Trackback spam swamping my apache...

Montag, 9. April 2007

In the last few days my Apache web server had a few stability problems. The symptom were httpd processes accumulating, eventually filling up all available slots inside the apache daemon.

Looking at the server-status, we find a large number of processes being stuck in s9y trackback processing POST requests like these:

CODE:

... 200.238.102.162 mysqldump.azundris.com

POST /comment.php?type=trackback&entry_id=7 HTTP/1.1

The IP shown is a .br IP trackbacking a very old (entry_id=7) article on mysqldump.azundris.com. A back-request against these types of IP numbers ends in either an open proxy or a firewalled and stuck connection.

This type of backchecking is precisely what the S9Y spamblock plugin does if you enable "Check Trackback URLs: Only allow trackbacks, when its URL contains a link to your blog". A workaround is to disable this backchecking.

But it is always better to fix things instead of working around bugs. So looking at the S9Y trackback processing code we find in plugins/serendipity_events_spamblock/ serendipity_events_spamblock.php the following:

CODE:

812 // Check Trackback URLs?

813 if ($addData['type'] == 'TRACKBACK' &&

serendipity_db_bool($this->get_config('trackback_check_url'))) {

814 require_once S9Y_PEAR_PATH . 'HTTP/Request.php';

815

816 if (function_exists('serendipity_request_start'))

serendipity_request_start();

817 $req = &new HTTP_Request($addData['url'],

array('allowRedirects' => true,

'maxRedirects' => 5));

No readTimeout attribute is specified for HTTP_Request. Thus, this type of request can hang indefinitely and will occupy an apache process slot.

An attempt at fixing this:

CODE:

817 $req = &new HTTP_Request($addData['url'],

array('allowRedirects' => true,

'maxRedirects' => 5,

'readTimeout' => array(5, 0)));

We will see how this affects the performance.

Geschrieben von Kristian Köhntopp in Blog, PHP um 19:41 | Kommentare (12) | Trackback (1)

Tags für diesen Artikel: blog, php, s9y, spam, trackback

Artikel mit ähnlichen Themen:

Trackbacks

Trackback-URL für diesen Eintrag

Kris hat's gefunden.
Ich hatte mich vor einiger Zeit über ein seltsames Verhalten meines oder Kris' S9Y gewundert. Bis heute morgen blieb mir der Vorgang ein Rätsel. Jetzt hat Kris gefunden, woran es lag. Wobei er natürlich eigentlich ein anderes Problem gleicher Ursache l

Weblog: Ingo Heinscher - Blog
Aufgenommen: Apr 10, 06:17

Kommentare

Ansicht der Kommentare: (Linear | Verschachtelt)

Das gleiche Problem konnte ich auch bei meinem Server feststellen, obwohl ich nicht die beste Blog-Engine der Welt (TM) benutze.

Das Spamkarma-Plugin prüft bei Trackbacks ebenfalls die verlinkte URL, leider haben die Spammer dazu gelernt -- ich konnte bei mehreren Seiten beobachten, dass die verlinkten URLs mehrere MB Daten zurück liefern und damit WP/SK2 an den Rande des Nervenzusammenbruchs treiben.

#1 Jean Pierre (Link) am 10.04.2007 18:42 (Reply)

Hab ebenfalls das Problem, allerdings hilft diese Massnahme bei mir nur begrenzt.

Der Slot ist halt in dem Moment schon vergeben :-/

Konntest du ne Verbesserung bemerken?

#1.1 echox (Link) am 11.04.2007 20:50 (Reply)

Bei mir hat das ein wenig zur Beruhigung beigetragen, allerdings wertete ich noch (derzeit manuell) das spamblock.log aus, das s9y schreiben kann und werfe die am häufigsten vorkommenden IPs in den Filter (via iptables).

Alleine das wegfiltern von 200.238.102.0/24 hat einiges gebracht: 58039 abgelehnte Versuche seit 3 Tagen (und das bei meinem kleinen und unwichtigen Blog!).

