Auteur Sujet: Le forum attaqué par des IP Free Pro le 19 octobre 2026 (Lu 793 fois)

acut3 · « **Réponse #12 le:** **Hier** à 14:11:58 »

Je pense qu'il s'agit de proxies oxylabs.

En donnant quelques infos dont les ports ouverts, l'assistant Kagi (bluffant d'ailleurs) me l'a donné comme candidat le plus probable. Du coup je me suis créé un compte, et avec mes $5 offerts à l'inscription j'ai pu demander une IP d'ISP en France. Je me retrouve avec 31.98.21.17, qui est bien Free Pro à Marseille. Et en scannant les ports, on voit bien le quartet 40000, 60000, 10801 et 1180.

Donc voilà, Free loue ses IP à oxylabs (ou un autre service du même genre)...

zbug · « **Réponse #13 le:** **Hier** à 14:16:43 »

Citation de: Hugues le Hier à 13:33:39

Comme je l'ai dit, c'est très a la mode le scrap agressif (et mal fait).

J'ai toujours eu un gros doute sur le fait que ce soit un DDoS car ça dure depuis trop longtemps.

Alors je vais aussi aller dans ce sens car c'est vraiment similaire à ce que l'on à de nôtre côté sur le site de ma boite depuis plus de 1 ans... Pour tester, j'ai donné la liste de vivien à claude et celle que l'on à de cloudflare (nous avons un gros soucis similaire qui ddos à cause du nombre de requètes notre server web depuis plus d'un ans) et c'est très similaire niveau type/principe de requète.. etc. faudrait que je prennes une plus grosse liste mais je serais même pas étonné que des IPs matchs aussi

Nous avons par chance pu mettre en place ce qu'il faut côté cloudflare et cela reste coincé chez eux maintenant... Bon courage!

Hugues · « **Réponse #14 le:** **Hier** à 14:18:16 »

Citation de: acut3 le Hier à 14:11:58

Donc voilà, Free loue ses IP à oxylabs (ou un autre service du même genre)...

Bien vu ! Je pense qu'on a trouvé, et ça ne m'étonne guère...

zbug · « **Réponse #15 le:** **Hier** à 14:20:54 »

Je ne peux même pas ouvrir leur site car il est blocklist dans une des listes dns proofpoint

vivien · « **Réponse #16 le:** **Hier** à 14:28:35 »

Merci acut3 pour tous tes tests qui ont permis de remonter la piste.

Citation de: hwti le Hier à 13:50:11

Donc il faudrait signaler l'attaque et la présence de proxies résidentiels à leur contact abuse AT as30781 DOT net.

Il faut signaler si c'est une activité que Free Pro / Jaguar Network refuse d'avoir sur son réseau. J'ai un gros doute sur le fait qu'il interdise les proxies du type oxylabs.

Citation de: zbug le Hier à 14:16:43

Alors je vais aussi aller dans ce sens car c'est vraiment similaire à ce que l'on à de nôtre côté sur le site de ma boite depuis plus de 1 ans... Pour tester, j'ai donné la liste de vivien à claude et celle que l'on à de cloudflare (nous avons un gros soucis similaire qui ddos à cause du nombre de requètes notre server web depuis plus d'un ans) et c'est très similaire niveau type/principe de requète.. etc. faudrait que je prennes une plus grosse liste mais je serais même pas étonné que des IPs matchs aussi

Le top des flux que je bloque ce matin, c'est 145.223.128.0/18 puis 84.75.144.0/20 et enfin 73.0.0.0/8.

acut3 · « **Réponse #17 le:** **Hier** à 15:10:22 »

Ça ne serait pas envisageable de bloquer au niveau d'Apache toutes les requêtes qui ont un query parameter "PHPSESSID" ? A moins que ça ne bloque aussi les "bons" crawlers de google, bing, etc.

vivien · « **Réponse #18 le:** **Hier** à 15:38:01 »

Sur le cas présent, cela serait intéressant, mais souvent le user agent est un Chrome classique, il faut donc trouver d'autres astuces pour identifier le flux.

alain_p · « **Réponse #19 le:** **Hier** à 17:43:09 »

Bien vu effectivement. Sur le site oxylabs : "Fresh Web Data for Grounding AI Agents".

Je ne pensais que le crawling évoqué par Hugues pouvait être aussi important, au point de faire tomber un site. C'est assez démentiel.
Décidément, la folie IA a plein de conséquences...

Cela veut dire aussi que lafibre.info est ciblé pour être un site technique assez intéressant où peuvent être récupérées plein d'informations pour entrainer les moteurs d'IA...

