enorme stijging website bezoekers (alleen hoofdpagina)

[Davidoff402]

Het volgende probleem heb ik sinds een aantal dagen:

Iedere dag wordt nu vanaf enorm veel willekeurige ip-adressen de indexpagina opgevraagd van een van onze websites. Bezoekersaantallen zijn nu verdrievoudigd t.o.v. een aantal weken geleden. Is natuurlijk wel leuk voor de visitor statistieken, maar ik weet dat dit een vorm van ongeoorloofd gebruik is van onze webserver. De pc die dit veroorzaakt is een 98 machine met ie5.5 (altijd), welke via veel ip-adressen connect om de paar minuten. Dit is alleen gericht op 1 website, de anderen hebben er geen last van.

Ik heb vernomen dat dit gebeurt omdat er nog ergens een beveiligingslek is.
Alle (onnodige) poorten zijn dicht en alle security gerelateerde patches, ingrepen zijn uitgevoerd.

Wie kan mij uitleggen wat dit veroorzaakt en hoe te zorgen dat dit stopt?

De webserver draait IIS5 & Windows 2000 Server SP4

[avon]

Wordt alleen de index geopend en totaal geen andere pagina?
anders zou je URLscan kunnen installeren (iislockdown).

Als je de adressen gaat checken; waar kom je dan uit?
Misschien is het een gespoofd adres; welke vanuit 1 pc te werk gaat.

(het is toch geen IIS probleem Korakal want bij een andere webserver
zou het probleem blijven bestaan....)

(BeZaX; dan zouden er toch andere combi's moeten onstaan)

[ Voor 74% gewijzigd door avon op 11-09-2003 13:39 ]

[Korakal]

IIS probleempjes mogen in Software Algemeen, move'je bij deze.

[BeZaX]

Misschien staat jouw URL op een website met veel bezoekers en krijg je daarom nu in één klap veel bezoekers... Wat is je aantal in bezoekers nu? Je zegt verdrievoudigd. Is dat nu bijvoorbeeld:

100 > 300 (Niet verdacht)
4000 > 12000 (Wel verdacht)

Daar zit dus wat verschil tussen...

[ Voor 9% gewijzigd door BeZaX op 11-09-2003 13:39 ]

[Davidoff402]

Het zijn inderdaad adressen die bij RIPE niet bekend zijn en dus niet op naam staan. Zijn er middelen tegen die dit ongeoorloofde gebruik tegengaan?

Het is alleen de indexpagina die iedere keer geladen wordt. Rond de 150x per dag.
Er vormen zich geen problemen hoor maar is niet fijn als je ziet dat iemand je website zo misbruikt.

[avon]

als je een trace uitvoert op zo'n adres; waar kom je dan uit ?!

[ Voor 4% gewijzigd door avon op 11-09-2003 13:42 ]

[Davidoff402]

Er zijn geen referrers bij deze ip's.

Hier een voorbeeld:

2003-09-02 00:39:08 67.112.86.101 - W3SVC3 80 GET /index.htm - 200 64 0 190 171 HTTP/1.1 Mozilla/4.0+(compatible;+MSIE+5.5;+Windows+98) - -
2003-09-02 00:39:08 67.112.86.101 - W3SVC3 80 SEARCH / - 501 50 280 43 0 HTTP/1.1 - - -
2003-09-02 00:56:11 24.107.4.117 - W3SVC3 80 GET /index.htm - 200 0 4707 176 581 HTTP/1.1 Mozilla/4.0+(compatible;+grub-client-1.4.3;+Crawl+your+own+stuff+with+http://grub.org) - -
2003-09-02 00:57:43 67.66.230.116 - W3SVC3 80 GET /index.htm - 200 64 0 190 1742 HTTP/1.1 Mozilla/4.0+(compatible;+MSIE+5.5;+Windows+98) - -
2003-09-02 00:57:45 67.66.230.116 - W3SVC3 80 SEARCH / - 501 50 280 43 0 HTTP/1.1 - - -
2003-09-02 01:04:32 66.1.23.224 - W3SVC3 80 GET /index.htm - 200 64 0 190 220 HTTP/1.1 Mozilla/4.0+(compatible;+MSIE+5.5;+Windows+98) - -

Af en toe... en dan bedoel ik af en toe staat er reclame in de logs zoals je hierboven kunt zien. Het is voor mij een vorm van SPAM en daar ben ik fel tegen.

