Hola Lista!!
Me ha tocado instalar un servidor apache, todo bien, pero en la empresa donde me pidieron tienen un software que acceder que está en otro server. Para ellos se hizo un proxy pass, pero he visto que desde ese momento en mi logwatch he visto este tipo de reporte: --------------------- httpd Begin ------------------------
Connection attempts using mod_proxy: 109.196.127.5 -> www.google.pl:443: 3 Time(s) 109.234.111.11 -> www.google.pl:443: 6 Time(s) 109.234.111.17 -> lurkmore.to:443: 1 Time(s) 109.234.111.33 -> www.google.pl:443: 6 Time(s) 144.76.183.98 -> www.google.pl:80: 10 Time(s) 144.76.218.169 -> www.google.it:443: 1 Time(s) 144.76.218.169 -> www.google.nl:443: 2 Time(s) 144.76.94.107 -> www.google.pl:443: 73 Time(s) 144.76.94.107 -> www.google.pl:80: 2 Time(s) 158.255.208.208 -> www.google.com:443: 1 Time(s) 176.119.38.222 -> www.google.pl:443: 62 Time(s) 178.19.107.26 -> google.com:80: 45 Time(s) 178.255.44.131 -> www.google.pl:443: 186 Time(s) 178.32.205.120 -> www.google.pl:443: 5 Time(s) 185.25.149.230 -> www.google.pl:443: 1 Time(s) 185.5.98.95 -> www.google.pl:443: 12 Time(s) 188.116.20.4 -> www.google.pl:443: 3 Time(s) 188.116.32.7 -> www.google.pl:443: 3 Time(s) 188.116.32.92 -> www.google.pl:443: 1 Time(s) 188.116.35.23 -> www.google.pl:443: 1 Time(s) 188.128.161.177 -> www.google.ie:443: 1 Time(s) ......................... Y así muchos más. Al final este mensaje: A total of 2 sites probed the server 200.153.160.234 88.232.83.55
A total of 1 possible successful probes were detected (the following URLs contain strings that match one or more of a listing of strings that indicate a possible exploit):
null HTTP Response 302
También sucede que ese servidor apache hace NAT para un servidor interno que es proxy, por ende también el trafico de ese server sirve para navegación de la empresa.
Hay alguna forma para evitar este tráfico?
Saludos, David
Se me paso comentar que cada vez que alguien de la red, intenta hacer una busqueda en google, este saca la siguiente información: ----------------------------------------------------------------------------------------------------- Para continuar, introduce los caracteres que aparecen a continuación: ________________________________ Acerca de esta página
Nuestros sistemas han detectado tráfico inusual procedente de tu red de ordenadores. En esta página se comprueba si eres tú quien envía las solicitudes en lugar de un robot. ¿A qué se debe esto?
Dirección IP: 190.211.242.198 Hora: 2014-02-05T13:18:11Z URL: https://www.google.com.py/search?output=search&sclient=psy-ab&q=naru... ----------------------------------------------------------------------------------------------------- Se pone el capcha y listo, Saludos, David
El día 5 de febrero de 2014, 9:14, David González Romero dgrvedado@gmail.com escribió:
Hola Lista!!
Me ha tocado instalar un servidor apache, todo bien, pero en la empresa donde me pidieron tienen un software que acceder que está en otro server. Para ellos se hizo un proxy pass, pero he visto que desde ese momento en mi logwatch he visto este tipo de reporte: --------------------- httpd Begin ------------------------
Connection attempts using mod_proxy: 109.196.127.5 -> www.google.pl:443: 3 Time(s) 109.234.111.11 -> www.google.pl:443: 6 Time(s) 109.234.111.17 -> lurkmore.to:443: 1 Time(s) 109.234.111.33 -> www.google.pl:443: 6 Time(s) 144.76.183.98 -> www.google.pl:80: 10 Time(s) 144.76.218.169 -> www.google.it:443: 1 Time(s) 144.76.218.169 -> www.google.nl:443: 2 Time(s) 144.76.94.107 -> www.google.pl:443: 73 Time(s) 144.76.94.107 -> www.google.pl:80: 2 Time(s) 158.255.208.208 -> www.google.com:443: 1 Time(s) 176.119.38.222 -> www.google.pl:443: 62 Time(s) 178.19.107.26 -> google.com:80: 45 Time(s) 178.255.44.131 -> www.google.pl:443: 186 Time(s) 178.32.205.120 -> www.google.pl:443: 5 Time(s) 185.25.149.230 -> www.google.pl:443: 1 Time(s) 185.5.98.95 -> www.google.pl:443: 12 Time(s) 188.116.20.4 -> www.google.pl:443: 3 Time(s) 188.116.32.7 -> www.google.pl:443: 3 Time(s) 188.116.32.92 -> www.google.pl:443: 1 Time(s) 188.116.35.23 -> www.google.pl:443: 1 Time(s) 188.128.161.177 -> www.google.ie:443: 1 Time(s) ......................... Y así muchos más. Al final este mensaje: A total of 2 sites probed the server 200.153.160.234 88.232.83.55
A total of 1 possible successful probes were detected (the following URLs contain strings that match one or more of a listing of strings that indicate a possible exploit):
null HTTP Response 302También sucede que ese servidor apache hace NAT para un servidor interno que es proxy, por ende también el trafico de ese server sirve para navegación de la empresa.
