В последние несколько дней я обнаружил, что мои сайты периодически не грузятся. С интернетом проблем нет, все кроме моих проектов грузится отлично. Первая мысль которая меня посетила — DDoS. Но в уме не укладывалось что там можно ддостиь.

Полез в ISPmanager и обратил внимание, что нагрузка на процессор периодически зашкаливала. CPU до 100%. Соответственно с такой нагрузкой ничего не работало.

Стало интересно какой именно сайт создавал такую нагрузку. Это я посмотрел в момент пиковой нагрузки в ISP — Статистика — Нагрузка http-сервера. Сайт виновник определился по количеству запросов (больше 2000).

Сначала я грешил на то, что сам сайт создает такую нагрузку, потому что он довольно посещаемый. Это все-таки WordPress с 5 плагинами. Все плагины по очереди отключались, но это не помогло, даже на 1%.

В итоге открыл график нагрузки и логи апача по данному сайта и обнаружил интересную вещь. В моменты пиковой нагрузки в логах висело огромное количество POST запросов

141.255.166.210 – – [24/Dec/2014:17:39:11 +0400] “POST /xmlrpc.php HTTP/1.0” 200 373 “-” “Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)”
141.255.166.210 – – [24/Dec/2014:17:39:11 +0400] “POST /xmlrpc.php HTTP/1.0” 200 373 “-” “Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)”141.255.166.210 – – [24/Dec/2014:17:39:11 +0400] “POST /xmlrpc.php HTTP/1.0” 200 373 “-” “Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)”
141.255.166.210 – – [24/Dec/2014:17:39:11 +0400] “POST /xmlrpc.php HTTP/1.0” 200 373 “-” “Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)”

Кто-то очень агрессивно долбил скрипт xmlrpc.php. Через данный интерфейс велись попытки подобрать пароль к админке блога. А поскольку скрипт не из легких, нагрузка на сервер зашкаливала. Как я боролся с этой WordPress нагрузкой расскажу в следующей статье.

Что такое XML-RPC читаем тут https://ru.wikipedia.org/wiki/XML-RPC