دیداس اتک روی سرور مجازی

[telesm]

سلام دوستان

چند روزه که سایت من زیر دیداس شدید هست ، امروز یک نفر ایمیل فرستاد معلوم شد قصد اخاذی داره می گه باید یک مبلغی پرداخت کنی تا حمله متوقف بشه
لود سرور حدود 30 رسیده و سایت شدیدا کند شده
من یک سری رنج آی پی در آوردم نمی دونم این آی پی ها برای خود کلود فلر هستن یا نه ؟ سوال من اینه که آیا می شه آی پی های زیر را از طریق csf بلاک کرد؟ می ترسم آی پی های خود کلود فلر باشن و سایت ها قطع بشن


172.69.54.189


141.101.76.184


172.69.55.34


141.101.77.230


141.101.76.194


141.101.104.201




141.101.76.104




141.101.76.102


172.69.23.81


162.158.106.18

162.158.106.72


162.158.255.214


108.162.245.164

162.158.106.222


162.158.107.185


108.162.245.142


108.162.245.116

108.162.245.106


162.158.106.240


162.158.107.153


162.158.107.205

[farhadhelix]

سلام
از این پیام های اخاذی برای ما هم زیاد اومده و حمله کردن اما به در بسته خوردن

در ارتباط باشید از طریق تلگرام یا واتس اپ راهنماییتون میکنم که چیکار کنید جلوی این جوجه دیداسر هارو بگیرید

http://t.me/tsiran

[Sajad.Parsa]

کانفیگ های مربوط به cloudflare رو انجام بدین تا ای پی اصلی توسط هدر خونده بشه بسته به وبسرور کانفیگ متفاوته

ModSecurty هم رول های comodo ست کنید مفید واقع میشه

باقی مراحل نیاز به بررسی بیشتر داره ولی 2 کار بالا درست انجام بشه 99% اتک ها با در بسته مواجه میشن

[gglok]

https://www.central-hosting.com/cloud-protection.php
اینو بخر تخصص این تیم تو همین یه مورده

[telesm]

سلام
از این پیام های اخاذی برای ما هم زیاد اومده و حمله کردن اما به در بسته خوردن

در ارتباط باشید از طریق تلگرام یا واتس اپ راهنماییتون میکنم که چیکار کنید جلوی این جوجه دیداسر هارو بگیرید

http://t.me/tsiran

ممنون از لطفتون دوست عزیز
فعلا" چند ساعتیه که اتک را قطع کرده اگر دوباره اتک زد بهتون پی ام می دم

- - - Updated - - -


کانفیگ های مربوط به cloudflare رو انجام بدین تا ای پی اصلی توسط هدر خونده بشه بسته به وبسرور کانفیگ متفاوته

ModSecurty هم رول های comodo ست کنید مفید واقع میشه

باقی مراحل نیاز به بررسی بیشتر داره ولی 2 کار بالا درست انجام بشه 99% اتک ها با در بسته مواجه میشن

ممنون از راهنمایی خوبت دوست عزیزم
وب سرورم لایت اسپیده الان اون قسمت Use Client IP in Header را از داخل کنسول لایت اسپید فعال کردم بعد از اون لاگ ها را که چک می کنم آی پی خود کاربر را نشون می ده ولی مشکل اینجاست وقتی به صورت لایو می خوام آی پی هایی که در اون لحظه کانکت هستن را چک کنم همچنان آی پی های کلود فلر را نشون می ده من از دستور زیر استفاده می کنم



netstat -anp |grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n


آیا دستور دیگه ای هست که بشه آی پی های واقعی کاربرها را گرفت؟

من کومودو را یک مدتی روی سرورم فعال کردم ولی بعد از یک مدت شروع کرد به بلاک کردن آی پی های خود کلودفلر و بعضی صفحه های سایت ارور 508 می داد برای همین غیر فعالش کردم ولی الان دوباره فعالش می کنم
بازم ممنون از لطفی که کردید

[sam_pontiac]

دوست عزیز
از این دست موارد زیاد پیش میاد ، حد اقل ماهی یک بار.
معمولا هم اینطور هست که اینها ip های کلودفلر رو Spoof میکنند و ... حمله رو انجام میدن.

راه حل :
اول - رنج آی پی های کلود فلر رو بدونید :
https://www.cloudflare.com/ips/

دوم - مد mod_cloudflare رو نصب کنید، این مد باعث میشه که ip spoofing نتونند کنند IP های کلودفلر رو و IP های اصلیشون نمایش و ثبت میشه.( آی پی واقعی کاربر به جای آی پی که spoof شده ثبت میشه )
طریقه نصب و توضیحاتش :
https://community.cloudflare.com/t/mod-cloudflare-with-cpanel-and-easyapache-4/22807/4
https://www.internetearnings.com/how-to-install-mod_cloudflare-on-a-cpanel-server/
توضیحات در خود کلود فلر :
https://support.cloudflare.com/hc/en-us/articles/200170916-Restoring-original-visitor-IPs-Option-1-Installing-mod-cloudflare

سوم - داخل csf کل آی پی های کلود فلر رو وایت لیست کنید !
چهارم - آی پی هایی که حمله باهاش ثبت شده رو بررسی کنید و کلا رنج اون آی پی رو مسدود کنید بره.

