wpad.datであふれている

そのため、私のapacheサーバーは遅く、ログファイルを調べました。Vhostの1つで/wpad.datにアクセスしようとするさまざまなホストのトンからのアクセスが12GBに増えていたことが判明しました。

現在、問題の仮想ホストは、ブラウザが既知のホスト名を提供しないときに呼び出される「キャッチオール」仮想ホストです。

現在、 "/ wpad.dat"に対して毎分数千のリクエストを受け取っていますが、Googleが知る限り、これはプロキシサーバーと関係があるのでしょうか。しかし、私はプロキシサーバーを使用していません。そのため、これらの要求に文字通り攻撃されています。

私は取得していますより多くの私は、通常の要求を取得していますよりも、この非existantファイルのための1分あたりの要求を。したがって、私の推測では、何らかの攻撃を受けているということです。おかしいのは、通常は夜（ここではスウェーデン）でのみ発生し、日中は発生しないことです。

最新の500リクエストのサンプルサイズ（30分）は200の異なるホストで構成されていることを示し、それらの小さなサンプルはすべてが有効なホスト（TORプロキシではない）であることを示しています。 ？マシンでDNSサーバーを実行しています。

助けてください！:)

編集 アクセスしているホストは「cluster.atlascms.se」であるため、彼らは何分に何千回もhttp://cluster.atlascms.se/wpad.datにアクセスしています。

現在、cluster.atlascms.seはDNSフェールオーバーホストです。したがって、すべてのクライアントはサブドメインをcluster.atlascms.seにポイントし、cluster.atlascms.seは現在のIP（フェールオーバーサーバーのマスターサーバー）をポイントします。

どうやら-これは私がcluster.arlascms.seに大量のリクエストを受け取っていることを意味します-それは私のDNSが誤って設定されていることを意味しますか？

DNSゾーンにeklundh.comは、cluster.atlascms.se. This includesを指すように定義されたワイルドカードレコードがあるようwpad.eklundh.comです。DNSレコードを明示的に定義して追加することをお勧めしますwpad.eklundh.com。127.0.0.1か何か。

マシンがプロキシ自動検出用に設定されている場合、マシンは自身のFQDNに基づいて階層的にWPAD.datファイルを検索します。したがって、Windows PCがドメインcdecomのメンバーである場合、次の場所でWPAD.datを探します。

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

誰かがどこかで、HTTPをホストしているドメインのいずれかのサブドメインであり、プロキシ自動検出を適切に構成または無効にしていない可能性があります。その結果、彼らはおそらく階層的に検索しています。

ウイルスがこれを引き起こした可能性があります。おそらく、クエリを作成するマシンが非常に多く、さまざまなサブネットにある場合、これが原因です。

可能であれば、プロキシの自動検出に使用するつもりのないもののwpadサブドメインのDNSレコードを定義しないでください。

これがオプションではない場合、レイヤー7フィルタリングを使用してwpad.datのクエリを見つけ、ICMPメッセージを含むパケットを拒否することを検討できます。IPがすべて同じネットワークからのもので、whoisの技術担当者が応答しない限り、これは実際にトラフィックを停止する最も効果的な方法かもしれません。

wpad.datの特定の場所でホストを指すものには、ドメイン設定、DHCP応答のドメイン名オプション、およびURLからプロキシ情報を読み込むためのWebブラウザーの明示的な設定が含まれます。

私が最初にやることは、これらのリクエストがどこに行くのか、つまり宛先を見つけようとすることです。Apacheはデフォルトではホスト名をログに記録しないtcpdumpため、短いキャプチャを取得してHost:リクエストヘッダーを検査するか、ログに記録するようにApacheログ形式を変更できます。それ以外の場合は役に立たない2番目のフィールドにログを記録することを好みます。たとえば、

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

これらの誤ったリクエストの宛先がわかったら、次に何をすべきかが明らかになる可能性があります。たとえば、大企業example.seになる場合があります。その場合、ネットワーク管理者を見つけて大声で叫ぶことができます。

ちなみに、 ModSecurityこれをキャッチしてブロックします。Comodoが提​​供するルールセットがあります。これがログエントリです。例として使用するために、アカウント関連データを削除しました。

Apache-Error：[ファイル ""] [] [] [クライアントxxx.xxx.xxx.xxx] ModSecurity：コード403でアクセスが拒否されました（フェーズ2）。TX：extensionで一致したフレーズ「.dat /」。[ファイル ""] ["] [id" 210730 "] [rev" 2 "] [msg" COMODO WAF：URLファイル拡張子はポリシーにより制限されています "] [データ" .dat "] [重大度" CRITICAL "] [ホスト名「削除」] [uri "/wpad.dat"] [unique_id "WjFa06qDOW3DDPRieFmICgAAAEg"]

この問題があり、「このページは空白のまま」ページを配置するwpad.datファイルを作成することで修正しました。

CPUがほぼゼロになりました。問題は解決したようです。