吐槽下服务器上那些奇怪的请求

回来后一直在生病，这不，病好了，就有力气吐槽了。

我是路标

0x1. 起因
0x2. 发现
0x3. 然而并没有那么安逸
0x4. 加速乐那万年坑爹的客服
0x5. SO？？

0x1. 起因

之前我网站（*.fishlee.net）都是托管在一台猎豹名下的服务器的。由于准备离职，所以需要将项目分离，部分网站以及服务需要迁移出来。

迁移到的服务器是一台万网的VPS上，问朋友蹭过来的一台VPS。配置当然不可同日而语，不过还好，起码人家是台服务器不过需要打个预防针的就是网站的服务后面可能会精简或有限制了，至少不是那么稳定高速。这是题外话。

然后首先迁移过来的是静态资源（static.fishlee.net; dynamic.fishlee.net）。

0x2. 发现

迁移过后两天，例行查阅服务器日志的时候，发现了很多奇奇怪怪的请求。

20160222161217

是的，你没看错，扩展名是 .xx 以及 .xxs。看了看具体的路径，我觉得 .xx 的请求其实是 .js 文件，而 .xxs 的请求应该是 .css 文件。

可是这请求是咋回事啊。看UA好像还是IE7发出来的？我反复看了博客相关的页面请求，也用IE开兼容模式跟踪了半天，都没看到这种请求。

然后还看到这种请求特别有规律，大概每隔3-6秒就出来那么十几个。

看到这种请求，我想很多人跟我一样，第一反应就是：丫有人在扫服务器

所以我首先采取的措施是，在IIS的URL重写里，将扩展名为xx和xxs的请求全部重置掉

正所谓眼不见心不烦……

0x3. 然而并没有那么安逸

不安逸的原因是，重置请求后，Windows系统会在系统分区的LogFiles里记录为HTTPERR，每个连接记录一次。然而这个日志是自动滚动的，每个文件大小不多不少刚好1M。

所以几天后，系统分区磁盘掉了好几个GB，类似的错误日志文件有五六千个。

问题看起来更大了呢。

这个静态的站点使用了加速乐的CDN进行加速，当然是免费的。后来我查了一下，发现客户端IP（220.167.107.XXX）就是加速乐的CDN服务器集群节点IP。

20160222161112

于是我想啊，是不是加速乐那边有更详细的信息呢，说不定他们遇到过这类情况能告诉我更多有用信息呢？？

想到此，感觉自己走上了奔向小康的康庄大道，屁颠屁颠儿地就奔去加速乐的客服了。

0x4. 加速乐那万年坑爹的客服

我在之前的《写点朋友遭遇的一系列不靠谱事儿吧 ③》中曾经吐槽过加速乐。然而我觉得他们换名儿辣么勤快，应该有改善啊。

于是……

20160222161241

然后……令我担心的事儿就发生了……他们果然上来就说这是绕过了他们的服务器直接对源站发起的访问……

20160222161254

幸好我的准备很充分直接打脸

然而他们抛出了一个回答，就是“加速乐节点请求的都是正常的请求的哦”……

完了……没法反驳了……于是我死皮赖脸地看看他们是不是能多提供一点信息来着。

20160222161305

0x5. SO？？

后来我盯着那些请求看了好久，可是还是看不出来请求有啥一样。自己写了一个记录的接口记录这些请求，然后发现记录下来的都是这样的。。。

访问方法：GET
原始地址：/ask/static/js/compatibility.xx
IP地址：218.65.212.146
引用页：http://ask.fishlee.net/
UserAgent：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; Media Center PC 6.0)

原始头信息
Accept */*
Accept-Encoding gzip, deflate
Accept-Language zh-CN
Cookie __jsluid=50e36c1cbf84501e1e77d64b860d8983; PHPSESSID=ce831h621ctle69bdvbi1f2ce3
Host static.fishlee.net
Referer http://ask.fishlee.net/
User-Agent Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; .NET4.0C; .NET4.0E; Media Center PC 6.0)
X-Forwarded-For 219.141.119.195
X-Real-Forwarded-For 219.141.119.195
X-Connecting-IP 219.141.119.195
X-From JSL