Derzeit bastele ich an einer fail2ban-Lösung, aber leider frisst dieses das Datum der Log-Datei (noch) nicht. Alternativ wäre auch ein direktes Zugreifen auf die Datenbank denkbar, wenn man nicht in eine Datei loggen will.

#1.1.1 Sven Hartge (Link) am 11.04.2007 22:29 (Reply)

Der Gedanke ist mir auch schon gekommen, also einfach nen kleinen Daemon zu schreiben der n Blick auf das Apachelog hat und bei entsprechender Anzahl von Trackbacks die IP bannt.

Hilft leider bei nem Botnetz mit X verschiedenen IPs nicht viel, wobei gegen ein Botnetz leider eh nicht all zuviel hilft :-/

Dass dieses AntiSpamPlugin ein Log fuehrt hatte ich ganz vergessen und sollte die Sache jetzt um einiges leichter machen.

Mal sehen wann ich dazu komme :)

#1.1.1.1 echox (Link) am 11.04.2007 22:59 (Reply)

fail2ban ist eine solche "Fertiglösung".

Aber ein hinreichend modernes S9Y sperrt IP-Nummern sowieso selber, wenn man es läßt (d.h. es die .htaccess beschreiben darf).

Hier in diesem Moment:

#SPAMDENY

Deny From 168.73.240.80,193.202.63.138,195.189.246.44,198.151.39.35,

200.238.102.162,200.238.102.170,200.41.39.124,

201.70.172.6,203.145.131.158,203.247.156.16,

213.30.141.186,218.108.89.250,218.235.88.39,

218.26.247.186,218.94.80.9,220.135.8.193,

222.110.112.154,222.66.48.253,61.144.122.45,

64.8.194.195,80.17.42.75,80.50.82.90,

83.17.235.18,85.185.36.133,85.214.77.184,

85.48.226.14

#/SPAMDENY

#1.1.1.1.1 Isotopp (Link) am 12.04.2007 07:20 (Reply)

Naja, laut Garvin ist das doch sehr experimentell und zerschlägt manchmal die .htaccess komplett (siehe Forum).

Außerdem wurde mein Server recht langsam, nachdem die IP-Liste über 300 Einträge groß geworden war.

#1.1.1.1.1.1 Sven Hartge (Link) am 12.04.2007 12:39 (Reply)

Ich habe mit es mit ungefähr 8 Zeilen in der httpd.conf / .htaccess geschafft, ca. 99% aller Spams vom Apache ausfiltern zu lassen.

Auf Anfrage teile ich dieses Wissen gerne, solange dies nicht so weiterverbreitet wird, dass man es per Suchmaschine finden kann. Schließlich möchte ich den Spammern nicht noch Nachhilfe geben.

#2 SvOlli (Link) am 12.04.2007 16:40 (Reply)

Ich bitte darum. Meine Mail-Adresse ist ja im Kommentar enthalten.

#2.1 Sven Hartge (Link) am 12.04.2007 17:22 (Reply)

Hi,

auch ich bitte darum. Vertraulich :)

Danke!

#2.2 ff (Link) am 13.04.2007 01:36 (Reply)

Neugierig waer ich denn auch inzwischen...

Auf 99% komm ich mit meinem Perlscript naemlich nicht :)

#2.3 echox (Link) am 13.04.2007 10:06 (Reply)

bin auch interessiert ... mail ueber homepage ... thx.

#2.4 Juergen (Link) am 16.04.2007 20:56 (Reply)

Ehrlichgesagt komm ich auch damit nicht auf 99%. Natuerlich ne Steigerung und ne nette Idee, aber irgendwie :)

Jaja, die Suche nach dem Stein der Weissen ;-)

#2.5 echox (Link) am 16.04.2007 21:09 (Reply)

Kommentar schreiben

Name
E-Mail
Homepage
Antwort zu
Kommentar	Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss, um dieses Verfahren anzuwenden. Hier die Zeichenfolge der Spamschutz-Grafik eintragen: Umschließende Sterne heben ein Wort hervor (wort), per _wort_ kann ein Wort unterstrichen werden. BBCode-Formatierung erlaubt
	Daten merken?