Hay alguna forma para evitar este tráfico?
Saludos, David
On 02/05/2014 08:19 AM, David González Romero wrote:
Se me paso comentar que cada vez que alguien de la red, intenta hacer una busqueda en google, este saca la siguiente información:
Para continuar, introduce los caracteres que aparecen a continuación: ________________________________
un proxy reverso mal configurado, te están usando de open proxy. Es frecuente en servidores mal configurados y es algo contra lo que batallamos diariamente.
A través de un openproxy se pueden cometer ilícitos bien graves (todo lo grave que te puedas imaginar) y la IP que cometerá el ilícito será la tuya...
Entonces a correr y a configurar adecuadamente este servidor para que haga proxy reverso nada más y no quede abierto.. esto que te está ocurriendo es peligrosísimo créeme.
Pero la respuesta de mi apache es
Null HTTP Response 302
De igual forma en los virtual host les puse ProxyRequest off
Saludos, David El 05/02/2014 21:40, Ernesto Pérez Estévez, Ing. ernesto.perez@cedia.org.ec escribió:
On 02/05/2014 08:19 AM, David González Romero wrote:
Se me paso comentar que cada vez que alguien de la red, intenta hacer una busqueda en google, este saca la siguiente información:
Para continuar, introduce los caracteres que aparecen a continuación: ________________________________
un proxy reverso mal configurado, te están usando de open proxy. Es frecuente en servidores mal configurados y es algo contra lo que batallamos diariamente.
A través de un openproxy se pueden cometer ilícitos bien graves (todo lo grave que te puedas imaginar) y la IP que cometerá el ilícito será la tuya...
Entonces a correr y a configurar adecuadamente este servidor para que haga proxy reverso nada más y no quede abierto.. esto que te está ocurriendo es peligrosísimo créeme.
--
Ernesto Pérez +593 9 9924 6504 _______________________________________________ CentOS-es mailing list CentOS-es@centos.org http://lists.centos.org/mailman/listinfo/centos-es
Bueno leyendo la documentacion oficial realice la configuracion general de mi apache con mod_proxy
Se los paso para que a otro no lo cojan de cnejillo de indias.
Etica <IfModule mod_proxy.c> ProxyRequest Off <proxy *> Order deny,allow Deny from all Allow from midominio1.com Allow from midominio2.com </proxy>
Despuea en tu archivo vhost.conf o donde tengas los virtual host de apache y que vayan a configurar proxy pass por x razon
ProxyRequest On ProxypreserveHost On ProxyPass /taldirectory http://1.2.3.4:8080/taldirectory ProxyPassReverse /taldirectory http://1.2.3.4:8080/taldirectory
Bueno asi al menos logre reducir las peticiones de otras weben mi apache. Que aunque muchas deban 404 es mejor evitar
Algun señalamiento de los mas gurues...
Ernesto... Roger....
Saludos, David El 06/02/2014 13:02, "David González Romero" dgrvedado@gmail.com escribió:
Pero la respuesta de mi apache es
Null HTTP Response 302
De igual forma en los virtual host les puse ProxyRequest off
Saludos, David El 05/02/2014 21:40, Ernesto Pérez Estévez, Ing. < ernesto.perez@cedia.org.ec> escribió:
On 02/05/2014 08:19 AM, David González Romero wrote:
Se me paso comentar que cada vez que alguien de la red, intenta hacer una busqueda en google, este saca la siguiente información:
Para continuar, introduce los caracteres que aparecen a continuación: ________________________________
un proxy reverso mal configurado, te están usando de open proxy. Es frecuente en servidores mal configurados y es algo contra lo que batallamos diariamente.
A través de un openproxy se pueden cometer ilícitos bien graves (todo lo grave que te puedas imaginar) y la IP que cometerá el ilícito será la tuya...
Entonces a correr y a configurar adecuadamente este servidor para que haga proxy reverso nada más y no quede abierto.. esto que te está ocurriendo es peligrosísimo créeme.
--
Ernesto Pérez +593 9 9924 6504 _______________________________________________ CentOS-es mailing list CentOS-es@centos.org http://lists.centos.org/mailman/listinfo/centos-es
-
"Ernesto Pérez Estévez, Ing." -
David González Romero