Mailがらみはひとまず終わったかな。
と、いうことでapacheのログを覗いた。
こちらにもピンポンダッシュするのが居るだろうから。
今回の多少はこんな奴ら。
|
1 2 3 |
2026/07/09 10:14:24 (172.236.13.23)- "\x16\x03\x01\x02" 400 224 "-" "-" 2026/07/09 11:13:32 (49.51.50.147)- "\x16\x03\x01" 400 224 "-" "-" 2026/07/09 12:01:44 (192.3.67.114)- "POST /cgi-bin/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/.%2e/bin/sh HTTP/1.1" 400 224 "-" "libredtail-http" |
余りにもシンプルで、どこを拾えば良いのだろうと途方に暮れた。
しばらく眺めて、ここに決めた「400 224 “-“」。
400はapacheが「意味不明」と言っているらしい。
次の数字224は送り出した（返答した）バイト数。
最後の”-“は直接やって来たことを示している。
まず普通のブラウザでは400は発生しない筈。
とここまで考えた。
結果こうなった。
|
1 2 3 4 5 6 7 8 9 10 11 |
#!/bin/sh # # add_pf_http.sh # 意味不明な連中を排除する # grep "400 224 \"-\"" /opt/local/var/log/apache2/access_log | \ grep -v "192\.168\.0\.[0-9]{1,3}" | grep -v "49.96.23[2-9]\.[0-9]{1,3}" | \ grep -oE "\(([0-9]{1,3}\.){3}[0-9]{1,3}\)" | \ sed 's/[()]//g' | \ sort -u | pfctl -t murus.blacklist -T add -f - |
これも、pf送りのipをさらに細かく設定し直すことにしたのdayliyPF.shに追加した。