Discussion :

[iowa]

Bonjour à tous,

J'ai un soucis avec mon apache :

Version : 2
Système d'exploitation : Ubuntu
Cadre d'exploitation : Un serveur dédié hébergé chez Ovh

Symptômes : Lorsqu'on appelle mon adresse internet, on ne voit qu'une page blanche et la réponse HTTP vaut juste :

HTTP/0.9 200 OK

Et ceci peut importe ce qui est demandé, ça peut être :

• Le listing d'un répertoire
• Une image
• Une page HTML
• Une page PHP

Constaté avec deux navigateurs : IE 7 et FF 3

Exception : D'autre deamon sur d'autres ports comme murmur (voix sur IP) ssh ou encore un serveur de jeux peuvent être contacté sans aucun problème.

Firewall : Aucun d'installé à part iptables et qui est désactivé, j'ai vérifié (tous en POLICY ACCEPT) et pas de règle.

Logs : J'ai vérifié leur chemin dans le apache2.conf, le access.log et error.log m'apprenne rien d'intéressant.
Cependant l'access.log ajoute bien une entrée en fonction de la page demandée.
Il se situe par défaut dans : /var/logs/apache2

Élément déclencheur : rien de notable

Ce que j'ai essayé :

• Rédémarrage de Apache2, résultat : statut OK pas de warning rien
• Substitué l'arborescence web par un simple fichier html, résultat : même problème
• Contacter apache par le serveur en local, résultat : même problème que depuis l'extérieur

Je suis à cours d'idée, et je ne sais pas par ou rechercher
Merci d'avance pour votre aide.
Cordialement.

[Siguillaume]

Bonjour, je te conseillerai d'exposer le problème à OVH, l'hébergeur.

[_Mac_]

Bonjour, je te conseillerai d'exposer le problème à OVH, l'hébergeur.

OVH n'y pourra rien a priori, c'est un serveur dédié, sauf à prouver que ça vient d'eux. Tu as essayé de faire un test HTTP simple par telnet sur Apache depuis le serveur même, histoire d'éliminer l'hypothèse du réseau ? Si le telnet marche depuis le serveur, on pourra effectivement mettre en cause le réseau d'OVH et les contacter.

[iowa]

En effet, un serveur dédié

Mon serveur est down je ne peux donc pas vérifier par le telnet cependant est-ce-que cela pourrait être le fruit d'une attaque de type DoS ou DDoS ?

[_Mac_]

C'est possible, mais dans ce cas, vu que c'est Apache qui plante, j'imagine que tu verras des erreurs dans les logs ou des requêtes suspectes dans les logs d'accès d'Apache.

[iowa]

Merci pour ta réponse.

Mais je reste sur ma position du début :

Logs : J'ai vérifié leur chemin dans le apache2.conf, le access.log et error.log m'apprenne rien d'intéressant.
Cependant l'access.log ajoute bien une entrée en fonction de la page demandée.
Il se situe par défaut dans : /var/logs/apache2

[iowa]

L'analyse des logs montre une attaque w00tw00t

Comment la déjouer ?

Il y a aussi beaucoup de connexion en SYN_RECV comment les fermer svp ?

Merci beaucoup

[_Mac_]

Pas trop d'idée, je n'y connais rien en sécurité.

Tu as modifié les paramètres du keep-alive ? Quels sont-ils ?

[iowa]

Je ne connais pas ce paramètre mais apparament j'ai restreint le nombre de connexion sync_recv à 1/sec à l'aide de Iptables

Je vais bien voir ce que ça donne, mais je suis très intéressé par ton paramètre, qu'est-ce ?

[_Mac_]

KeepAlive, tout simplement, mais si tu n'y a pas touché tu as dû garder les 5 secondes par défaut et normalement c'est suffisant. Je ne sais pas ce qu'est un SYNC_RECV mais ça pourrait être le signe d'une attaque DOS donc ton paramétrage pourrait être plus adapté. Mais 1/sec ça fait peut-être un peu juste si ton site est fréquenté.