Load average: 93.44

E

efendi

New Member
Hallo miteinander,
da habe ich nicht schlecht gestaunt, als ich das erfuhr, so eine Serverlast hatte ich noch nie. In den Logfiles finden sich sehr viele Einträge dieser Art (und ja, ich meine, wirklich sehr viele!):

Code: 
http://simpleads.adspirit.de/adframe.php?pid=2&sid=197&tgt=206400000" "Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.1.14) Gecko/20080404 Firefox/2.0.0.14"
http://simpleads.adspirit.de/adframe.php?pid=1&sid=608&tgt=206300152" "Mozilla/4.0 (compatible; MSIE 7.0; TOB 6.05; Windows NT 5.1; .NET CLR 1.1.4322; HbTools 4.8.4)"

Rufe ich die auf, sehe ich nur Banner irgendwelcher Unternehmen. Ich kann mir keinen Reim daraus machen. Wisst ihr, was das bedeuten könnte? Bringt es was, dieses via .htaccess zu blocken?

Viele Grüße
efendi
 
Hallo,

ist aber nicht deine Domain?

Welchen Inhalt liefert er zurück? Zumindest die Größe kannst Du aus dem Logeintrag entnehmen.
 
adspirit.de= Nein, ist nicht meine Domain.
Das ist der komplette Auszug. Was kann ich daraus lesen?

Code: 
xxx.xxx.xxx.xxx - - [16/May/2008:19:55:23 +0200] "GET /index.php HTTP/1.1" 200 107 "http://simpleads.adspirit.de/adframe.php?pid=2&sid=588&tgt=206100000" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; SLCC1; .NET CLR 2.0.50727; .NET CLR 3.0.04506)"

Ich dachte, ich blocke das erstmal damit ab:
RewriteEngine on
# Options +FollowSymlinks
RewriteCond %{HTTP_REFERER} domain\.com [NC]
RewriteRule .* - [F]

Bringt das was?

Gruß
efendi
 
Hallo!
Sind es nur Einträge dieser einen Domain? Mein erster Gedanke war Proxymißbrauch. Würde aber IMHO nicht zu einem Standard Apache passen.

mfG
Thorsten
 
Mein Gedanke ist auch ein Proxymissbrauch, denn:
wir haben nichts mit Partnerprogrammen zu tun.

Wenn man diese URLs aufruft, kommen jedesmal andere Banner, mit einem Zufallsskript wird jedesmal was anderes eingeblendet.

Sehr komisch alles.
 
Last edited by a moderator:
Hallo!
Klar! Ist eines der größten europäischen AdNetzwerke. Was brint eine Ausgabe von top? Welche Prozesse verursachen diesen Load?

Edit: Sorry Anbieter ist AdTiger. Wird aber wohl nicht der Verursacher sein.

mfG
Thorsten
 
Last edited by a moderator:
Mit "komisch alles" meinte ich, dass wir keinen Bezug zu diesem Netzwerk haben. Anbei ein Screenshot, als es drunter und drüber ging:


load.png

Wie kann so ein Missbrauch stattfinden? Das ist die Frage, die mich beschäftigt.


Vielen Dank bisher
efendi
 
Last edited by a moderator:
Hallo!
Welche Distibution? Aktuelle Security Fixes eingespielt? Ich vermute mal, das irgendein auf dem Server eingesetztes Script mißbraucht wird.

PS: Bitte statt der Zitat- die Antwortfunktion nutzten. Danke.

mfG
Thorsten
 
Hi,

Thorsten said:
Welche Distibution? Aktuelle Security Fixes eingespielt? Ich vermute mal, das irgendein auf dem Server eingesetztes Script mißbraucht wird.
Click to expand...

als Distribution wird Gentoo eingesetzt und es ist davon auszugehen, dass das System gepflegt ist, die Jungs sind dahingehend recht zuverlässig, aber auszuschließen ist natürlich nichts. Skriptmissbrauch will ich mal ausschließen, weil auch unsere Programmierer in der Hinsicht recht sensibel sind.

Immer noch seltsam alles :-)

Viele Grüße
efendi
 
Hallo!
Manchmal ist auch der Programmierer machtlos. Siehe:

Schwache Krypto-Schlüssel unter Debian, Ubuntu und Co.

Die OpenSSL-Bibliothek der Linux-Distribution Debian erzeugt seit einem fehlerhaften Patch im Jahr 2006 schwache Krypto-Schlüssel. Der Sicherheitsexperte Luciano Bello entdeckten nun in dem OpenSSL-Paket eine kritische Schwachstelle, die die erzeugten Zufallszahlenfolgen und somit die erzeugten...
serversupportforum.de serversupportforum.de

mfG
Thorsten
 
Hallo Thorsten,
wie gesagt, möglich ist alles, aber in diesem konkreten Falle scheint mir die Ursache woanders zu liegen.
Ich werde weiterforschen.

Viele Grüße
efendi
 
Hallo,
xxx.xxx.xxx.xxx ......... 107
Click to expand...
steht da immer die gleiche IP und immer die gleiche Dateigröße?

Was liefert Dein Server zurück, wenn man die Links von ihm abruft?
(Um das auszuprobieren die IP des eigenen Servers auf dem PC in der Browserkonfiguration als Proxy eintragen, PC neu booten, mit dem Browser die Links ausrufen).

Danach Proxyeintrag löschen und PC wieder neu booten. bei manchen Windowsversionen genügt statt neu booten auch Browser neu starten, aber da das nicht bei allen klappt vorsichtshalber neu booten.

Falls bei diesem Test immer noch die Banner kommen läuft auf deinem Server ein Proxy, ohne Proxy kommt eine Standard-Fehlerseite.
 
Es ist schon witzig, wie man 15 Beiträge aufgrund einer Zeile aus dem Logfile erhalten kann.
Und das erst der 16. merkt, daß es sich hierbei um den Referrer handelt.... :D
Meine Vermutung: Wahrscheinlich ist irgendeinem Werbefuzzi ein Schreibfehler in der Domain passiert.

Back to Topic:
Grundsätzlich: Der Apache ist überdimensioniert konfiguriert.
Er nutzt für so einen Ansturm zu viel Speicher und geht in den Swap. Und das lastet das System unnötigerweise aus welches zu mehr Anfragen und mehr Swappen führt, usw. usw. usw.
MaxClients und KeepAliveTimeout runter drehe reicht bereits.

PS: Jeder andere User wäre glücklich, wenn er ungewollt in ein Affiliate-Programm rutschen würde. ;)

huschi.
 
Hallo Roger Wilco, hallo Huschi, den anderen auch ein hallo,
ja, die "Diskussion" hat sich ein bisschen verselbstständig, aber war nicht von Anfang an klar, dass es um den Referrer geht? Und ehrlich gesagt, ich bin nicht besonders froh, ungewollt in irgendwas gerutscht zu sein: 110.000 Klicks in zwei Tagen! Den Tipp mit der Apachekonfiguration werde ich so weitergeben, vielen Dank.

Grüße
efendi
 
Hallo!
Schreibe halt den Betreiber des Affiliate Netzes an. Eventuell liegt ja wirklich nur ein Vertipper bei der Adresse der zu bewerbenden Site vor.

mfG
Thorsten
 
You must log in or register to reply here.
Back
Top