mieki256's diary

NameVirtualHost *:80
<VirtualHost *:80>
  ServerName dummy
  DocumentRoot /path/to/dummy/dir   # 存在するが空のディレクトリ
  CustomLog /dev/null ""            # アクセスログを捨てる
  ErrorLog /dev/null                # エラーログも捨てる
</VirtualHost>

<VirtualHost *:80>
  ServerName 本来サービスしたいホスト名
    :
</VirtualHost>

 SetEnvIf Request_Method "(GET)|(POST)|(PUT)|(DELETE)" log
 とすればSEARCH /\x90\は記録されません。

 手っ取り早くていいけど規定以外のを記録するやり方だから、切り分けが難しい。
 SetEnvIf Request_URIで、CordRedやNimda
 SetEnvIf Request_Addrで、ローカルを弾きつつ
 SEARCH /\x90\を弾く方法ないでしょうかねぇ。

パイプ経由のロギングを利用するのはどうよ？
CustomLog "|/root/sh/logfilter >> /var/log/httpd/access_log" combined env=!nolog
とでもして、/root/sh/logfilterスクリプト内で
"SEARCH /\x90\x02\…"は弾くようにするとか。

あるいは、「異常なログを隔離する」ではなく、
CustomLog /dev/null common
CustomLog /path/to/access_log combined env=REMOTE_ADDR
のように、環境変数が正常にセットされているもののみ隔離するという方法でも
できそうだが、これはうまくいくかどうかは試していない。

<VirtualHost>でhost名を知らないアクセス＝ワームを分離する方法ですが、
これだとローカルからのIP直打ちアクセスも分離されてしまうんじゃないでしょうか。
わざわざ串を刺すのはちょっと…。

 IP 直打ちでも Host: にその IP アドレスが入るので、
 プライベートアドレスを ServerAlias に指定すればよし。

NameVirtualHost *
<VirtualHost *>
ServerName dummy.host
CustomLog [隔離ログ]
...
</VirtualHost>
<VirtualHost *>
ServerName xxx.yyy.zzz
ServerAlias localhost 127.0.0.1 192.168.0.1 ...
CustomLog [ほんとのログ]
...
</VirtualHost>

このように設定すれば、Host: がないか、
あってもグローバルの IP アドレスの場合は dummy.host の設定が使われる。

このアクセスログに記録しないようにするには、
httpd.conf 等に以下のように設定してください。
「HTTPのステータスコードが414ではない時に記録する」という設定です。
詳しくは
_apche のマニュアル
をご覧ください。

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
　↓
LogFormat "%h %l %u %t \"%!414r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

◎ とりあえず :

NameVirtualHost *:80

<VirtualHost *:80>
    ServerName dummy.host
    DocumentRoot /home/httpd/dummy
    ErrorLog /var/log/httpd/worm_error_log
    TransferLog /var/log/httpd/worm_access_log
</VirtualHost>

<VirtualHost *:80>
    ServerName ホスト名
    ServerAlias localhost 127.0.0.1 192.168.0.*
    DocumentRoot /home/httpd/html
</VirtualHost>

<VirtualHost *:80>
    ServerName LAN内での名前
    ServerAlias localhost 127.0.0.1 192.168.0.*
    DocumentRoot /home/httpd/html
</VirtualHost>