Erik, en av stjärnorna bakom det underbara webhotellet pÃ¥ http://manufrog.com/ kontaktade mig idag och berättade i korthet att en server gick som sirap, det var svÃ¥rt att köra säkerhetskopieringen och att han kunde knappt ens logga in för att se vad som var fel. Han kunde konstatera att min domän var skyldig till den höga belastningen, och att det var ett enskilt skript, en enskild webb-sida, som sänkte servern. Det var min wp-rss2.php, ett skript som levererar rss-flöden, och han bad mig kolla vad det var som var fel, om det var nÃ¥got tokigt med skriptet. Normalt skulle Erik ha löst detta problem snabbt själv, men det var nog lite svÃ¥rt när han knappt kunde logga in. Jag vet hur tufft det kan vara att försöka analysera en server som är för överbelastad (tydligen tuggade “min” wp-rss2.php i sig 140 % av CPU-tiden pÃ¥ en dubbelkärnig processor, sjukt mycket).

Jag kollade snabbt på Wordpress-sajten, hittade inget där om kända problem med wp-rss2.php, kollade logganalyserna genom webhotellet, det stämde att det var ofantligt många anrop till det skriptet, så jag laddade hem de råa loggfilerna och körde tittade på dem. Redan när jag tittade snabbt på loggarna såg jag att en IP-adress verkade skyldig, med upp till 3-4 anrop per minut. Det följande fick jag fram när jag fördjupade analysen lite:

jadler@server:_{/nyfiken.org/nyfiken-log$ grep index.xml nyfiken.org|grep 193.200.86.17|wc -l
576
jadler@server:}/nyfiken.org/nyfiken-log$ grep index.xml nyfiken.org|grep -v 193.200.86.17|wc -l
1
jadler@server:_{/nyfiken.org/nyfiken-log$ grep wp-rss nyfiken.org|grep 193.200.86.17|wc -l
557
jadler@server:}/nyfiken.org/nyfiken-log$ grep wp-rss nyfiken.org|grep -v 193.200.86.17|wc -l
49

Loggfilen jag tittade på innehöll data från tolv timmar, och 193.200.86.17 har alltså i snitt skickat 1,6 anrop per minut.

Jag lade in en tillfällig spärr i .htaccess-filen, som om jag skrev rätt antagligen gör att ingen med den IP-adressen kommer åt någon information alls från http://nyfiken.org/. En snabb whois på den skyldiga IP-adressen pekade mig till ett företag i Göteborg, och för en gångs skull en användbar kontaktadress. Jag mailade Daniel vars adress fanns där och fick svar ganska snabbt. Han tror att det är http://sweblogs.com/ som ligger bakom attacken. De skall normalt inte begära rss-flöden oftare än var femte minut, så nu är något fel. Jag vet inte om andra har drabbats av samma sak, men är det så vet ni nu var ni skall leta.

I titeln nämner jag DOS-attack, där DOS står för Denial of service, en form av attack på Internet där man skickar så många förfrågningar till en server att den inte hinner med att svara på legitima förfrågningar från de riktiga besökarna. Jag tror och hoppas att det inte var det som var sweblogs tanke med detta, utan att de helt enkelt har buggiga program.

Jag kan för övrigt varmt rekommendera Manufrog! Jag upphör inte förvånas över deras service, nivån på deras support, hur vänliga och trevliga de är i alla lägen, och hur gärna de ställer upp med hjälp med små finjusteringar som jag gissar att andra webhotell inte skulle drömma om att hjälpa sina kunder med. Att de sedan inte tar mycket betalt har jag inget problem med, jag betalar gärna det de begär av mig även om det känns som att jag får betydligt mer än vad jag betalar för.

Andra bloggar om: webhotell, Wordpress, htaccess, DOS-attack, sweblogs, Manufrog

Ämnesord: Bloggosfären, Internet, Wordpress

Liknande innehåll:   Bloggkartan.se,  Lagt in gamla texter,  Blogg-spam, .htaccess igen,  Bloggdöden,  Helenas minnesplats,