# Jeden morgen um 7: Spambesucher - Shop gehackt? Sicherheitsloch? **URL:** \ **Category:** Allgemein\ **Created:** [19. Mai 2016 um 12:32 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856 "2016-05-19T12:32:53Z")\ **Posts on this page:** 19\ **Page:** 2
**Author:** ![Pua7](https://avatars.discourse-cdn.com/v4/letter/p/35a633/32.png) [@Pua7](https://forum.shopware.com/u/Pua7)\ **Post date:** [19. September 2016 um 08:57 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/21 "2016-09-19T08:57:16Z")
Eigentlich sollte euer Server wegen Cloudflare nicht in die knie gehen. Eigentlich sollte es den Server entlasten. Bei solchen Reverse-Proxy CDN ist die verbindung zum Seite weg wenn es eine Störung mit dem CDN Netzwerk gibt. Allerdings kommt das nicht all zu häufig vor. Was bedeutet den in die Knie gegangen?   ---
**Author:** ![kweb](https://avatars.discourse-cdn.com/v4/letter/k/e19adc/32.png) [@kweb](https://forum.shopware.com/u/kweb)\ **Post date:** [19. September 2016 um 10:13 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/22 "2016-09-19T10:13:05Z")
Ich bin bei Allinkl. Wir hatten in der Vergangenheit immer wieder „mal“ einen Serverabsturz, der auch immer wieder mit dem Problemshop begründet war. Man sagt mir immer die Domain erhält auf einen Schlag massenhafte Zugriffe worauf der Server einfach die Anzahl nicht mehr verarbeiten kann und dadurch dann in die Knie geht. Jetzt hatten wir halt Cloudflare dazwischen und es war dann irgendwann so, dass sich der Server jede Stunde verabschiedet hat. Allinkl will mir mehr Arbeitsspeicher verkaufen, was ich aber irgendwo nicht einsehe, bekämpft das ja nicht die Ursache, sondern sorgt einfach nur dafür das nichts abstürzt. Es wurden auch einige Softwarelösung ausprobiert. So wurde ein das QOS Modul und ein Cache Modul installiert - alles ohne Wirkung. Lediglich das Abschalten von Cloudflare hat jetzt was gebracht - nämlich das der Server seitdem nicht mehr abschmiert…frustrierend… ---
**Author:** ![Pua7](https://avatars.discourse-cdn.com/v4/letter/p/35a633/32.png) [@Pua7](https://forum.shopware.com/u/Pua7)\ **Post date:** [19. September 2016 um 10:19 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/23 "2016-09-19T10:19:04Z")
Das klingt ja so als hättet Ihr richtig viele Besucher und eventuell auch viel Umsatz. Lohnt sich da nicht ein eigener Server wenn man solche Probleme hat? Ein CDN sollte immer entlasten und keine zusätzliche Belastung für den Server darstellen. Welches Allinkl. packet nutzt Ihr? ---
**Author:** ![kweb](https://avatars.discourse-cdn.com/v4/letter/k/e19adc/32.png) [@kweb](https://forum.shopware.com/u/kweb)\ **Post date:** [19. September 2016 um 10:28 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/24 "2016-09-19T10:28:17Z")
Nein, daran kann es nicht liegen. Besucher pro Tag ca. 200 - das sollte keinen Server der Welt in die Knie zwingen. [http://all-inkl.com/server/uebersicht/](http://all-inkl.com/server/uebersicht/) Server L allerdings Generation v5 Habe natürlich noch andere Kunden da drauf gehostet aber alles nichts weltbewegendes - nichts was hohe Auslastungen provozieren sollte. Wie gesagt - wenn er abschmiert dann ist auch immer die Problemdomain das Problem und nichts anderes. ---
**Author:** ![kweb](https://avatars.discourse-cdn.com/v4/letter/k/e19adc/32.png) [@kweb](https://forum.shopware.com/u/kweb)\ **Post date:** [19. September 2016 um 10:36 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/25 "2016-09-19T10:36:31Z")
Hier mal die Auslastungsentwicklung der letzten Tage ---
**Author:** ![Synonymous](https://avatars.discourse-cdn.com/v4/letter/s/57b2e6/32.png) [@Synonymous](https://forum.shopware.com/u/Synonymous)\ **Post date:** [19. September 2016 um 11:57 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/26 "2016-09-19T11:57:15Z")
Dann solltest Du mal in den Log-Files nachsehen, was zu dem Zeitpunkt los war. Möglicherweise hat ein interner Prozess zugeschlagen (Cronjobs, HTTP Cache Warmup etc.). Ohne im Detail zu wissen was bei dem Peak los war, ist es nur ein Ratespiel. Und ein CDN ist IMMER eine Entlastung (und jedenfalls keine Belastung) der Infrastruktur, sofern alles korrekt konfiguriert ist. Weiters ist die Last auf einer Maschine nur teilweise von der Anzahl der Besucher abhängig. ---
