logwatch сообщает об 501 ошибке

07.05.2014 14:21 #379210

У меня на сервере операционная система CentOS release 5.10
И мне logwatch присылает вот такие сообщения

text


 --------------------- httpd Begin ------------------------
 A total of 1 sites probed the server
    71.6.165.200
 Requests with error response codes
    403 Forbidden
       /: 2 Time(s)
    404 Not Found
       /vtigercrm/: 1 Time(s)
    501 Not Implemented
       null: 1 Time(s)
 ---------------------- httpd End -------------------------

В википедии про 501 ошибку написано:

сервер не поддерживает возможностей, необходимых для обработки запроса. Типичный ответ для случаев, когда сервер не понимает указанный в запросе метод

То-есть кто то пытался послать серверу какую то неизвестную серверу команду
И этот кто-то (или его прокси сервер) находится в Сан Диего (я посмотрел IP 71.6.165.200 через ip-whois).

Теперь у меня паника. И я даже не знаю в какую сторону копать.
Есть ли возможность как либо узнать целенаправленная аткака это или просто сканирование?
Есть ли где нибудь логи в которых записываются какие именно команды были выполнены приведшие к 501 ошибке?

07.05.2014 14:48 #379220

сделал вот такую команду (искал в логах любое упоминание данного ip)

text

[root@AppServ httpd]# grep "71.6.165.200" /var/log/httpd/*
/var/log/httpd/ssl_access_log:71.6.165.200 - - [06/May/2014:17:28:02 +0400] "GET / HTTP/1.1" 403 5043
/var/log/httpd/ssl_access_log:71.6.165.200 - - [06/May/2014:17:28:05 +0400] "quit" 501 281
/var/log/httpd/ssl_access_log.1:71.6.165.200 - - [02/May/2014:11:01:04 +0400] "GET / HTTP/1.1" 403 5043
/var/log/httpd/ssl_access_log.1:71.6.165.200 - - [02/May/2014:11:01:08 +0400] "quit" 501 281
/var/log/httpd/ssl_error_log:[Tue May 06 17:28:02 2014] [error] [client 71.6.165.200] Directory index forbidden by Options directive: /home/
/var/log/httpd/ssl_error_log:[Tue May 06 17:28:05 2014] [error] [client 71.6.165.200] Invalid method in request quit
/var/log/httpd/ssl_error_log.1:[Fri May 02 11:01:04 2014] [error] [client 71.6.165.200] Directory index forbidden by Options directive: /home/
/var/log/httpd/ssl_error_log.1:[Fri May 02 11:01:08 2014] [error] [client 71.6.165.200] Invalid method in request quit
/var/log/httpd/ssl_request_log:[06/May/2014:17:28:02 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log:[06/May/2014:17:28:05 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:04 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:08 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281
[root@AppServ httpd]#

Можете сказать что это значит, то-есть что клиент с таким ip пытался сделать?

07.05.2014 15:13 #379232

"Faydaen" написал:
[02/May/2014:11:01:04 +0400] "GET / HTTP/1.1" 403 5043
[02/May/2014:11:01:08 +0400] "quit" 501 281

нуу, клиент попытался выполнить "quit" и получил 501

07.05.2014 16:31 #379263

а что тогда обозначает

text

/var/log/httpd/ssl_request_log:[06/May/2014:17:28:02 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log:[06/May/2014:17:28:05 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:04 +0400] 71.6.165.200 TLSv1 DHE-RSA-AES256-SHA "GET / HTTP/1.1" 5043
/var/log/httpd/ssl_request_log.1:[02/May/2014:11:01:08 +0400] 71.6.165.200 TLSv1 RC4-SHA "quit" 281

а именно строчка TLSv1 DHE-RSA-AES256-SHA и строчка TLSv1 RC4-SHA это что то с шифрованием связанно?

07.05.2014 16:55 #379272

может самостоятельно почитаете про формат логов Апача?