██ 网站被天杀的杭州人攻击！██

web已版,又发在这里是希望大家给点建议.


黑色8月，短短一个星期，服务器挂死3次！
先说环境:环境:win2003+MSSQL2005+Apahce2.0.59+.NET2

再看apache错误日志
20080804:
未处理的异常:  OutOfMemoryException.
This application has requested the Runtime to terminate it in an unusual way.
Please contact the application's support team for more information.
[Mon Aug 04 19:55:30 2008] [error] Parent: child process exited with status 3 -- Aborting.

20080806:
[Wed Aug 06 18:51:15 2008] [error] [client xx.xx.xx.xx] mod_aspdotnet: System.OutOfMemoryException: \xe5\xbc\x95\xe5\x8f\x91\xe7\xb1\xbb\xe5\x9e\x8b\xe4\xb8\xba\xe2\x80\x9cSystem.OutOfMemoryException\xe2\x80\x9d\xe7\x9a\x84\xe5\xbc\x82\xe5\xb8\xb8\xe3\x80\x82\r\n   \xe5\x9c\xa8 System.String..ctor(SByte* value)\r\n   \xe5\x9c\xa8 Apache.Web.WorkerRequest..ctor(Int32 Req, Host ThisHost)\r\n   \xe5\x9c\xa8 Apache.Web.Host.HandleRequest(Int32 Req), referer: http://translate.google.com/tran ... ru%26lr%3D%26sa%3DG
[Wed Aug 06 19:06:52 2008] [warn] Server ran out of threads to serve requests. Consider raising the ThreadsPerChild setting

20080807:
未处理的异常:  OutOfMemoryException.
This application has requested the Runtime to terminate it in an unusual way.
Please contact the application's support team for more information.
[Thu Aug 07 22:42:06 2008] [error] Parent: child process exited with status 3 -- Aborting
2003系统日志与应用程序日志无异常.

        4号apache挂死,数小时后才发现,在经关闭apache,再启动后,网站可正常访问.
之后便google整个互联网,然而日志提示少.OutOfMemoryException,内存溢出,即使是在英文的google网站上.也没有什么可用的信息.
我想是偶然因素吧.

        6号apache又挂死了,在关闭apache,再启动apache,服务器也可正常访问.我注意这次日志与上次却不一样了,是asp.net模块出错,又明确指示提高ThreadsPerChild
因此,我把修改httpd.conf,把原来的ThreadsPerChild从250增加到500.又按网上提示win + apache下,使用Win32DisableAcceptEx指令,本以为以后应该没事了吧.
       
        可是在7号apache再次挂掉,这次日志与第一次相同OutOfMemoryException,快疯了.这次我仔细查看日志发现如下:

        可以看出:8月份访问异常:
1.除了美国代理服务器与深圳公司,top9中7个全是浙江杭州的IP.
2.流量巨大,如60.186.181.9其流量3.05G, 125.119.203.202其流量1.73G
3.请求的网页数几乎等于文件数,如60.186.176.153,60.186.181.9,125.119.203.202
4.请求的文件比较大,如220.184.35.98请求网页447,流量却多达310M


        再通过分析日志,发现220.184.35.98一秒钟访问一个网页,网页很有规律.如先访问84486,接着是84485,再是84484.
发现220.184.35.98访问全是图片,几乎一秒钟3个请求,访问也很有规律.

        初步判断是某杭州电信ADSL用户,而且似乎并没有使用代理,使用拖站软件恶意下载网站,而且都是一天一个主要的IP在下载.再分析攻击者应该是商业目的的, TAG标签 : 攻击 网站 apache 日志 xe5 访问 the 使用 下载 发现