Как найти отправителя запросов на сервер?

Question

[pingo]

Помогите найти кто\откуда дёргает урл на сайте изнутри

ХХ.ХХ.ХХ.ХХ - - [09/Oct/2020:01:26:10 -1000] "GET /index.php?route=feed/bingshopping/generate HTTP/1.0" 200 4 "-" "-"

дёргает по 1к раз в час. ip - это ип сетевого интерфейса,
nginx отдаёт только HTTP/2 а в логах /1.0,
во всех кронах чисто
пробовал логировать $_SERVER, явно из внутри запросы
шоп - старый-добрый легаси код, mysql 8, redis, memecached, php7-fpm c nginx, bind, postfix,dovecot, всё.
чёт даже не знаю, как погуглить, если есть мысли, поделитесь.
спасибо, а то я админ тот еще

Comments

[profesor08]

Блокируй порты 20-50 и 400-450, если продолжится то отпиши тут

[ZATRIXLVV]

А оно всегда с разных IP адресов долбит? или IP это адрес вашего сервера\интранет? Как useragent можно по логам увидеть?

[acwartz]

nginx отдаёт только HTTP/2 а в логах /1.0,

ну вот и блокируйте 1.0/1.1

[pingo]

ZATRIXLVV, только с основного интерфейса
acwartz, надо понять, что это
profesor08, ок, попробую

[Saboteur]

Поломать роут и посмотреть кто в логах начнет ругаться?

[ZATRIXLVV]

1. нужно помониторить сеть, если есть возможность пакеты посниффать, TCP fingerprinting, есть возможность перенаправить http 1.0 запрос на другой сервер как-то? тогда можно скрипт подкинуть , но скоре всего это бот стучит с компа который malaware заражен.
Что значит с основного интерфейса, можно понятнее.?? Сетевой интерфейс и IP адрес это немного разные уровни сети не находите? у интерфейса может быть несколько адресов...

[ZATRIXLVV]

acwartz, т.е. запросы поступают НЕ через nginx с внутреннего серого адреса или как???

[pingo]

profesor08, Блокируй порты 20-50 и 400-450, если продолжится то отпиши тут

без результата

[profesor08]

pingo, видимо не заблокировал, так как должен быть заметный результат.

Answer 1

[xmoonlight]

conntrack