Weblog Error 400 & 408

[toosten]

Hi,

ich habe in meinem Weblog immer öfter solche Einträge:

( x- ersetzt durch mich )
xx.xx.xx.xx - - [16/Mar/2022:03:xx:xx+0000] "\n" 400 5097
xx.xx.xx.xx - - [16/Mar/2022:03:xx:xx+0000] "-" 408 148

[Nobbie]

400 = Bad Request Header
408 = Timeout


Im ersten Fall greift ein Client zu und schickt keinen vernünftigen HTTP Header (das ist das Protokoll, wie ein Browser eine Seite anfordert). Das ist beispielsweise der Fall, wenn man mit einem ungeeigneten Client zugreift, also beispielsweise mit einem EMail Client auf eine HTTP Seite zugriefen will. Das versteht der Browser nicht - Error 400.

Und der 408 bedeutet, dass der Client einfach nicht mehr weitermacht. Das passt dazu, der versteht wahrscheinlich auch nicht, was der Apache ihm schickt und hört dann auf. Dann gibt es irgendwann einen Timeout auf dem Server - Error 408.

Dein Logformat ist ein wenig mau, sonst könnte man vielleicht die Adresse (IP) des Cients erkennen, oder ob ggf. wenigstens teilweise ein HTTP Header vorliegt. Da nicht einmal die IP des Clients (Angreifers?) protokolliert wird, kann man gar nichts dazu sagen.

Die letrte Möglichkeit wäre, dass die protokollierte IP, die Du "durch mich" nennst, nicht die Server IP ist, sondern die Client IP. Das würde bedeuten, dass Du selbst auf Deinem Server irgendein Tool falsch konfiguriert hast, das jetzt regelmäßig Request auf Deinen Server schickt.

[toosten]

Diese Einträge habe ich im default.log:

xxx.xxx.216.44 - - [25/Mar/2022:xx:xx:08 +0000] "MGLNDD_80.158.7.94_80\n" 400 392
xxx.xxx.103.118 - - [24/Mar/2022:xx:xx:42 +0000] "\x16\x03\x01\x01D\x01" 400 392

Normalerweise müsste es so aussehen:
xxx.xxx.216.44 - - [25/Mar/2022:xx:xx:08 +0000] "GET /..." 200 392
xxx.xxx.216.44 - - [25/Mar/2022:xx:xx:08 +0000] "POST /..." 200 392

Gut das diese Zugriffe per 4xx abgebrochen werden, aber ich vermute auch, da wo jemand testet, gibt es irgend eine Lücke.

[Nobbie]

Für mich ist da maximal ein Sack Reis in China umgefallen. Nichts von nichts wegen nichts.