Получил от техподдержки где размещен vds письмо: Кратко "якобы с одного из вашего сайта идет атака. Поступила жалоба. Но мы не скажем/не входит в обязанности. Вот типа логи человека, который пожаловался. Устраняйте. А еще лучше мы устраним за 4500 за сайт." Вопрос как мне вычислить правда ли это? Помогите, пожалуйста
Выдержка из логов которые прислал автор жалобы:
we detected a DOS attack from your network.
Below the logs.
------------------------------------------
МойАйПиСервера - - [05/Mar/2020:12:15:35 +0100] "GET /wp-login.php HTTP/1.1" 200 2028 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
МойАйПиСервера - - [05/Mar/2020:12:15:36 +0100] "POST /wp-login.php HTTP/1.1" 200 2423 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
МойАйПиСервера - - [05/Mar/2020:12:15:37 +0100] "GET /wp-login.php HTTP/1.1" 200 2028 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
МойАйПиСервера - - [05/Mar/2020:12:15:38 +0100] "POST /wp-login.php HTTP/1.1" 200 2391 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
МойАйПиСервера - - [05/Mar/2020:12:15:39 +0100] "GET /wp-login.php HTTP/1.1" 200 2028 "-" "Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:62.0) Gecko/20100101 Firefox/62.0"
И так далее.... на 5 страниц ворда
Пробую настроить логи исх трафика.
sudo tcpdump 'port 80' and src host МойАйПиСервера -w /tmp/http.log
исх трафик в логах на левые сайты подтвердился, но откуда идет пока не могу вычислить :( Может запрос к tcpdump другой нужен? Можно вычислить от какого файла идет обращение?
netstat -ntp | grep :80
покажет список процессов с ESTABLISHED соединениями в куда-то там (если не покажет, то может попали в паузу между запросами и стоит запустить ещё раз), можно пробежаться по PID и посмотреть кто это/proc/номер
вручную сходить и содержимое посмотреть