DNSBL aus Apache-Logs?

In den vergangenen zwei Wochen wurde ein Kunde immer wieder Opfer etwas, was wie DDOS-Attacken anmutete...

... im Prinzip waren sie das auch, nur war die Absicht des Verursachers sicherlich eine andere: Spam.

Bei dem Kunden gingen pro Minute mehrere tausend Anfragen ein, die der Webserver schlichtweg nicht mehr schnell genug abarbeiten konnte und seine Warteschlange in Folge dessen "überlief". Heute hatte ich mal die Schnautze voll und bin dem Problem auf den Grund gegangen.

Mit einer einfachen mod_rewrite-Regel lies sich das Problem bis auf weiteres abstellen:

<IfModule mod_rewrite.c>
  RewriteEngine On
  RewriteBase /

  RewriteRule ^comment\.php.* / [L,forbidden]
</IfModule>

Wie ich dann eben zur Kontrolle in die Zugriffsprotokolle schaute, kam in mir der Gedanke auf, dass man diese Daten rein theoretisch und fast perfekt für eine DNSBL nutzen könnte, denn abgesehen von den vielen IP-Adressen änderte sich nichts. Alle Anfragen gingen auf die comment.php vom dort installierten Serendipity und sendeten weder einen Referer noch einen User-Agent.

Ein fehlender Referer sollte hier sicherlich nicht allein als Kriterium gelten, allerdings ist die Kombination aus beiden Einträgen sicherlich ein einmaliges Merkmal, denn zumindest die Browser senden doch mindestens ein "Mozilla/5.0" (o.ä.) und im Falle von Serendipity schicken "normale" Benutzer ihre Kommentare gar nicht an die comment.php, somit kann wohl jeder der die beiden Einträge nicht sendet als "Zombie-Computer" eingestuft und vielleicht auch beim E-Mail-Verkehr oder via etwas wie mod_dnsbl geblocked werden.

... natürlich nur, wenn der entsprechende Kunde mitmachen will, immerhin würden wir seine Daten weiterverwenden... :hmm: