Auteur Sujet: Le forum attaqué par des IP Free Pro le 19 octobre 2026 (Lu 675 fois)

acut3 · « **Réponse #12 le:** **Aujourd'hui** à 14:11:58 »

Je pense qu'il s'agit de proxies oxylabs.

En donnant quelques infos dont les ports ouverts, l'assistant Kagi (bluffant d'ailleurs) me l'a donné comme candidat le plus probable. Du coup je me suis créé un compte, et avec mes $5 offerts à l'inscription j'ai pu demander une IP d'ISP en France. Je me retrouve avec 31.98.21.17, qui est bien Free Pro à Marseille. Et en scannant les ports, on voit bien le quartet 40000, 60000, 10801 et 1180.

Donc voilà, Free loue ses IP à oxylabs (ou un autre service du même genre)...

zbug · « **Réponse #13 le:** **Aujourd'hui** à 14:16:43 »

Citation de: Hugues le Aujourd'hui à 13:33:39

Comme je l'ai dit, c'est très a la mode le scrap agressif (et mal fait).

J'ai toujours eu un gros doute sur le fait que ce soit un DDoS car ça dure depuis trop longtemps.

Alors je vais aussi aller dans ce sens car c'est vraiment similaire à ce que l'on à de nôtre côté sur le site de ma boite depuis plus de 1 ans... Pour tester, j'ai donné la liste de vivien à claude et celle que l'on à de cloudflare (nous avons un gros soucis similaire qui ddos à cause du nombre de requètes notre server web depuis plus d'un ans) et c'est très similaire niveau type/principe de requète.. etc. faudrait que je prennes une plus grosse liste mais je serais même pas étonné que des IPs matchs aussi

Nous avons par chance pu mettre en place ce qu'il faut côté cloudflare et cela reste coincé chez eux maintenant... Bon courage!

Hugues · « **Réponse #14 le:** **Aujourd'hui** à 14:18:16 »

Citation de: acut3 le Aujourd'hui à 14:11:58

Donc voilà, Free loue ses IP à oxylabs (ou un autre service du même genre)...

Bien vu ! Je pense qu'on a trouvé, et ça ne m'étonne guère...

zbug · « **Réponse #15 le:** **Aujourd'hui** à 14:20:54 »

Je ne peux même pas ouvrir leur site car il est blocklist dans une des listes dns proofpoint

vivien · « **Réponse #16 le:** **Aujourd'hui** à 14:28:35 »

Merci acut3 pour tous tes tests qui ont permis de remonter la piste.

Citation de: hwti le Aujourd'hui à 13:50:11

Donc il faudrait signaler l'attaque et la présence de proxies résidentiels à leur contact abuse AT as30781 DOT net.

Il faut signaler si c'est une activité que Free Pro / Jaguar Network refuse d'avoir sur son réseau. J'ai un gros doute sur le fait qu'il interdise les proxies du type oxylabs.

Citation de: zbug le Aujourd'hui à 14:16:43

Alors je vais aussi aller dans ce sens car c'est vraiment similaire à ce que l'on à de nôtre côté sur le site de ma boite depuis plus de 1 ans... Pour tester, j'ai donné la liste de vivien à claude et celle que l'on à de cloudflare (nous avons un gros soucis similaire qui ddos à cause du nombre de requètes notre server web depuis plus d'un ans) et c'est très similaire niveau type/principe de requète.. etc. faudrait que je prennes une plus grosse liste mais je serais même pas étonné que des IPs matchs aussi

Le top des flux que je bloque ce matin, c'est 145.223.128.0/18 puis 84.75.144.0/20 et enfin 73.0.0.0/8.

acut3 · « **Réponse #17 le:** **Aujourd'hui** à 15:10:22 »

Ça ne serait pas envisageable de bloquer au niveau d'Apache toutes les requêtes qui ont un query parameter "PHPSESSID" ? A moins que ça ne bloque aussi les "bons" crawlers de google, bing, etc.

vivien · « **Réponse #18 le:** **Aujourd'hui** à 15:38:01 »

Sur le cas présent, cela serait intéressant, mais souvent le user agent est un Chrome classique, il faut donc trouver d'autres astuces pour identifier le flux.

alain_p · « **Réponse #19 le:** **Aujourd'hui** à 17:43:09 »

Bien vu effectivement. Sur le site oxylabs : "Fresh Web Data for Grounding AI Agents".

Je ne pensais que le crawling évoqué par Hugues pouvait être aussi important, au point de faire tomber un site. C'est assez démentiel.
Décidément, la folie IA a plein de conséquences...

Cela veut dire aussi que lafibre.info est ciblé pour être un site technique assez intéressant où peuvent être récupérées plein d'informations pour entrainer les moteurs d'IA...

Et je pense que ce n'est pas vraiment à l'honneur de Free pro que ses IPs soient louées pour de tels services. Mais cela doit rapporter...

hwti · « **Réponse #20 le:** **Aujourd'hui** à 17:59:26 »

Citation de: vivien le Aujourd'hui à 14:28:35

.
Il faut signaler si c'est une activité que Free Pro / Jaguar Network refuse d'avoir sur son réseau. J'ai un gros doute sur le fait qu'il interdise les proxies du type oxylabs.

Il y a deux niveaux : les proxies, et leur utilisation (scraping agressif et pas très intelligent).
Ils pourraient autoriser la première, et quand même être sensible à la seconde (qui se rapproche d'un DDOS applicatif).
Donc ça peut valoir le coup d'essayer, même s'il est possible qu'ils ne répondent pas, ou qu'ils considèrent que c'est à chaque site de se protéger (et donc soit dégrader l'expérience des utilisateurs avec des captcha ou du JS, soit mettre en place des rate-limits par IP qui peuvent poser problème avec IP partagées comme les CGNAT voire les entreprises).

acut3 · « **Réponse #21 le:** **Aujourd'hui** à 18:44:24 »

Sans rien connaître à SMF, je soupçonne quand même qu'il y ait un gros problème d'architecture avec le moteur du forum. Sur toutes les pages on a une pelleté d'informations pas vraiment indispensables (comme le statut en ligne ou non de chaque participant à une discussion) qui obligent sans doute à faire une multitude de requêtes DB pour pas grand chose. Et comme ce sont des pages générées entièrement côté serveur, ça empêche aussi de mettre en cache une immense majorité de pages qui ne changent pourtant presque jamais.

Donc on se retrouve avec une majorité de pages essentiellement statiques, mais impossible à mettre en cache car elles contiennent toutes une infime proportion de contenu dynamique. Alors que la majorité du contenu pourrait être servi sans même avoir appeler le moindre PHP.