Атака на сайт

legenda · 2011-02-24 01:59:47

Сегодня столкнулся с проблемой. На сайт ктото масово шлет трафик (чтото типа слабой DDoS атаки) от чего сервер перегружен и виснет.
Атака как правило идет с какихто порно сайтов и всякого гавна, как можно с этим боротся, подскажите плис, а то ничего не работае(((

vitaly · 2011-02-24 02:16:35

legenda, nginx тебе в помощь.
У меня сейчас связка nginx + limit_req_module + самописный скрипт на perl'е успешно защищают сайт на WP от периодических DDoS атак.
Атаки средней тяжести, в пике может приходить ботнет из 200+ компов и 700+ запросов в секунду.

p.s. Сайт не мой, я просто сделал для него простенькую защиту.

legenda · 2011-02-24 03:03:37

vitaly, nginx у меня то стоит, но что дальше далать пока без руля, вот посоветовали в .htaccess вписать такое

<files .htaccess>
# Сначала разрешаем доступ всем
Allow from all
# НО! Запрещаем доступ со следующих адресов
Deny from valkor7.buxtop.info
Deny from aa0024.co.cc
Deny from porntube.com
Deny from anek1000.narod.ru
Deny from vitada.org.ua
# Можно задать шаблон для отсеивания ip. Ниже будут заблокированы все домены ниже xx.ru
Deny from .at.ua
</files>

поможет?

vitaly · 2011-02-24 03:22:14

Неа
Максимум что ты заблокируешь - атаки с серверов, на которых находятся указанные тобой сайты.
По referer'у ты таким образом не закроешься.

p.s. Как только запрос прошел от nginx до апача, то смело можешь считать атаку удавшейся. У тебя апач банально ляжет под трафиком.

legenda · 2011-02-24 03:53:02

vitaly, блин а что тогда делать, ip там сотни не все же вписивать((

Можеш както для чайника написать подробнее что ти делал?

Отредактировано legenda (2011-02-24 03:53:42)

vitaly · 2011-02-24 18:20:58

Для чайника:
1. Читаем доки:
* тут http://sysoev.ru/nginx/
* тут http://sysoev.ru/nginx/docs/http/ngx_http_limit_req_module.html

2. Анализируем access.log'и для определения характера атаки и выделения критериев, по которым возможно заблокировать запрос сразу
3. Анализируем поведение обычного пользователя и решаем какое ограничение можно установить для limit_req_module
4. При желании - делаем анализ error.log'а на предмет блокировки IP (через iptables) с которых идёт атака
5. Настраиваем nginx и получаем профит

Если нет желания читать, то велкам в ICQ. За чисто символические 1 т.р. готов всё это сделать вместо тебя.
Единственное "но" - при правильно поставленной DoS атаке защиту нужно постоянно оптимизировать, т.к. правильные атакующие находят и пытаются обойти способы блокировки атак.
Указанная цена (1 т.р.) - за разовую настройку защиты.

legenda · 2011-02-25 00:28:27

vitaly, атака вроде прекратилась, но с понедельника таки свяжусь

mittus · 2011-02-25 00:34:06

legenda, мы раньше делали просто - отрезали доступ по IP к сайту по зонам целыми странами, когда жесткие DoS'ы шли
Но судить надо по контингенту и геологии посетителей. В некоторых случаях такой метод не целесообразен.

vitaly · 2011-02-25 02:05:38

mittus, блокировка по странам действительно может оказаться эффективной, но только если:
1. Атака идёт из нецелевых стран (из какого-нибудь Китая где целевых посетителей просто нет)
2. Блокировка по странам - один из элементов защиты. Иначе всего единственный долдон с ApacheBenchmark сможет положить всё что угодно (ab легко выдаёт под 500 одновременных подключений и >1000 запросов в секунду)

Ну и плюсом ко всему нужно включать тотальное кеширование (везде где только можно) средствами nginx'а..

legenda · 2011-02-25 14:25:55

По странам неполучится так как нету какойто огромного количества из одной страны (Разве что непонятный всплеск Бразилии)) но это 3.4% ... это мало)

Я вот немогу понять, сделал

<files .htaccess>
# Сначала разрешаем доступ всем
Allow from all
# НО! Запрещаем доступ со следующих адресов
Deny from valkor7.buxtop.info
Deny from aa0024.co.cc
Deny from porntube.com
Deny from anek1000.narod.ru
Deny from vitada.org.ua
# Можно задать шаблон для отсеивания ip. Ниже будут заблокированы все домены ниже xx.ru
Deny from .at.ua
</files>

а вот с сайта anek1000.narod.ru всеже идут переходи, что я нетак сделал?

Next Generation CMS :: Форум поддержки

Объявление

#1 2011-02-24 01:59:47

Атака на сайт

#2 2011-02-24 02:16:35

Re: Атака на сайт

#3 2011-02-24 03:03:37

Re: Атака на сайт

#4 2011-02-24 03:22:14

Re: Атака на сайт

#5 2011-02-24 03:53:02

Re: Атака на сайт

#6 2011-02-24 18:20:58

Re: Атака на сайт

#7 2011-02-25 00:28:27

Re: Атака на сайт

#8 2011-02-25 00:34:06

Re: Атака на сайт

#9 2011-02-25 02:05:38

Re: Атака на сайт

#10 2011-02-25 14:25:55

Re: Атака на сайт

Подвал форума