<div dir="ltr">Keith:  <div><br></div><div>These are not due to hackers; although if you are running an older version of Drupal or a heavily customized code base, it's a good bet you are targeted.  All phishing, most database encroachments tools and certainly all rogue security scanners include the option to spoof source addresses. Asia is a commonly used spoofed local.  Don't rely on locking out one of these scripts, rather than fix your security issues or upgrade your CMS.<br><div><br></div><div>The 403 errors are due to CCK module or configuration for caching ( or can be caused by a hosting provider using mod_security):  <a href="https://www.drupal.org/node/110219">https://www.drupal.org/node/110219</a></div><div><br><div><br></div><div>Your httprl_async_function_callback error is a caching configuration issue in Drupal; not in and of itself a hacking attempt:</div><div><a href="https://www.drupal.org/node/2079561">https://www.drupal.org/node/2079561</a><br></div><div><br></div></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Dec 2, 2014 at 1:58 PM, Keith Smith <span dir="ltr"><<a href="mailto:techlists@phpcoderusa.com" target="_blank">techlists@phpcoderusa.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><br>
<br>
Hi,<br>
<br>
Last night the LAMP server that serves our Drupal install crashed.  It had too may available processes and ran out of memory.  Reduced the number of available Apache processes and everything settled down.  Early this morning the server crashed again from what looked like a hack attempt. Data center directed the offending IP to NULL?? Problem solved.  Server is behaving.<br>
<br>
In looking at the log files I find two things that I need help understanding.  Please understand I am not a Drupal developer - I am just responsible for it....<br>
<br>
I'm seeing a bunch of 403 errors for trying to access /node/add - is this a new exploit?  What is this?<br>
<br>
Also I am seeing lines that contain the following:<br>
<br>
xx.xx.xx.xx - - [02/Dec/2014:02:40:32 -0800] "POST /httprl_async_function_<u></u>callback?count=2 HTTP/1.0" 200 486 "-" "Drupal (+<a href="http://drupal.org/" target="_blank">http://drupal.org/</a>)"<br>
xx.xx.xx.xx - - [02/Dec/2014:02:40:32 -0800] "POST /httprl_async_function_<u></u>callback?count=1 HTTP/1.0" 200 502 "-" "Drupal (+<a href="http://drupal.org/" target="_blank">http://drupal.org/</a>)"<br>
xx.xx.xx.xx - - [02/Dec/2014:02:40:32 -0800] "POST /httprl_async_function_<u></u>callback?count=1 HTTP/1.0" 200 502 "-" "Drupal (+<a href="http://drupal.org/" target="_blank">http://drupal.org/</a>)"<br>
xx.xx.xx.xx - - [02/Dec/2014:02:40:32 -0800] "POST /httprl_async_function_<u></u>callback?count=1 HTTP/1.0" 200 502 "-" "Drupal (+<a href="http://drupal.org/" target="_blank">http://drupal.org/</a>)"<br>
xx.xx.xx.xx - - [02/Dec/2014:02:40:32 -0800] "POST /httprl_async_function_<u></u>callback?count=1 HTTP/1.0" 200 502 "-" "Drupal (+<a href="http://drupal.org/" target="_blank">http://drupal.org/</a>)"<br>
xx.xx.xx.xx - - [02/Dec/2014:02:40:32 -0800] "POST /httprl_async_function_<u></u>callback?count=2 HTTP/1.0" 200 486 "-" "Drupal (+<a href="http://drupal.org/" target="_blank">http://drupal.org/</a>)"<br>
<br>
<br>
Any idea what this is?<br>
<br>
Thank you so much for your help!!<span class="HOEnZb"><font color="#888888"><br>
<br>
<br>
-- <br>
Keith Smith<br>
------------------------------<u></u>---------------------<br>
PLUG-discuss mailing list - <a href="mailto:PLUG-discuss@lists.phxlinux.org" target="_blank">PLUG-discuss@lists.phxlinux.<u></u>org</a><br>
To subscribe, unsubscribe, or to change your mail settings:<br>
<a href="http://lists.phxlinux.org/mailman/listinfo/plug-discuss" target="_blank">http://lists.phxlinux.org/<u></u>mailman/listinfo/plug-discuss</a><br>
</font></span></blockquote></div><br></div>