Download/Upload bij bezoek eigen website

[QUILIX]

Sinds een week of 2 wordt er gedownload en geupload van mijn pc als ik een website van mij bezoek. Laten we het X.nl noemen. Volgens mij is dit probleem aan mijn IP nummer gekoppeld, want als ik via een ander pc de website bezoek wordt er niets gedownload. Het is mijn website (ik heb het zelf ontworpen en geupload).

Ik gebruik een goede firewall, een goede virusscanner en goede ad scanner. Alles is schoon. Er is ook niets geinfecteerd op de server en de website. Als ik mijn andere websites/domeinen bezoek gebeurt er niets. Geen probleem. Maar als ik X.nl bezoek dan zie ik dat er gedownload wordt met 300 kb/s en geupload met 300 kb/s. Via 'netstat' zie ik ook niets raars. Alleen een paar verbindingen met de server (provider). Ik kan ook niet ontdekken wat mijn pc download of wat er geupload wordt.

Als ik X.nl verlaat, dan stop de download/upload niet. Om het te laten stoppen moet ik IE afsluiten. Deze probleem heb ik niet als ik mijn website met bijvoorbeeld Firefox bezoek. Ook wordt er niet gedownload/geupload als ik de site bezoek via een ander pc met een ander IP nummer.

Enig idee wat het kan zijn? Ik heb zeer uitgebreid gezocht naar virussen en trojans, maar er is geen probleem gevonden.

[DennusB]

Je download altijd als je een website bezoekt ?

[QUILIX]

DennusB schreef op dinsdag 20 oktober 2009 @ 12:06:
Je download altijd als je een website bezoekt ?

Nee, als ik mijn website bezoek (1 website), dan begint mijn pc automatisch met downloaden en uploaden. Dit gaat constant door met 300 kb/s. Ik kan aan de statistieken zien dat er gedownload/geupload wordt met deze snelheid. En ik kan niet vinden waar dit aan ligt.

[ Voor 11% gewijzigd door QUILIX op 20-10-2009 12:09 ]

[Verwijderd]

flash, stream, audio?

[DennusB]

QUILIX schreef op dinsdag 20 oktober 2009 @ 12:08:
[...]


Nee, als ik mijn website bezoek (1 website), dan begint mijn pc automatisch met downloaden en uploaden. Dit gaat constant door met 300 kb/s. En ik kan niet vinden waar dit aan ligt.

Heb je een link van de site? Dan kan ik eens kijken of het hier ook zo is

[QUILIX]

Verwijderd schreef op dinsdag 20 oktober 2009 @ 12:09:
flash, stream, audio?

Nee geen flash, stream of audio. Alleen een tekst website.

[QUILIX]

DennusB schreef op dinsdag 20 oktober 2009 @ 12:09:
[...]


Heb je een link van de site? Dan kan ik eens kijken of het hier ook zo is

Liever niet
Ik kom nu ook achter dat er 90 GB dataverkeer is gebruikt, terwijl de maandelijkse limiet 10 GB is. Erg raar.

[DennusB]

QUILIX schreef op dinsdag 20 oktober 2009 @ 12:12:
[...]


Liever niet
Ik kom nu ook achter dat er 90 GB dataverkeer is gebruikt, terwijl de maandelijkse limiet 10 GB is. Erg raar.

Dat gaat je heel veel geld kosten dus.
Ik zou je HTML files maar even doorspitten op gekke dingen. Ik gok dat iemand je FTP/HTML misbruikt

[BtM909]

QUILIX schreef op dinsdag 20 oktober 2009 @ 12:08:
[...]


Nee, als ik mijn website bezoek (1 website), dan begint mijn pc automatisch met downloaden en uploaden. Dit gaat constant door met 300 kb/s. Ik kan aan de statistieken zien dat er gedownload/geupload wordt met deze snelheid. En ik kan niet vinden waar dit aan ligt.

Dan moet je maar gaan uitzoeken wat voor data er gedownload / geupload wordt. Heb je al geprobeerd om met iets als Wireshark je data te analyseren?

Het is namelijk heel lastig als je niet kan vertellen wat de website is en wat voor data er geupload / gedownload wordt

[QUILIX]

BtM909 schreef op dinsdag 20 oktober 2009 @ 12:15:
[...]

Dan moet je maar gaan uitzoeken wat voor data er gedownload / geupload wordt. Heb je al geprobeerd om met iets als Wireshark je data te analyseren?

Het is namelijk heel lastig als je niet kan vertellen wat de website is en wat voor data er geupload / gedownload wordt

Ik heb Wireshark gedownload en krijg de gegevens (constant):

[BtM909]

Wat is je destination IP adres dan? Is dat je website?

[Herko_ter_Horst]

Lijkt er wel op: gehost bij PC Extreme.

Er staat iets in de log over BMC PatrolAgent, komt dat je bekend voor (m.a.w. heb je dat geinstalleerd staan)? En ik zie alleen maar 302's (mogelijk naar een error page, die misschien ook weer een redirect doet, waardoor je in een eindeloze lus komt). Kun je in de server logs zien welke URLs er worden opgevraagd?

