1 Тема от Faydaen

  • Faydaen
  • Faydaen
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.03.2010
  • Сообщений: 28
  • Репутация : [ 0 | 0 ]

У меня на сервере операционная система CentOS release 5.10
И мне logwatch присылает вот такие сообщения

 --------------------- httpd Begin ------------------------


 A total of 1 sites probed the server
    71.6.165.200

 Requests with error response codes
    403 Forbidden
       /: 2 Time(s)
    404 Not Found
       /vtigercrm/: 1 Time(s)
    501 Not Implemented
       null: 1 Time(s)

 ---------------------- httpd End -------------------------

В википедии про 501 ошибку написано:

сервер не поддерживает возможностей, необходимых для обработки запроса. Типичный ответ для случаев, когда сервер не понимает указанный в запросе метод

То-есть кто то пытался послать серверу какую то неизвестную серверу команду
И этот кто-то (или его прокси сервер) находится в Сан Диего (я посмотрел IP 71.6.165.200 через ip-whois).

Теперь у меня паника. И я даже не знаю в какую сторону копать.
Есть ли возможность как либо узнать целенаправленная аткака это или просто сканирование?
Есть ли где нибудь логи в которых записываются какие именно команды были выполнены приведшие к 501 ошибке?

2 Ответ от Faydaen

  • Faydaen
  • Faydaen
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.03.2010
  • Сообщений: 28
  • Репутация : [ 0 | 0 ]

сделал вот такую команду (искал в логах любое упоминание данного ip)

[root@AppServ httpd]# grep "71.6.165.200" /var/log/httpd/*
/var/log/httpd/ssl_access_log:71.6.165.200 - - [06/May/2014:17:28:02 +0400] "GET / HTTP/1.1" 403 5043
/var/log/httpd/ssl_access_log:71.6.165.200 - - [06/May/2014:17:28:05 +0400] "quit" 501 281
/var/log/httpd/ssl_access_log.1:71.6.165.200 - - [02/May/2014:11:01:04 +0400] "GET / HTTP/1.1" 403 5043
/var/log/httpd/ssl_access_log.1:71.6.165.200 - - [02/May/2014:11:01:08 +0400] "quit" 501 281
/var/log/httpd/ssl_error_log:[Tue May 06 17:28:02 2014] [error] [client 71.6.165.200] Directory index forbidden by Options directive: /home/
/var/log/httpd/ssl_error_log:[Tue May 06 17:28:05 2014] [error] [client 71.6.165.200] Invalid method in request quit
/var/log/httpd/ssl_error_log.1:[Fri May 02 11:01:04 2014] [error] [client 71.6.165.200] Directory index forbidden by Options directive: /home/
/var/log/httpd/ssl_error_log.1:[Fri May 02 11:01:08 2014] [error] [client 71.6.165.200] Invalid method in request quit
/var/log/httpd/ssl_request_log:[06/May/2014:17:28:02 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log:[06/May/2014:17:28:05 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:04 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:08 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281
[root@AppServ httpd]#

Можете сказать что это значит, то-есть что клиент с таким ip пытался сделать?

3 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]
Faydaen пишет:

[02/May/2014:11:01:04 +0400] "GET / HTTP/1.1" 403 5043
[02/May/2014:11:01:08 +0400] "quit" 501 281

нуу, клиент попытался выполнить "quit" и получил 501

Сайт alexfinn

4 Ответ от Faydaen

  • Faydaen
  • Faydaen
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.03.2010
  • Сообщений: 28
  • Репутация : [ 0 | 0 ]

а что тогда обозначает 

/var/log/httpd/ssl_request_log:[06/May/2014:17:28:02 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log:[06/May/2014:17:28:05 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:04 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:08 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281

а именно строчка TLSv1 DHE-RSA-AES256-SHA и строчка TLSv1 RC4-SHA это что то с шифрованием связанно?

5 Ответ от alexfinn

  • alexfinn
  • alexfinn
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 04.10.2012
  • Сообщений: 928
  • Репутация : [ 39 | 0 ]

может самостоятельно почитаете про формат логов Апача?

Сайт alexfinn