月別アーカイブ: 2015年10月

(IT) 新手の攻撃とその対策

投稿日時: 投稿者:
返信

＜現象編＞
先日(2015/10/19)の攻撃は、中国やマレーシアなどいろいろな国のマシンから
一斉に、このblogが乗ってるwebサーバーの「0jejhcec65c24dslii.com」と
いう名前のサイト(当然存在しない)の「#320」みたいなありもしない
ページ内リンクへのアクセスがしこたま来てた。
access_logはこんな感じ。

117.169.1.140 – – [19/Oct/2015:19:51:54 +0900] “GET /#101 HTTP/1.1” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”
177.99.87.146 – – [19/Oct/2015:19:52:07 +0900] “GET /#432 HTTP/1.1” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”
124.200.250.22 – – [19/Oct/2015:19:51:50 +0900] “GET /#22 HTTP/1.1” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”
114.26.14.87 – – [19/Oct/2015:19:52:07 +0900] “GET /#345 HTTP/1.1” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”
190.42.61.126 – – [19/Oct/2015:19:52:08 +0900] “GET /#326 HTTP/1.1” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”
91.121.153.214 – – [19/Oct/2015:19:51:54 +0900] “GET /#237 HTTP/1.0” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”
113.204.212.50 – – [19/Oct/2015:19:51:50 +0900] “GET /#225 HTTP/1.1” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”
117.169.6.138 – – [19/Oct/2015:19:51:39 +0900] “GET /#220 HTTP/1.1” 500 263 “http://0jejhcec65c24dslii.com” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)”

ログを更に見てみると、数分後にこんなエラーが1秒に1回出てた。
存在しないページ内リンク(アンカー)を探しに行くと、apacheの子プロセスが
起動されて、CPUやらメモリやらの資源を食い潰しているのか。

::1 – – [19/Oct/2015:19:55:01 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:04 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:04 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:05 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:06 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:07 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:08 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:09 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”
::1 – – [19/Oct/2015:19:55:10 +0900] “OPTIONS * HTTP/1.0” 200 – “-” “Apache/2.2.15 (CentOS) (internal dummy connection)”

error_logも一応確認したけど、あまりめぼしいものがなくて、タイムスタンプが
近いものとしては、こんなのだけかな。

[Mon Oct 19 19:53:01 2015] [error] server reached MaxClients setting, consider raising the MaxClients setting

＜対策編＞(Special Thanks to「インフラ部」)
（１）意図しない名前でアクセスされた場合、反応しないための記述。
httpd.confのVirtualHostの先頭にdummyエントリを追加。
今回の大量アクセスは、IPアドレスで到達するけど、ターゲットのサーバー名が
「0jejhcec65c24dslii.com」という存在しないサーバー名宛てに来てたので。

#
# Use name-based virtual hosting.
#
NameVirtualHost *:80
#
<VirtualHost _default_>
ServerName dummy
DocumentRoot /var/www/dummy
<Directory /var/www/dummy>
Order Allow,Deny
</Directory>
</VirtualHost>
<VirtualHost *:80>
    ServerAdmin “anonymous@hogehoge”
    DocumentRoot “/foo/bar”
    ServerName www.ryoshr.net
(続く・・・)

（２）「＃」で始まるページ内リンクを動作させない。
.htaccessでもいいみたいけど、httpd.confに追記。

<VirtualHost *:80>
    ServerAdmin “anonymous@hogehoge”
    DocumentRoot “/foo/bar”
    ServerName www.ryoshr.net
    ErrorLog logs/hogehoge_error_log
    CustomLog logs/hogehoge_access_log combined
    RewriteEngine On
    RewriteCond %{THE_REQUEST} /#
    RewriteRule .* – [F,L]
</VirtualHost>

（３）その他パラメータを調整。
MaxClient値を半分に(256→128)
MaxRequestsPerChild値を2.5倍に(4000→10000)

（４）Fail2Banをインストール

間違ってたら、ご指摘ください。

(IT) 新手の攻撃がー

投稿日時: 投稿者:
返信

このblogのサーバー、というか、インスタンス死んでました。

シゴトを終え、「ああ、今日は久しぶりに正面玄関が開いてる時間に帰るなあ」と
思ってたら、無料の監視サービスから「お前のサーバー、返事してないよ」とアラート。

いや、だって、これから電車乗るし、何もできないよう、と思いながら、
電車の中からCloud-nのポータルへアクセスしてたけど、結局つながらず。
(パスワードがわからんかったｗ)

家に帰って、コンソールから再起動しても、すぐ死ぬ。
かくなるうえは、インスタンスを停止して100数えてから起動。
嵐は去った。

しかしこれ、何なんだろう。情報お待ちしてます。
attack20151019

(クルマ) 【注意喚起】鎌倉街道で新しい取締りポイント

投稿日時: 投稿者:
返信

これまでは、鎌倉街道の下り(鎌倉向き)弘明寺商店街あたりで計測して南警察へ
引き込まれる、という取締りをしてた。特に土日の午前中のがらっがらの時間。
10kmオーバーでもきっちりやられる。制限速度は6050km。

今朝は逆向きでやってたので、近隣の皆さんへ共有。
南警察前のお寺の駐車場がきれいになって、サイン会できるようになったからか。

鎌倉街道上り(横浜向き)の弘明寺の手前のローソンの2軒手前のマンションの前。

だいじょうぶ、かっこよこく写したからｗ

だいじょうぶ、かっこよこく写したからｗ

南警察の正面のお寺の駐車場に引き込まれる。
スピードの出しすぎに注意して安全運転で。

[amazonjs asin=”B007EMHH26″ locale=”JP” title=”コムテック スマートフォン対応【Android用】 レーダー探知機 RADARPHONE A01″]

併せて読みたい：「(クルマ) レー探設置」

(IT) オレ、Facebookでゲームしないから。(ブロックする方法)

投稿日時: 投稿者:
返信

もうね、カジュアルなやつでもゲームはまったくしないんですがね。
電車乗って見回すと、結構みんなゲームしてて驚くわけで。
(だから、おっさんの感覚は一般から遠のいてくんだよな、きっと)

そんなオレにもFacebookでゲームへの招待とか来るわけで。
先方がどういう操作をしたら送られるのか、何もしてないのに
勝手に送ってくるのかはよくわからない。

無視してれば、被害はないんだけど「同じゲームの招待が何回も
くるのがウザいんだよー💢」というあなたのために積極的な拒否と
してのブロックの方法を紹介。

お知らせのゲームへの招待を選択するとこんな画面になるよね。
お誘い

ここで拒否すれば、一応それで大丈夫なんだけど、別の人から
また送られて来るかもしれない。
そこで、検索して見つけてブロックしてやろうと。

キャンセルした後行くアプリの画面の検索枠の中で対象となる
ゲームの名前を検索。
検索

候補が出てくるので、そこから選んだらアプリの紹介ポップアップが
上がってくる。
ブロック

ここでブロック。

確認

ブロックを承認して完了。
お知らせ画面からも、招待が消えてることが確認できるはず。
あーさっぱりした。

(クルマ) 空冷VWでドラッグレースが人気!その3つの理由とは

投稿日時: 投稿者:
返信

関係者の皆さんに感謝しています。

空冷VWによるドラッグレースが人気なのをご存知でしょうか？その3つの理由をご紹介いたします。http://current-life.com/column/dragrace-aircool-vw/

Posted by Current Life/カレントライフ on 2015年10月8日