**Author:** ![kweb](https://avatars.discourse-cdn.com/v4/letter/k/e19adc/32.png) [@kweb](https://forum.shopware.com/u/kweb)\ **Post date:** [19. September 2016 um 14:55 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/27 "2016-09-19T14:55:24Z")
Gerade mit dem Techniker von Allinkl geplaudert. Sie können nicht sehen wieso der Server abgeschmiert ist weil eben nur eine IP von Cloudflare angezeigt wurde. Lt. Statistiken der letzten 2 Tage wäre alles in Ordnung und alles im normalen Bereich. Den Mist mit der Statistik sehe ich aber trotzdem - neverending story wie es aussieht 😕 ---
**Author:** ![Synonymous](https://avatars.discourse-cdn.com/v4/letter/s/57b2e6/32.png) [@Synonymous](https://forum.shopware.com/u/Synonymous)\ **Post date:** [19. September 2016 um 15:07 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/28 "2016-09-19T15:07:53Z")
1. Was heißt “abgeschmiert”? 2. Warum kann Dein Provider nicht sehen warum sein Server ausgefallen ist? ---
**Author:** ![Pua7](https://avatars.discourse-cdn.com/v4/letter/p/35a633/32.png) [@Pua7](https://forum.shopware.com/u/Pua7)\ **Post date:** [19. September 2016 um 17:00 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/29 "2016-09-19T17:00:23Z")
Es kann auch sein das Cloudflare in diesen momenten deine komplette Seite cached um sie für die Funktion “Always Online” bereit zu halten. Es kann also durchaus sein das eine funktion von Cloudflare viele Anfragen an deinen Webserver sendet. Aber eigentlich sollte der das gut wegstecken. ---
**Author:** ![kweb](https://avatars.discourse-cdn.com/v4/letter/k/e19adc/32.png) [@kweb](https://forum.shopware.com/u/kweb)\ **Post date:** [20. September 2016 um 10:01 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/30 "2016-09-20T10:01:23Z")
zu 1. Abgeschmiert heisst in meinem Falle, dass zur gleichen Zeit zu viele Anfragen auf den Server eingehen und der Server diese nicht mehr verarbeiten kann. So wurde es mir von Allinkl erklärt. zu 2. Die Antwort warum steht in 1., mir wurde nur gesagt, dass die IP von der die Anfragen ausgingen nicht einsehbar ist da es eine CF IP ist. @Pua7‍ : Wohl auch eine Möglichkeit, ich frage mich nur warum die Probleme dann erst los gingen, NACHDEM alles 3 Tage funktioniert hatten. ---
**Author:** ![Synonymous](https://avatars.discourse-cdn.com/v4/letter/s/57b2e6/32.png) [@Synonymous](https://forum.shopware.com/u/Synonymous)\ **Post date:** [21. September 2016 um 06:53 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/31 "2016-09-21T06:53:35Z")
Aber bevor Du CF eingesetzt hast, ist die IP ja klar einsehbar. Daran kannst Du dann sehen, ob es sich um eine DDOS Attacke handelt oder einfach ein anderer Dienst durchdreht und wiederholende Requests schickt. ---
**Author:** ![Toric](https://avatars.discourse-cdn.com/v4/letter/t/bbe5ce/32.png) [@Toric](https://forum.shopware.com/u/Toric)\ **Post date:** [21. September 2016 um 07:15 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/32 "2016-09-21T07:15:27Z")
@Synonymous‍ Du meinst sicher die Diskussion mit mir 🙂 [https://forum.shopware.com/discussion/comment/172553#Comment\_172553](https://forum.shopware.com/discussion/comment/172553#Comment_172553) Ich denke, ich kann Cloudflare nicht selbst installieren/einrichten, weil mir die fachlichen Kenntnisse fehlen. Dazu ist die Seite kompl. in Englisch. Mir ist auch nicht klar, ob man sowas einfach selbst auf jedem beliebigen Server einrichten kann, oder ob der Hoster da Hand anlegen muss. Von  meinem Hoster bekam ich nur die Antwort, dass ich mit dem Standardhosting keine Mögichkeit hätte, etwas gegen die Zugriffe zu tun.   ---
**Author:** ![Pua7](https://avatars.discourse-cdn.com/v4/letter/p/35a633/32.png) [@Pua7](https://forum.shopware.com/u/Pua7)\ **Post date:** [21. September 2016 um 07:54 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/33 "2016-09-21T07:54:32Z")
Da hat dich dein Hoster aber nicht richtig beraten für Cloudflare/Incapsular muss nur der Arecord bzw. CNAME deiner Domain geädnert werden. Das sollte jeder mit einem 0,99€ Hosting paket machen können. Danach laufen die Anfragen von Kunden/Bots folgendermaßen ab. Domainname --\> DNS auflösung auf Incapsula/Cloudflare IP --\> Weiterleitung auf dedicated oder shared hosting IP deines Servers ---
**Author:** ![Toric](https://avatars.discourse-cdn.com/v4/letter/t/bbe5ce/32.png) [@Toric](https://forum.shopware.com/u/Toric)\ **Post date:** [21. September 2016 um 08:04 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/34 "2016-09-21T08:04:23Z")
das hört sich zwar gut an, sind für mich aber alles böhmische Dörfer ![Crying](https://forum.shopware.com/plugins/CKEditor/plugins/smiley/images/crying.png "Crying") ---