[ Voor 102% gewijzigd door Herko_ter_Horst op 20-10-2009 15:15 ]

[QUILIX]

BtM909 schreef op dinsdag 20 oktober 2009 @ 15:02:
Wat is je destination IP adres dan? Is dat je website?

Klopt. De website wordt gehost bij Pcextreme.

Herko_ter_Horst schreef op dinsdag 20 oktober 2009 @ 15:10:
Lijkt er wel op: gehost bij PC Extreme.

Er staat iets in de log over BMC PatrolAgent, komt dat je bekend voor (m.a.w. heb je dat geinstalleerd staan)? En ik zie alleen maar 302's (mogelijk naar een error page, die misschien ook weer een redirect doet, waardoor je in een eindeloze lus komt). Kun je in de server logs zien welke URLs er worden opgevraagd?

Ik heb geen BMC Patrol Agent of iets dergelijks geinstalleerd. Na onderzoek op Google kwam ik wel achter dat er een bepaalde exploit is. Een errorpage die een redirect doet heb ik ook niet kunnen ontdekken.

Ik heb maar een mail gestuurd naar de support afdeling. Als ik een antwoord ontvang zal ik het hier vermelden.

[ Voor 65% gewijzigd door QUILIX op 20-10-2009 16:15 ]

[QUILIX]

We zijn achtergekomen wat het probleem was. De .htaccess verwees naar een 404.html bestand in de errors directory. Die heb ik waarschijnlijk een maand of 2 geleden verwijderd. Omdat de .htaccess steeds naar een niet bestaand map verwees, is 200 GB aan verkeer verbruikt. Dat zegt de provider tenminste. Of het systeem dan daadwerkelijk 200 GB aan verkeer verbruikt weet ik niet.

[BastiaanN]

Zou goed kunnen. De reden dat je dit dan niet hebt met firefox is omdat firefox een eindeloze lus detecteerd en dan stopt met het opvragen van die specifieke file.

[anandus]

QUILIX schreef op woensdag 21 oktober 2009 @ 11:55:
We zijn achtergekomen wat het probleem was. De .htaccess verwees naar een 404.html bestand in de errors directory. Die heb ik waarschijnlijk een maand of 2 geleden verwijderd. Omdat de .htaccess steeds naar een niet bestaand map verwees, is 200 GB aan verkeer verbruikt. Dat zegt de provider tenminste. Of het systeem dan daadwerkelijk 200 GB aan verkeer verbruikt weet ik niet.

Wow, 200Gb
Moet je nu bijbetalen?

[BtM909]

Hoe zou er in hemelsnaam 200GB aan data verbruikt worden door het simpelweg ophalen van wat header data

[QUILIX]

anandus schreef op woensdag 21 oktober 2009 @ 12:01:
[...]
Wow, 200Gb
Moet je nu bijbetalen?

Yep. 285 euro bijbetalen. Dit is van september. Voor deze maand ook nog denk ik. Geld dat ik niet heb helaas. Ik heb de administratie gevraagd voor een regeling, want ik heb 15 domeinen en een server dat dan in gevaar komt.

[QUILIX]

BtM909 schreef op woensdag 21 oktober 2009 @ 15:20:
Hoe zou er in hemelsnaam 200GB aan data verbruikt worden door het simpelweg ophalen van wat header data

HTTP Status codes* | Hits | Percent | Bandwidth
302 Moved temporarily (redirect) | 444813026 | 99.9 % | 201.17 GB

Zoals je hierboven ziet heeft een redirect page ruim 201 GB aan verkeer verbruikt. Ik vind het wel raar. Dit is ontzettend veel voor een redirect naar een niet bestaande pagina.

Wat ik ook raar vind is het volgende: Dit is toch interne verkeer? Men download toch niets?

[anandus]

QUILIX schreef op woensdag 21 oktober 2009 @ 18:31:
[...]


HTTP Status codes* | Hits | Percent | Bandwidth
302 Moved temporarily (redirect) | 444813026 | 99.9 % | 201.17 GB

Zoals je hierboven ziet heeft een redirect page ruim 201 GB aan verkeer verbruikt. Ik vind het wel raar. Dit is ontzettend veel voor een redirect naar een niet bestaande pagina.

Wat ik ook raar vind is het volgende: Dit is toch interne verkeer? Men download toch niets?

201.17GB/444813026hits ~ 450byte/hit, dus lijkt wel mogelijk.

[QUILIX]

anandus schreef op woensdag 21 oktober 2009 @ 18:35:
[...]
201.17GB/444813026hits ~ 450byte/hit, dus lijkt wel mogelijk.

En dat bij niet meer dan 100 bezoekers per dag?

Maar de provider heeft meegedacht en de factuur gecrediteerd voor deze keer. Dus ik ben in ieder geval af van de 285 euro

[anandus]

QUILIX schreef op woensdag 21 oktober 2009 @ 18:48:
[...]


En dat bij niet meer dan 100 bezoekers per dag?

Ik weet ook niet hoe dat mogelijk is, misschien dat iemand met meer verstand er iets over weet?