被wpad.dat淹没

因此，我的apache服务器运行缓慢，我查看了日志文件。事实证明，尝试访问我的其中一个Vhost上的/wpad.dat的无数不同主机的访问量已增长到12GB。

现在，有问题的虚拟主机是当浏览器不提供已知主机名时调用的“包罗万象”虚拟主机。

我目前每分钟收到数千个“ /wpad.dat”请求，据Google告诉我，这与代理服务器有关吗？但是我不使用代理服务器，所以为什么我真的被这些请求轰炸。

我得到更多每分钟的请求这个不存在的文件比我得到正常的请求。所以我的假设是我受到某种形式的攻击。有趣的是，它通常只发生在晚上（这里是瑞典），而不是白天。

最近的500个请求的样本大小（即半分钟）表明它包含200个不同的主机，而其中的一小部分样本表明它们都是有效的主机（而不是TOR代理），因此是否某些DNS服务器配置错误？ ？我确实在计算机上运行DNS服务器。

请帮忙！:)

编辑 他们正在访问的主机是“ cluster.atlascms.se”，因此他们所做的是每分钟访问数千次http://cluster.atlascms.se/wpad.dat。

现在，cluster.atlascms.se是我的DNS故障转移主机。因此，我所有的客户都将其子域指向cluster.atlascms.se，后者又将其指向当前IP（故障转移服务器的主服务器）。

看起来-这意味着我收到大量对cluster.arlascms.se的请求-这是否意味着我的DNS配置错误？

您的DNS区域似乎eklundh.com已定义了一个通配符记录，指向“ cluster.atlascms.se. 包括” wpad.eklundh.com。我建议您添加一个显式定义的DNS记录wpad.eklundh.com。到127.0.0.1某物。

如果计算机配置为代理自动发现，则计算机将根据其自己的FQDN分层查找WPAD.dat文件。因此，如果Windows PC是cdecom域的成员，它将在以下位置查找WPAD.dat：

http://wpad.c.d.e.com/wpad.dat
http://wpad.d.e.com/wpad.dat
http://wpad.e.com/wpad.dat
http://wpad/wpad.dat

可能是某人拥有一个域，该域是您托管HTTP的域之一的子域，并且未正确配置或禁用代理自动发现。结果，他们可能会按层次搜索。

病毒可能导致他们这样做了。可能的是，如果进行查询的计算机数量众多且位于不同的子网中，那么这就是问题所在。

如果可能，请避免为wpad子域的DNS记录定义任何您不打算用于代理自动发现的内容。

如果这不是一个选择，则可以考虑使用第7层筛选来查找wpad.dat的查询并拒绝带有ICMP消息的数据包。实际上，这可能是阻止流量的最有效方法，除非这些IP全部来自同一网络，并且它们在whois中的技术联系会做出响应。

将主机指向wpad.dat特定位置的内容包括域设置，DHCP答复中的域名选项以及Web浏览器中用于从某些URL加载代理信息的显式设置。

我要做的第一件事是尝试找出这些请求将到达的位置，即它们的目的地。Apache默认情况下不记录主机名，因此您可以使用它tcpdump来进行简短捕获并检查其是否包含Host:请求标头，或者更改您的Apache日志格式以对其进行记录。我更喜欢将其记录在其他无用的第二个字段中，例如：

LogFormat "%h %{Host}i %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined

一旦您知道这些错误的请求是针对谁的，下一步将变得很清楚。例如，事实证明它可能是一些大公司，example.se在这种情况下，您可以去找他们的网络管理员并大吼大叫。

仅供参考， ModSecurity将其捕获并阻止。Comodo提供了一个规则集。这是一个日志条目。我删除了帐户相关数据，以便将其包含在其中，以用作示例。

Apache错误：[文件“”] [] [] [客户端xxx.xxx.xxx.xxx] ModSecurity：使用代码403（阶段2）拒绝访问。匹配短语“ .dat /”在TX：扩展名。[file“”] [“] [id” 210730“] [rev” 2“] [msg” COMODO WAF：URL文件扩展名受策略限制“] [data” .dat“] [严重性“ CRITICAL”] [主机名“已删除”] [uri“ /wpad.dat”] [unique_id“ WjFa06qDOW3DDPRieFmICgAAAEg”]

出现了此问题，并通过创建一个wpad.dat文件（其中将“此页留为空白”）放入页面来解决此问题。

CPU几乎为零。问题似乎解决了。