**Author:** ![TimmeHosting](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/timmehosting/32/15580_2.png) [@TimmeHosting](https://forum.shopware.com/u/TimmeHosting)\ **Post date:** [21. September 2016 um 17:11 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/35 "2016-09-21T17:11:23Z")
Hast Du denn mithilfe des Access-Logs mal geprüft, ob Dir irgendwelche Muster auffallen? Z.B., daß immer dieselbe URL besucht wird, daß besinders viele POST-Requests abgesetzt werden, daß die Besucher aus Ländern kommen, in die der Shop gar nichts verkauft, etc.? Mittels [www.infosniper.net](http://www.infosniper.net) kannst Du z.B. die Herkunft einer IP feststellen. Mithilfe von GeoIP könnte man Zugriffe aus bestimmten Ländern sperren, falls Du ein entsprechendes Muster entdecken kannst und Dein Hoster das unterstützt (man muß aber aufpassen, daß man durch eine solche Aktion nicht z.B. auch wichtige Suchmaschinenbots sperrt!). ![](https://europe1.discourse-cdn.com/flex013/uploads/shopware/original/1X/385eaa628505df573ebf33722f780335f53ac1b2.png) Timme Hosting - schnelles nginx-Hosting [www.timmehosting.de](https://timmehosting.de/) ---
**Author:** ![Toric](https://avatars.discourse-cdn.com/v4/letter/t/bbe5ce/32.png) [@Toric](https://forum.shopware.com/u/Toric)\ **Post date:** [21. September 2016 um 18:29 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/36 "2016-09-21T18:29:09Z")
sofern ich angesprochen bin: Ja ich habe die Logdatei geprüft. Es wird versucht, eine Newsletteranmeldung durchzuführen oder eine Bewertung abzugeben (Viagrawerbung etc. 🙂 ) Die IP ist aus Asien. Daher hätte ich kein Problem, bestimmte Länder auszusperren. Aber das ist wohl bei meinem Hoster nicht so einfach möglich, zumindest nicht mit meinem Paket - wenn ich das richtig verstanden habe. ---
**Author:** ![useg](https://avatars.discourse-cdn.com/v4/letter/u/df705f/32.png) [@useg](https://forum.shopware.com/u/useg)\ **Post date:** [21. September 2016 um 18:49 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/37 "2016-09-21T18:49:11Z")
> [@Toric schrieb:](https://forum.shopware.com/profile/22240/Toric "Toric") > > sofern ich angesprochen bin: Ja ich habe die Logdatei geprüft. Es wird versucht, eine Newsletteranmeldung durchzuführen oder eine Bewertung abzugeben (Viagrawerbung etc. 🙂 ) Die IP ist aus Asien. Daher hätte ich kein Problem, bestimmte Länder auszusperren. Aber das ist wohl bei meinem Hoster nicht so einfach möglich, zumindest nicht mit meinem Paket - wenn ich das richtig verstanden habe. Warum sollte das mit deinem Paket nicht gehen ist doch nur ein Eintrag in die htaccess.  Einfach mal bei der großen Suchmaschiene „IP sperren htaccess“ eingeben. ---
**Author:** ![Toric](https://avatars.discourse-cdn.com/v4/letter/t/bbe5ce/32.png) [@Toric](https://forum.shopware.com/u/Toric)\ **Post date:** [22. September 2016 um 06:11 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/38 "2016-09-22T06:11:47Z")
einzelne IPs lassen sich sperren, aber das wäre ja ein Kampf gegen Windmühlen, da sich die IPs ständig ändern. Ich würde gerne Asien komplett aussperren. Bei den wechselnden IPs weiß ich auch nicht ob es möglich ist, dass eine IP heute in Asien verwendet wird und nächstes Jahr in Deutschland. Dann wärs ja blöd, wenn sie gesperrt ist. ---
**Author:** ![TimmeHosting](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/timmehosting/32/15580_2.png) [@TimmeHosting](https://forum.shopware.com/u/TimmeHosting)\ **Post date:** [22. September 2016 um 16:55 UTC](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856/39 "2016-09-22T16:55:35Z")
> [@Toric schrieb:](https://forum.shopware.com/profile/22240/Toric "Toric") > > Bei den wechselnden IPs weiß ich auch nicht ob es möglich ist, dass eine IP heute in Asien verwendet wird und nächstes Jahr in Deutschland. Dann wärs ja blöd, wenn sie gesperrt ist. Das kommt selten vor, aber es passiert. Daher müßte Dein Hoster, sofern er GeoIP unterstützt, die GeoIP-Datenbank aktuell halten. ![](https://europe1.discourse-cdn.com/flex013/uploads/shopware/original/1X/385eaa628505df573ebf33722f780335f53ac1b2.png) Timme Hosting - schnelles nginx-Hosting [www.timmehosting.de](https://timmehosting.de/) [Vorherige Seite](https://forum.shopware.com/t/jeden-morgen-um-7-spambesucher-shop-gehackt-sicherheitsloch/36856.md?page=1)