今日の４時位から MRTG のモニタで、ネットワーク速度・CPU負荷などに軒並み 異常なトラヒックが入っている。top でプロセスを見ると、Web サーバの負荷が 見えた。アクセス履歴をみると、以下のようなアクセスがずーっと続いている。
219.165.234.137 - - [27/Jun/2006:22:47:58 +0900] "POST /~mitsuki/diary/index.cgi HTTP/1.0" 200 12319 "http://tsaitoh.net/~mitsuki/diary/index.cgi" "Mozilla/4.0 (compatible; MSIE 4.0; Windows NT)" 219.165.234.137 - - [27/Jun/2006:22:48:01 +0900] "POST /~mitsuki/diary/index.cgi HTTP/1.0" 200 12319 "http://tsaitoh.net/~mitsuki/diary/index.cgi" "Mozilla/4.0 (compatible; MSIE 4.0; Windows NT)" 219.165.234.137 - - [27/Jun/2006:22:48:03 +0900] "POST /~mitsuki/diary/index.cgi HTTP/1.0" 200 12319 "http://tsaitoh.net/~mitsuki/diary/index.cgi" "Mozilla/4.0 (compatible; MSIE 4.0; Windows NT)" 219.165.234.137 - - [27/Jun/2006:22:48:04 +0900] "POST /~mitsuki/diary/index.cgi HTTP/1.0" 200 12319 "http://tsaitoh.net/~mitsuki/diary/?200506#200506170200506170200506080#200506180" "Mozilla/4.0 (compatible; MSIE 4.0; Windows NT)" 219.165.234.137 - - [27/Jun/2006:22:48:05 +0900] "POST /~mitsuki/diary/index.cgi HTTP/1.0" 200 12319 "http://tsaitoh.net/~mitsuki/diary/index.cgi" "Mozilla/4.0 (compatible; MSIE 4.0; Windows NT)" 219.165.234.137 - - [27/Jun/2006:22:48:05 +0900] "GET /~mitsuki/diary/?200506#200506170200506170200506080200506180200506300 HTTP/1.0" 200 12764 "http://tsaitoh.net/~mitsuki/diary/?200506#200506170200506170200506080#200506180" "Mozilla/4.0 (compatible; MSIE 4.0; Windows NT)"
逆引すると i219-165-234-137.s06.a014.ap.plala.or.jp.
異常アクセス元は、219.165.234.137 からのみ。 逆引結果は、i219-165-234-137.s06.a014.ap.plala.or.jp. 日記のページをクロールしている途中で、相手が暴走しているような雰囲気。 ひとまずは、ルータのアクセスフィルタで 219.165.234.137 だけのアクセス制限を施す。 ページへのアクセスだし、apache 側での制限も考えるが、アクセス履歴書き込み負荷 も残るだろうし、ルータ制限が確実。
UserAgent が MSIE4.0; Windows NT ってなっているが、こんなの残っているのか？
今日は天気も曇なのに、今期最初の『サーバ CPU 温度 66℃越え』の警告が 出ていたが、この負荷の影響も大きいと思われる。
nmap 探査
追記：
相手の探索には、unix では nmap が便利。ということで、
自宅では、ルータでアクセス制限してしまったので、職場のマシンから、nmap を起動する。 $ su # nmap -v -O 219.165.234.137 (OS判定させてみる) たいした返答が無い。 パーソナルファイアウォールを使っていれば、返答無しなのもあたりまえ。 # nmap -v -sP 219.165.234.137/24 (同一セグメント内の複数マシンに ping をかける) ポツポツと返答のあるマシンと返答の無いマシンが混在している。 この雰囲気から、プロバイダが一般ユーザに割り振っている空間のような...
nmap のセグメントを 24 から少しづつ 23,22 と広げていくと、幾つかのマシンから HTTP ポートが開いているのが観測できたので、ブラウザで見てみる。
１つは、
明らかに Apache が動いている。
わざと変な URL を与えてエラーをだすと、
# Apache/1.3.33 Server at kasaisugurutamotsunokonpyuta.local Port 80
との表示。
２つめは、ルータの認証画面がでる。
他は、画面に何も表示されない。アクセス制限付きのルータであろう。
ということで、219.165.234.137 は、一般ユーザのマシンであり、サーチエンジン系のクローラ
では無いと思われる。
