Алеандр, То что его нужно куда то средиректить подальше это я думаю само собой.
Если они идут только на одну страницу, и она не нужна, тоисть посетителей там нет, тогда это не составит труда. Монитезировать врядли получится, боты же, что с них взять.
Разве что редиректить на сайт недоброжелателя/конкурента.
На счет "ищет сигнатуры" не думаю, у меня подобных сканеров каждый день не мало, но их отличие в том что они толком то и нагрузку не создают. Просканировал и ушел. А эти нет, по крайней мере те что у меня, они долбятся и IP повторяются, при чем как говорите белые.
Тоисть тут или сеть ботнета на меня и Вас натравили, ну или же идет атака с подменой IP.
В обеих случаях блокировать бесполезно, я пробовал. Нашлось около 1000 подсетей. Благо что не с зоны целевой аудитории. Да, стало меньше, но все ровно каждый день полно новых.
И еще, как советовал neoks, отдавать 444. Тогда нагрузки меньше в разы.
neoks: Likvik, Смените адрес phpmyadmin и работайте дальше, скорее всего это кривой сканер попался, кому надо тот будет создавать нагрузку непосредственно на сайт.
Вот тут и нюанс так сказать. Этот запрос именно на сайт, вернее сайты. Три из многих.
phpmyadmin там никогда и не было, phpmyadmin привязан к IP сервера, туда сканеры и долблятся периодически.
Повторюсь, тут еще одна странность, когда все было открыто, то сканер приступал к бруту, а здесь нет, просто эти два запроса и все, дальше следующий IP делает такие же запросы. Доступ я закрыл недавно, это ничего не поменяло, хотя впринципе и не должно было. Это скорее защита от брута.
---------- Добавлено 26.01.2019 в 14:39 ----------
Часть лога:
Как видно запрос именно к сайту, а там никогда не было phpmyadmin
Алеандр, То что его нужно куда то средиректить подальше это я думаю само собой.
Если они идут только на одну страницу, и она не нужна, тоисть посетителей там нет, тогда это не составит труда. Монитезировать врядли получится, боты же, что с них взять.
Разве что редиректить на сайт недоброжелателя/конкурента.
На счет "ищет сигнатуры" не думаю, у меня подобных сканеров каждый день не мало, но их отличие в том что они толком то и нагрузку не создают. Просканировал и ушел. А эти нет, по крайней мере те что у меня, они долбятся и IP повторяются, при чем как говорите белые.
Тоисть тут или сеть ботнета на меня и Вас натравили, ну или же идет атака с подменой IP.
В обеих случаях блокировать бесполезно, я пробовал. Нашлось около 1000 подсетей. Благо что не с зоны целевой аудитории. Да, стало меньше, но все ровно каждый день полно новых.
И еще, как советовал neoks, отдавать 444. Тогда нагрузки меньше в разы.
Да, это одна из его функций. Но если прям "мощность", то это уже DOS атака, а он для этого не предназначен.
Вот поэтому я и сомневаюсь. На ДДОС это не похоже, или же совсем дилетант организовал.
У Вас на сайте я застрял на 4 пункте. Просто для теста сайт хотел подключить. К кому обратиться? Там вроди только почта есть.
---------- Добавлено 26.01.2019 в 20:51 ----------
neoks, Спасибо.
Может совпало, но как отдается 444, запросы прекратились через пару минут.
Посмотрим что будет дальше.
Тоже смотрел что антибот немного не для этого. У меня связка Nginx и PHP-FPM. Доступ заблокирован. Но боты ломятся всеровно.
Всетаки склоняюсь к тому что комуто понадобилось мне навредить забивая канал. Все указывает на то что это не сканеры. И мощность нарастает...
Likvik, такое в интернете постоянно происходит, ищут уязвимости в компонентах, подбирают пароли. Это автоматические сканеры, боты.
Согласен. Постоянно наблюдаю сканеры разные.
Но что я заметил, сканер сканирует много чего, а не только один фактически запрос.
И IP сканеров не повторяются, по крайней мере за день, а тут что повторы и опять тот же запрос.
---------- Добавлено 26.01.2019 в 15:06 ----------
Bot Inspector, Сарказм. Спасибо, оценил.
---------- Добавлено 26.01.2019 в 16:09 ----------
Оптимизайка, BotGuard это отфильтрует?
Likvik, Смените адрес phpmyadmin и работайте дальше, скорее всего это кривой сканер попался, кому надо тот будет создавать нагрузку непосредственно на сайт.
Вот тут и нюанс так сказать. Этот запрос именно на сайт, вернее сайты. Три из многих.
phpmyadmin там никогда и не было, phpmyadmin привязан к IP сервера, туда сканеры и долблятся периодически.
Повторюсь, тут еще одна странность, когда все было открыто, то сканер приступал к бруту, а здесь нет, просто эти два запроса и все, дальше следующий IP делает такие же запросы. Доступ я закрыл недавно, это ничего не поменяло, хотя впринципе и не должно было. Это скорее защита от брута.
---------- Добавлено 26.01.2019 в 14:39 ----------
Часть лога:
Как видно запрос именно к сайту, а там никогда не было phpmyadmin
Решение:
Ищем файл phpmyadmin-nginx.conf
Путь: /etc/nginx/vhosts-includes/
Добавляем в локацию запрет всем, и разрешение себе:
location /phpmyadmin {
alias /usr/share/phpmyadmin;
index index.php;
allow ВАШ_IP;
deny all;
}
Все.
Простое решение с минимумом движений.
Надеюсь кому то поможет.
Большое спасибо - НИКОМУ.
Потому, что в nginx есть доп. конфиг для работы с PHPmyadmin
и именно там нужно переименовывать.
Ну вот. Говорили только папку надо.
LEOnidUKG, ispmanager, с этой же панели и ставится. Ничего отдельно не ставилось. В панели он всегда был здесь, насколько знаю.
/etc/phpmyadmin/
Но скорее всего, да, тянет не отсюда. Буду искать. Спасибо за идею.
Нашел вроде, здесь:
/usr/share/phpMyAdmin
Теперь не работает ни по старому ни по новому адресу.
Какой конфиг?! В самом phpmyadmin нет конфига папки, ему без разницы из какой работать.
Как ни странно простое переименование папки ничего не дало. phpmyadmin работает по старому адресу. Хотя я думал что перестанет работать вообще.
Не все так просто.
LEOnidUKG, Надо конфиг править, просто переименовать папку нельзя.
Я ищу простое решение которое можно быстро применить при развертывании системы.