nicht angemeldet
OK, vorneweg, ich habe im Netz nicht mal annähernd was zu diesem Phänomen gefunden.
Situation: Linux 2.2.x mit Apache 1.3.26 (mod_rewrite) und PHP 4.1.2.
Wir merken plötzlich, daß der Apache nicht mehr reagiert, im Apache-Log findet sich entsprechend "MaxClients limit reached" (MaxClients steht auf 75).
Ursachenforschung im Access-Log: ein User mit Netscape 4.x (mal 4.05, mal 4.5) hat ganz normal auf unserer Website gesurft, dann 40 Minuten keinen Zugriff von dieser IP, dann auf einmal 2-3 Zugriffe pro Sekunde auf ein und dieselbe Seite (eine PHP-Seite ohne DB-Zugriff). Das geht dann so lange weiter, bis eben MaxClients erreicht ist.
Insgesamt trat das Problem dieses Jahr dreimal auf. Eine absichtliche DoS-Attacke halte ich für unwahrscheinlich.
Meine Fragen dazu:
1. Ist so etwas schon mal jemandem passiert (der Client ist immer ein Netscape 4)?
2. Könnte das Problem an mod_rewrite liegen? Wir haben unter der .de-Domain eine einzelne "RewriteRule ^(.*)$ http://www.XXXXXX.com/$1 [R,L]", die alles von .de auf .com umleitet; der DoS-ende User kam auch über .de rein. Andererseits ist das ganze nicht reproduzierbar, es gehen täglich Hunderte User mit Netscape 4 auf die Seiten.
Für die aufgerufene Seite gab es auch kein spezifische Rewrite-Rule auf .com-Seite.
3. Was für Abwehrmöglichkeiten gibt es (unser Admin hat schon mod_throttle versucht, das half aber nicht wirklich)?
4. Ist es normal, daß 3 Zugriffe pro Sekunde auf eine PHP-Seite den Server schon zum Abschmieren bringen (hardwaremäßig ist die Kiste ziemlich gut, 800 MHz, 256 MB RAM, superfixe Netzanbindung)?
Die PHP-Seite lädt allerdings auch ca. 200 KB an Includes...