Et je pense que ce n'est pas vraiment à l'honneur de Free pro que ses IPs soient louées pour de tels services. Mais cela doit rapporter...

hwti · « **Réponse #20 le:** **Hier** à 17:59:26 »

Citation de: vivien le Hier à 14:28:35

.
Il faut signaler si c'est une activité que Free Pro / Jaguar Network refuse d'avoir sur son réseau. J'ai un gros doute sur le fait qu'il interdise les proxies du type oxylabs.

Il y a deux niveaux : les proxies, et leur utilisation (scraping agressif et pas très intelligent).
Ils pourraient autoriser la première, et quand même être sensible à la seconde (qui se rapproche d'un DDOS applicatif).
Donc ça peut valoir le coup d'essayer, même s'il est possible qu'ils ne répondent pas, ou qu'ils considèrent que c'est à chaque site de se protéger (et donc soit dégrader l'expérience des utilisateurs avec des captcha ou du JS, soit mettre en place des rate-limits par IP qui peuvent poser problème avec IP partagées comme les CGNAT voire les entreprises).

acut3 · « **Réponse #21 le:** **Hier** à 18:44:24 »

Sans rien connaître à SMF, je soupçonne quand même qu'il y ait un gros problème d'architecture avec le moteur du forum. Sur toutes les pages on a une pelleté d'informations pas vraiment indispensables (comme le statut en ligne ou non de chaque participant à une discussion) qui obligent sans doute à faire une multitude de requêtes DB pour pas grand chose. Et comme ce sont des pages générées entièrement côté serveur, ça empêche aussi de mettre en cache une immense majorité de pages qui ne changent pourtant presque jamais.

Donc on se retrouve avec une majorité de pages essentiellement statiques, mais impossible à mettre en cache car elles contiennent toutes une infime proportion de contenu dynamique. Alors que la majorité du contenu pourrait être servi sans même avoir appeler le moindre PHP.

Fyr · « **Réponse #22 le:** **Aujourd'hui** à 00:13:00 »

Citation de: acut3 le Hier à 14:11:58

[...] Je me retrouve avec 31.98.21.17, qui est bien Free Pro à Marseille. Et en scannant les ports, on voit bien le quartet 40000, 60000, 10801 et 1180.

Donc voilà, Free loue ses IP à oxylabs (ou un autre service du même genre)...

Citation de: Hugues le Hier à 14:18:16

Bien vu ! Je pense qu'on a trouvé, et ça ne m'étonne guère...

EDIT CORRECTIF ~~C'est un "gros" bloc alloué à un client de Jaguar/Free.~~ Des IP allouées par le RIPE en direct à Wookra routées par Jaguar.

Code: [Sélectionner]

inetnum:        31.98.0.0 - 31.98.31.255
netname:        FR
country:        FR
geofeed:        https://geoip.wookra.com/geofeed.csv
admin-c:        WL2349-RIPE
tech-c:         WL2349-RIPE
status:         ASSIGNED PA
mnt-by:         lir-us-wookra-1-MNT
created:        2025-10-05T17:58:08Z
last-modified:  2025-10-05T17:58:08Z
source:         RIPE

role:           Wookra, LLC
address:        11816 Inwood Rd PMB 5010
address:        Dallas, TX 75244
address:        United States
nic-hdl:        WL2349-RIPE
mnt-by:         lir-us-wookra-1-MNT
created:        2025-05-07T08:40:18Z
last-modified:  2025-06-07T17:34:39Z
source:         RIPE # Filtered

% Information related to '31.98.0.0/19AS30781'

route:          31.98.0.0/19
origin:         AS30781
mnt-by:         lir-us-wookra-1-MNT
created:        2025-09-25T00:05:53Z
last-modified:  2025-09-25T00:05:53Z
source:         RIPE

Wookra refilant des services apparement ... Et le plus drôle quand on cherche Wookra sur Google... y a du streaming...Ils avaient le /16 alloué en PA en 2010. Ils font parties des IP "du RIPE" alloué à des LIR US

(ils avaient le /16 et maintenant l'objet route est un /19 j'ai vérifié y en a pas d'autre en 31.xxx sur l'AS30781)

https://www-public.telecom-sudparis.eu/~maigron/rir-stats/ripe-allocations/allocations/us-ip-allocations.html

les

Code: [Sélectionner]

 153.79.112.0/24
- 153.79.113.0/24
- 153.79.114.0/24
- 153.79.115.0/24
- 153.79.116.0/24

sont aussi routé dans l'AS30781 de Wookla. Ainsi que les autres :

Code: [Sélectionner]

❯ mwhois -T route -r -i origin AS30781 | grep route |grep 153.79
route:          153.79.112.0/20
❯ mwhois -T route -r -i origin AS30781 | grep route |grep 153.52
route:          153.52.217.0/24
route:          153.52.218.0/23
route:          153.52.220.0/24

Un petit coup de fil à leur contact s'impose

https://www.ripe.net/membership/member-support/list-of-members/us/wookra/