[sisyphus] Q: OPTIONS requests from localhost in Apache access_log

[sisyphus] Q: OPTIONS requests from localhost in Apache access_log

[Michael Pozhidaev]

Привет всем!

С какого-то момента заметил в логе httpd сервера серию странных запросов
следующего вида:

127.0.0.1 - - [13/Jan/2010:21:51:24 +0600] "OPTIONS * HTTP/1.0" 200 -

Странными они кажутся потому, что приходят с localhost, а это точно не
я. В гугле понял, что такое бывает, только не ясно, нормально это или
нет. Система p5.

Vulnerability? Всем спасибо!

-- 
Michael Pozhidaev. Tomsk, Russia.
E-mail: msp@altlinux.ru
Info: http://www.marigostra.ru/

Re: [sisyphus] Q: OPTIONS requests from localhost in Apache access_log

[Michael Shigorin]

On Thu, Jan 14, 2010 at 03:55:48AM +0600, Michael Pozhidaev wrote:
> Странными они кажутся потому, что приходят с localhost

nginx перед apache?  Если да -- надо включить mod_realip
в apache-1.3 (в нашей сборке давно есть, надо только
сконфигурировать) либо mod_rpaf в apache-2.2.

Примерно так:

---
<IfModule mod_realip.c>
    RealIP localhost xfwd
    RealIP a.b.c.d xfwd
</IfModule>
--- httpd.conf

---
        location / {
            proxy_pass http://127.0.0.1/;
            proxy_redirect     off;
            proxy_set_header   Host             $host;
            proxy_set_header   X-Real-IP        $remote_addr;
            proxy_set_header   X-Forwarded-For  $remote_addr;
        }
--- nginx.conf

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Q: OPTIONS requests from localhost in Apache access_log

[Michael Pozhidaev]

Hello, Michael Shigorin!

> On Thu, Jan 14, 2010 at 03:55:48AM +0600, Michael Pozhidaev wrote:
>> Странными они кажутся потому, что приходят с localhost
>
> nginx перед apache?  Если да -- надо включить mod_realip

Ничего подобного.Самый примитивный апач. Заметил это даже на двух своих
серверах. На обоих есть php-код. На одном из них он может ловить
аплоады, на втором -- нет. 

На одном из них (там, где без аплоадов) ещё wordpress врасчается. Ты
только скажи, это атака или нет?

-- 
Michael Pozhidaev. Tomsk, Russia.
E-mail: msp@altlinux.ru
Info: http://www.marigostra.ru/

Re: [sisyphus] Q: OPTIONS requests from localhost in Apache access_log

[Michael Pozhidaev]

Hello, Michael Pozhidaev!

>
> На одном из них (там, где без аплоадов) ещё wordpress врасчается. Ты
> только скажи, это атака или нет?

Щас ещё нашёл такое:
http://wiki.apache.org/httpd/InternalDummyConnection

Странно только, что раньше никогда не налетал на это...

-- 
Michael Pozhidaev. Tomsk, Russia.
E-mail: msp@altlinux.ru
Info: http://www.marigostra.ru/

Re: [sisyphus] Q: OPTIONS requests from localhost in Apache access_log

[Michael Shigorin]

On Thu, Jan 14, 2010 at 05:33:10AM +0600, Michael Pozhidaev wrote:
> Ты только скажи, это атака или нет?

Не знаю точно, но могут нащупывать дырявый WebDAV в старом IIS.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/