Откуда в access.log вебсервера сторонние домены?

Question

[Sanes]

В ISPmanager5 странные записи в access.log вебсервера. Apache2+Nginx
Откуда там взялись сторонние домены? Запрсы идут не на домен по-умолчанию.

81.4.102.172 - - [18/Aug/2017:09:10:07 +0300] "GET / HTTP/1.0" 200 14792 "www.simplanudas.com" "Mozilla/5.0 (X11; FreeBSD i386) AppleWebKit/535.2 (KHTML, like Gecko) Chrome/15.0.874.121 Safari/535.2"
86.124.80.238 - - [18/Aug/2017:09:10:07 +0300] "GET / HTTP/1.0" 200 14792 "glamourholas.com" "Opera/9.80 (Android; Opera Mini/7.6/35.4131; U; en) Presto/2.8 Version/11.10"
37.235.56.141 - - [18/Aug/2017:09:10:07 +0300] "GET / HTTP/1.0" 200 14792 "saxprivatas.com" "Mozilla/5.0 (X11; CrOS x86_64 8172.45.0) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.64 Safari/537.36"
81.4.102.172 - - [18/Aug/2017:09:10:07 +0300] "GET / HTTP/1.0" 200 14792 "www.xartpussy.com" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.111 Safari/537.36"
81.4.102.172 - - [18/Aug/2017:09:10:08 +0300] "GET / HTTP/1.0" 200 14792 "www.fraaonas.com" "Opera/9.80 (Android; Opera Mini/7.5/32.749; U; en) Presto/2.8 Version/11.10"
37.235.56.141 - - [18/Aug/2017:09:10:08 +0300] "GET / HTTP/1.0" 200 14792 "vintagapornxxx.nat" "NetFront 3.3"

Answer 1

[Yakov Vylegzhanin]

По-моему это реферальный спам.

Comments

[Sanes]

Это разве не адрес запроса к серверу?

[Yakov Vylegzhanin]

Sanes: это реферер.

[Sanes]

Есть подозрение, что кто-то юзает сервер, как прокси. Может быть такое? На других доменах нет никаких рефереров.

[athacker]

Sanes: В логе выводится не адрес запроса (URL), а имя хоста, передаваемое в HTTP-заголовке "Host:". Там можно что угодно поставить. Вряд ли это реферальный спам (тот расчитан на заголовок Referer).

[Sanes]

athacker: не заметил, что запрос на корень

[athacker]

Sanes: Попробуйте телнетом дёрнуть свой сервак, указав в "Host:" левый домен, посмотрите, что сервер отдаст. В теории, проксирование через апач действительно возможно. Если приедет страница сайта, который в Host указан, а не вашей дефолтной страницы -- то у вас проблемы с настройками веб-сервера :-)

Если же не приедет, и всё ОК -- ну, просто блочьте таких умников каким-нибудь fail2ban или самописным скриптом на основании лога веб-сервера, и всё.

[Sanes]

athacker: Да вроде разобрались. Атака на уровне L7 была.