it_********

2009/10/16 8:40

22回答

apacheのアクセスログについて 先日、リクエストヘッダが他サイトへのリクエストがあったのですが、HTTPステータスコード 200 OK で返されていました。 これはどういったことでしょうか？

apacheのアクセスログについて 先日、リクエストヘッダが他サイトへのリクエストがあったのですが、HTTPステータスコード 200 OK で返されていました。 これはどういったことでしょうか？ 【アクセスログ抜粋】 xxx.xxx.xxx.xxx - - [12/Oct/2009:08:31:51 +0900] "GET http://wap.01234.com.cn/ HTTP/1.1" 200 14389 "-" "Mozilla/4.0 (compatible; MSIE 4.01; Windows 98)"

補足

回答有難う御座います。 【dolphin960413さん】 伏せているIPアドレスは、125.107.128.124 からのアクセスでした。 ファイアウォールで拒否する事は可能ですが、１２日以降アクセスがない状態なので迷っています。 【takecyan_mx2002さん】 PROXYを設定して試行した所、自サイトの「/」画面が表示されました。 送信したサイズも同等でした。 上記から「踏み台を探す攻撃を受けたが、この攻撃は防げている。」との判断で宜しいでしょうか？

サーバ管理、保守・4,064閲覧・xmlns="http://www.w3.org/2000/svg">25

ベストアンサー

1

tak********

2009/10/16 20:35（編集あり）

実験してみました。 ■実験方法 ブラウザのPROXY設定を自サイトApacheにする その状態でhttp://www.yahoo.co.jp/にアクセスする ■結果 ブラウザに表示されたのは自サイトApacheの / ページ その時のApacheのログ↓ 127.0.0.1 - - [16/Oct/2009:12:47:01 +0900] "GET http://www.yahoo.co.jp/ HTTP/1.1" 200 486 200になるのは正常動作のようですね。 上記の実験をして、自サイトApacheの / ページが表示されるなら恐らく騒ぐ必要はないと思います。また、クライアントに返されてるファイルサイズが、自サイトの/と一致することも確認してください。 もしこれをやって本当にYahooが表示されてしまうと非常にまずいですね。 そうなる場合としては、mod_proxyモジュールが有効、かつ設定でもmod_proxyを制限なしで有効にしている場合に起こります。恐らくこういった設定の甘いサーバーを探した無差別なものでしょう。 追記 >上記から「踏み台を探す攻撃を受けたが、この攻撃は防げている。」との判断で宜しいでしょうか？ いいと思います。 有名どころのポートを外向きに出してたらこの手の接続なんてよくある事です。 相手は特定の相手をターゲットにしたいわけじゃなくて、手当たり次第自分の都合のいいホストを探してるだけです。１回きりの失敗した不正アクセスくらいでファイヤーウォールなんて設定してたらいくらメモリーがあっても足りません。

1人がナイス！しています

ThanksImg質問者からのお礼コメント

お二人様とも回答有難う御座いました。おかげで運用ログについて知識が深まりました。 ベストアンサーを選ぶのは難しかったのですが、確認手順及び実験結果を記載して下さったのでtakecyan_mx2002様を選ばして頂きました。 又、判らないことがあれば宜しくお願い申し上げます。

お礼日時：2009/10/17 10:01

その他の回答（1件）

0

小田 力

2009/10/16 18:54（編集あり）

先ず質問への直接の回答ではないことをお断りしておきます． この質問はとても気になる質問です． 同じ様な例があるのかと，私の運用して WEB server のログを見てみましたが，他サイトへのリクエストは見つかりませんでした． http://wap.01234.com.cn という URL も如何にも怪しそうな URL ですね． Google で検索したところ MUSTANインターネットレポートというサイトで攻撃対象サイトとして検出されています． (最初の検出日：2009/09/29) http://mustan.ipa.go.jp/mustan_web/list_of_new_transactions_Web 質問者のサーバーが踏み台にされている可能性がありそうです． 【アクセスログ抜粋】の xxx.xxx.xxx.xxx も伏せずに公開してください． 私にはこれ位しか分かりませんでした． この質問を見ているであろう fukufuku_zz さんの見解をお伺いしたいです． [追記] このリクエストの発信IPアドレス(xxx.xxx.xxx.xxx)が固定であれば，iptables によるファイアウォールを設置して，その発信IPアドレスからのアクセスを拒否することはできますね．（かなり面倒かも知れない） http://cyberam.dip.jp/linux_security/iptables/iptables_main.html 参考図書 「Linuxサーバ セキュリティのポイントと対策」 阿部ひろき著 SoftBank Creative 発行 ISBN4-7973-3703-6 \2,600 対策17 iptables による ACL 設定 [追記] $ whois 125.107.128.124 すると発信元は 中国 CHINANET-ZJ-SX だと分かります． 中国からの踏み台の試みって多い様ですね． >上記から「踏み台を探す攻撃を受けたが、この攻撃は防げている。」との判断で宜しいでしょうか？ その判断で良いと思います．