A priori, un fichier watchdog de Mysql qui grandit est un signe d'activité du site web l'utilisant.
Dans les logs Apache, détection d'une IP qui floode un peu (1 000 000 de requêtes depuis hier) :
(April) root@drupal6:/var/log/apache2# zgrep -n 42.49.180.xx www.april.org.access.log |wc -l
227493
(April) root@drupal6:/var/log/apache2# zgrep -n 42.49.180.xx www.april.org.access.log.1 |wc -l
798642
(April) root@drupal6:/var/log/apache2# head -1 www.april.org.access.log www.april.org.access.log.1
==> www.april.org.access.log <==
109.234.x.x - - [02/Jan/2019:06:25:24 +0100] "GET /lav.xml HTTP/1.0" 200 664657 "-" "-"
==> www.april.org.access.log.1 <==
109.234.x.x - - [01/Jan/2019:06:25:28 +0100] "GET /lav.xml HTTP/1.0" 200 664657 "-" "-"
Les requêtes ne sont pas gentilles :
"GET /en/category/ HTTP/1.0" 404 22282 "https://www.april.org:443/" "uB8ZDnn6';select pg_sleep(3); --"
"GET /en/category/ HTTP/1.0" 404 22282 "https://www.april.org:443/" "CKZULjdk');select pg_sleep(6); --"
"GET /en/print/node HTTP/1.0" 200 6888 "https://www.april.org:443/" "Xz2SwCKV'));select pg_sleep(9); --"
"GET /en/category/ HTTP/1.0" 404 22282 "https://www.april.org:443/" "9QghF5Ig'));select pg_sleep(6); --"
"GET /en/print/node HTTP/1.0" 200 6888 "https://www.april.org:443/" "(select convert(int,CHAR(65)))"
"GET /en/category/themes/ HTTP/1.0" 404 18649 "https://www.april.org:443/" "(select(0)from(select(sleep(6)))v)/*'+(select(0)from(select(sleep(6)))v)+'\"+(select(0)from(select(sleep(6)))v)
L'IP semble être utilisée en Chine :
whois 42.49.180.xx
[…]
inetnum: 42.48.0.0 - 42.49.255.255
netname: UNICOM-HN
descr: China Unicom HuNan province network
descr: China Unicom
descr: No.21,Jin-Rong Street,
descr: Beijing 100033
country: CN
Ban de l'IP sur la VM bastion dans /etc/nginx/sites-available/sites-enabled/www.april.org :
location / {
# Ban IP from cracker generating huge Mysql watchdog file (#3532).
deny 42.49.180.18;
proxy_pass http://172.16.0.7;
}
Constatation : le fichier watchdog de Mysql grandit 5 fois moins vite : passe de ~30Mo/h à ~5Mo/h.
À étudier :
- débannir l'ip ;
- consolider l'espace disque Mysql pour résister à de « plus » fortes sollicitations.