Bezoekers zijn van rond de 30 naar 180 gestegen op sommige dagen.
Dus hierbij 600% meer "bezoekers"

[ Voor 3% gewijzigd door Davidoff402 op 11-09-2003 13:47 ]

[DieterVDW]

150x per dag is toch echt wel niks?
(Hoeveel bezoekers krijgt je site normaal per dag btw?)
En als je er geen last van hebt en je server goed beveiligd is,
waar maak je je dan zorgen om?
Waarom zie je dat trouwens als misbruik?
Als je een site online zet dan is die publiek bezit.
Als je niet wil dat mensen die je niet kent je site bezoeken,
dan moet je maar een soort van authenticatie of zo installeren.
Ik zie eerlijk gezegd niet waarom dit zo'n probleem is...

[edit:] 'Enorme' stijging van bezoekers is trouwens ook wel sterke taal als het maar om 150 bezoekers gaat...

[ Voor 12% gewijzigd door DieterVDW op 11-09-2003 13:52 ]

[Davidoff402]

adsl-67-66-230-116.dsl.tulsok.swbell.net
overland10k.mo24.107.4.117.charter-stl.com
adsl-35-222-145.mgm.bellsouth.net

Iedere keer ergens anders vandaan. (Trace)

[ Voor 3% gewijzigd door Davidoff402 op 11-09-2003 14:01 ]

[Davidoff402]

Ok, je hebt wel gelijk met 150 dat het weinig is, maar het gaat meer om waarom dit van 1 pc afkomt die via enorm veel ip-adressen de indexpagina laadt. Okee, stel dat het bij de 50 websites gebeurt, iedere dag. Dat wil dus zeggen 150x50, dat is dus toch 7500 bezoekers per dag meer. Alles is relatief natuurlijk.

Weet iemand hoe dit mogelijk is? Dan zou ik het ook kunnen afschermen misschien.

[Eastern]

Als tie niet in ripe staat kan die wel in de amerikaanse of aziatische database staan! k'Heb ff geen url, ripe is alleen voor europa.

[Cavorka]

No offense... maar ehm, het probleem is dus dat mensen je website bezoeken?

En dat ze van willekeurige IP's komen zegt ook niet zo heel veel. Dat ze geen referers hebben is daarentegen wel weer verdacht...

Wat zijn de stats betreffende de gebruikte browser? Als het ook nog eens allemaal verschillende browsers zijn dan lijkt het me toch niet echt een probleem.

[ Voor 29% gewijzigd door Cavorka op 11-09-2003 14:04 ]

[avon]

DieterVDW schreef op 11 September 2003 @ 13:51:

- 1 flame... Steiging is natuurlijk altijd relatief hé

Misschien ben je opgenomen in een zoek systeem of iets dergelijks?

Aut. heeft geen zin; dan nog wordt de pagina bezocht; eigenlijk is er
niks aan te doen vooral omdat het niet van een gelijk ip adres afkomt.

>Jelle Niemantsverdriet .... er zijn geen referrers bij deze ip's... (zie boven)

[ Voor 42% gewijzigd door avon op 11-09-2003 14:07 ]

[Davidoff402]

Op Arin behoren de ip's aan allerlei verschillende (amerikaanse) organisaties.
Iedere keer andere hostnames enzo.

[Jelle Niemantsverdriet]

Hoe weet je zo zeker dat het om 1 PC zou gaan?
Waarom denk je dat het om misbruik gaat? De logs lijken daar nou niet direct op te wijzen, er wordt alleen maar een kale index.htm opgevraagd.

Is je site niet gewoon opgenomen in een zoekmachine oid? Je kunt proberen of je de HTTP_REFERER kunt uitlezen, of je kunt proberen een cookie te plaatsen bij het eerste bezoek.

[chem]

Het feit dat-ie een SEARCH / doet is wel apart, je kan er donder op zeggen dat dat geen gewone browser is, en waarschijnlijk die grub-client.

[job]

ik snap inderdaad niet hoe je erbij komt dat het 1 pc zou zijn, die allerlei ip's gebruikt.
die stijging is wel bijzonder, maar om nou te denken dat er iemand is die voor de lol allerlei ip's gaat spoofen, en je site opvraagt.

[ Voor 55% gewijzigd door job op 11-09-2003 14:08 ]

[Davidoff402]

Yes,

Eerst wordt de index opgevraagd met het 98 station en daarna altijd een SEARCH /
Kijk, er zijn genoeg adressen die de cmd proberen te laden enzo, maar dit is naar mijn mening 1 pc (doet zich voor) die verschillende ip's gebruikt om iedere keer een 501 op de SEARCH / te krijgen.

