Как отловить источник запроса на VPS?

Question

[Виталий]

Добрый день. Есть VPS ( Debian 9.5 + PHP 5.6 в режиме FastCgi). На нем стоит некий PHP скрипт. Глядя в лог доступа вижу, что примерно каждые 10 минут откуда то идет запроса вида:

{IP адрес VPS} - - [{Дата}] "GET / HTTP/1.0" 200 8184 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.157 Safari/537.36"

Если в index.php прописать логирование $_SERVER / $_POST / $_GET и тд , то не пустой только $_SERVER

var_export $_SERVER

<?
'PATH' => '/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin',
'CONTENT_LENGTH' => '0',
'SCRIPT_NAME' => '/index.php',
'REQUEST_URI' => '/',
'QUERY_STRING' => '',
'REQUEST_METHOD' => 'GET',
'SERVER_PROTOCOL' => 'HTTP/1.0',
'GATEWAY_INTERFACE' => 'CGI/1.1',
'REMOTE_PORT' => '40638',
'SCRIPT_FILENAME' => '{путь до index}/index.php',
'CONTEXT_DOCUMENT_ROOT' => '{путь до домена}',
'CONTEXT_PREFIX' => '',
'REQUEST_SCHEME' => 'http',
'DOCUMENT_ROOT' => '{путь до домена}',
'REMOTE_ADDR' => '{IP адрес VPS}',
'SERVER_PORT' => '80',
'SERVER_ADDR' => '127.0.0.1',
'SERVER_NAME' => '{домен}',
'SERVER_SOFTWARE' => 'Apache/2.4.25 (Debian)',
'SERVER_SIGNATURE' => '<address>Apache/2.4.25 (Debian) Server at {домен} Port 80</address>
'HTTP_ACCEPT_ENCODING' => 'gzip',
'HTTP_USER_AGENT' => 'Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.157 Safari/537.36',
'HTTP_CONNECTION' => 'close',
'HTTP_X_FORWARDED_PROTO' => 'http',
'HTTP_X_FORWARDED_PORT' => '80',
'HTTP_X_FORWARDED_FOR' => '{IP адрес VPS}',
'HTTP_X_REAL_IP' => '{IP адрес VPS}',
'HTTP_HOST' => '{домен}',
'FCGI_ROLE' => 'RESPONDER',
'PHP_SELF' => '/index.php',
'REQUEST_TIME_FLOAT' => 1576834809.0801599,
'REQUEST_TIME' => 1576834809,

Крон задач не создана
Хостер уверяет, что проблема где то в скриптах. Тогда что может в php такое вызывать само по себе ?

Answer 1

[Пума Тайланд]

Тупой поиск по коду хттп запросов

Answer 2

[Boris Köln]

Кто-то делает http-запрос на ваш сайт. Что именно вас удивляет?
Кто (user-agent) и откуда (IP) указано. Хотя можно и подделать.
Возможно, какой-то сторонний сервис мониторинга.

Comments

[Виталий]

IP моего же VPS , т.е. запрос изнутри идет ... больше нету никакой инфы: кто / откуда и почему

[Boris Köln]

Возможно, какой-то сервис мониторинга от хостера. А некоторые сотрудники техподдержки об этом не знают.

[Виталий]

Boris Korobkov, про мониторинг - вариант

Answer 3

[Vitaly Karasik]

{IP адрес VPS}

вы видите тут адрес вашего сервера?

Comments

[Виталий]

да, там где обычно IP того, кто что то запрашивает

[Vitaly Karasik]

интересно!
а в остальных строчках лога клиентские адреса нормальные?

Крон задач не создан

он может быть и на уровне системы, и в апликации (например в Wordpress). Проверили все?

Как искать кто? Я бы отключил на 10 минут сеть и посмотрел исчез ли этот request.
Если нельзя отключить - то, наверно, запустить сниффер и анализировать.

[Виталий]

а в остальных строчках лога клиентские адреса нормальные?

Да, боты / юзеры и тд .. но если отфильтровать по IP сервера , то видна какая то активности внутри самого VPS , инициатор - PHP процесс.

По поводу внутренних кроноподобных функциях - как я понимаю процесс этого всего - для запуска должен быть внешний инициатор - PHP скрипт же не может сам себя вызвать просто так ?

[Vitaly Karasik]

По поводу внутренних кроноподобных функциях - как я понимаю процесс этого всего - для запуска должен быть внешний инициатор

да, должен быть инициатор - или крон, или вебсервер.