не мало денег. Собственно после отключения аккаунта запросы все равно идут, вчера перебанил с несколько десятков IP с которых шли такие запросы, стало вроде полегче, но достаточно много запросов еще осталось.