[avon]

Davidoff schreef op 11 September 2003 @ 14:10:
Yes,

Eerst wordt de index opgevraagd met het 98 station en daarna altijd een SEARCH /
Kijk, er zijn genoeg adressen die de cmd proberen te laden enzo, maar dit is naar mijn mening 1 pc (doet zich voor) die verschillende ip's gebruikt om iedere keer een 501 op de SEARCH / te krijgen.

Daar heeft volgens mij iedereen wel zijn logjes mee vol staan...
Heb je die URLscan al geinstalleerd?

[Verwijderd]

Kan het niet zo'n concurrentiescanner zijn? DEZE komt bij ons heeel erg vaak langs. Elke maand zo'n 200x.

[F_J_K]

DieterVDW schreef op 11 September 2003 @ 13:51:
[edit:] 'Enorme' stijging van bezoekers is trouwens ook wel sterke taal als het maar om 150 bezoekers gaat...

Wat voor de een weinig is (www.tweakers.net) is voor de ander heel veel (www.ikzalnietspemmenmaarikbedoeldepaginavanmijnbroertje.nl) en procentueel gezien kan 150 heel veel zijn

Een keertje of wat door een bot bekeken worden OK, maar dit is overdreven. Als het blijft gebeuren zou je grub een mailte kunnen sturen (met een relevant deel van je log erbij natuurlijk).

[Davidoff402]

Owkee, wat ik nu gedaan heb is nogmaals de ISSLockdown gedraaid. Andere template gekozen en de sites opnieuw toegevoegd. Ook heb ik nu de UrlScan aangezet, welke niet actief was. Aangezien ik nu ook de eventuele search / kan filteren zou ik kijken of het hiermee een beetje kan stoppen.

tweakers.net heeft inderdaad duizenden bezoekers. Is ook een nieuwssite welke algemeen bekend is onderhand. Veel terugkerende gebruikers. Bij het geval van een online training, visitekaart of whatever is 50 --> 150 zeer veel.

Maargoed, ik zal het in de gaten gaan houden nu hoe de filter reageert en hoe ons win98 mannetje aan de andere kant gaat ophouden.

We zullen zien... Tnx

[avon]

Let er wel op dat een zoekbot nu ook stuit op die URLscan...
(wel even handig om te vermelden hé.. geen idee of het
mogelijk is vanaf bepaalde ip adressen URLscan niet te activeren.)

[Davidoff402]

Yes,
Inderdaad:

2003-09-11 23:49:16 65.92.89.166 - W3SVC2 80 GET /index.htm - 200 64 0 190 220 HTTP/1.1 193.67.114.227 Mozilla/4.0+(compatible;+MSIE+5.5;+Windows+98) - -
2003-09-11 23:49:16 65.92.89.166 - W3SVC2 GET /<Rejected-By-UrlScan> ~/ 404 123 4203 43 0 HTTP/1.1

Blablabla... Hmm... is hier nou echt niets tegen te doen? Heeft dit nu te maken met een of ander lek in onze webserver of is het gewoon een spoofing irritantje?

[ Voor 3% gewijzigd door Davidoff402 op 12-09-2003 11:24 ]

[Davidoff402]

Kan iemand duidelijk maken of dit met een 'lek' te maken heeft en of er iets aan te doen is?
Het lijkt alleen maar erger te worden en het haalt de complete logfiles in de war. Ik ben er niet zeker van of dit ergens bij grub vandaan komt. Iemand ervaringen met Grub / LookSmart?

[Davidoff402]

het bezoek stijgt nog steeds. Iedere keer vanaf een ander IP adres. Heel erg irritant. Nog steeds doet het zich voor als een windows98 machine. Weet iemand hoe dit zou kunnen komen en of er een oplossing voor kan zijn om dit tegen te houden? of moeten we de logfiles maar gewoon laten verkloten?

De logfiles heb ik zodanig laten aanpassen dat alle mensen die op de website alleen maar de indexpagina bezoeken niet meetelt.

Dit lost mijn probleem met logfiles op maar het is alleen maar een verdoezeling van de vele "onrechtmatige" nep bezoekers.

[ Voor 30% gewijzigd door Davidoff402 op 21-10-2003 14:01 ]