___ اگر احیانا فرصت و حوصله خوندن لینکهای بالا نبود از طریق دستورات زیر اقدام کنید ___
طریق نصب :


yum install libtool git -y
git clone https://github.com/cloudflare/mod_cloudflare.git
cd mod_cloudflare
/usr/local/apache/bin/apxs -a -i -c mod_cloudflare.c

و در آخر ری استارت و بررسی سرویس mod_cloudflare :


service httpd restart && /usr/local/apache/bin/httpd -M|grep cloudflare

[telesm]

دوست عزیز
از این دست موارد زیاد پیش میاد ، حد اقل ماهی یک بار.
معمولا هم اینطور هست که اینها ip های کلودفلر رو Spoof میکنند و ... حمله رو انجام میدن.

راه حل :
اول - رنج آی پی های کلود فلر رو بدونید :
https://www.cloudflare.com/ips/

دوم - مد mod_cloudflare رو نصب کنید، این مد باعث میشه که ip spoofing نتونند کنند IP های کلودفلر رو و IP های اصلیشون نمایش و ثبت میشه.( آی پی واقعی کاربر به جای آی پی که spoof شده ثبت میشه )
طریقه نصب و توضیحاتش :
https://community.cloudflare.com/t/mod-cloudflare-with-cpanel-and-easyapache-4/22807/4
https://www.internetearnings.com/how-to-install-mod_cloudflare-on-a-cpanel-server/
توضیحات در خود کلود فلر :
https://support.cloudflare.com/hc/en-us/articles/200170916-Restoring-original-visitor-IPs-Option-1-Installing-mod-cloudflare

سوم - داخل csf کل آی پی های کلود فلر رو وایت لیست کنید !
چهارم - آی پی هایی که حمله باهاش ثبت شده رو بررسی کنید و کلا رنج اون آی پی رو مسدود کنید بره.

___ اگر احیانا فرصت و حوصله خوندن لینکهای بالا نبود از طریق دستورات زیر اقدام کنید ___
طریق نصب :


yum install libtool git -y
git clone https://github.com/cloudflare/mod_cloudflare.git
cd mod_cloudflare
/usr/local/apache/bin/apxs -a -i -c mod_cloudflare.c

و در آخر ری استارت و بررسی سرویس mod_cloudflare :



service httpd restart && /usr/local/apache/bin/httpd -M|grep cloudflare


دوست عزیزم ممنون از لطفت واقعا" نمی دونم با چه زبونی ازت تشکر کنم کمک خیلی بزرگی کردید
وب سرور من لایت اسپیده برای همین
mod_cloudflare روش نصب نمی شه من از روشی که توی خوب سایت کلود فلر و لایت اسپید نوشته بود رفتم به این صورت که از داخل کنسول لایت اسپید Use Client IP in Header را فعال کردم و روی گزینه only trusted ip قرار دادم
و تمام آی پی ها کلودفلر را داخل کنسول لایت اسپید وارد کردم
طبق فرمایش شما حتما" آی پی های کلود فلر را هم وارد وایت لیست csf می کنم
الان که access log را چک می کنم آی پی های واقعی کاربرها را نشون می ده ولی وقتی از دستور زیر استفاده می کنم تا کانکشن هایی که به سرور وصل هستن را پیدا کنم همچنان آی پی های کلود فلر را نشون می ده آیا دستوری هست که بشه باهاش به آی پی های واقعی کانکشن هایی که همون لحظه به سرور وصل هستن را پیدا کرد؟



netstat -anp |grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

[ULTRAWEB]

س
یک تونل greمیتونین تهیه کنین که محافظت شین

[farhadhelix]

س
یک تونل greمیتونین تهیه کنین که محافظت شین

تونل هم در نهایت درخواست ها به وب سرویس میرسه و همون مشکل پابرجا خواهد بود
باید لایه 7 ایمن بشه حالا یا توسط خود سرور یا توسط یک لایه فایروال جلوی سرور

[Genral X2]

هنوزمم دوستان بزرگ نشدن و اتک میدن ؟:))))))))

[ULTRAWEB]

تونل هم در نهایت درخواست ها به وب سرویس میرسه و همون مشکل پابرجا خواهد بود
باید لایه 7 ایمن بشه حالا یا توسط خود سرور یا توسط یک لایه فایروال جلوی سرور
تونل معمولی منظورم نبود که!!!
یک تونل امن منظورم بود که درخواست ها رو بررسی کنه و ترافیک پاک رو دوباره به سرور شما برسونه خالا جه لایه دو سه باشه چه لایه هفت:78:=))

[farhadhelix]

تونل معمولی منظورم نبود که!!!
یک تونل امن منظورم بود که درخواست ها رو بررسی کنه و ترافیک پاک رو دوباره به سرور شما برسونه خالا جه لایه دو سه باشه چه لایه هفت:78:=))

این همون فایروال جلوی سرور میشه. اصلا نیازی به تونل نیست . بحث تونل چیز دیگه ای هست
لایه 3و4 بودن یا لایه 7 بودن خیلی با هم تفاوت داره. با فایروال معمولی یا تنظیمات روی خود سرور میشه لایه 7 رو کامل مسدود کرد .اما لایه 3 و 4 دیگه همچین چیزی نیست و باید این موارد روی فایروال سخت افزاری و مسیر های قبل از سرور جلوگیری از این مورد بشه و صرفا اینکه یک فایروال جلوی سرور قرار بگیره اصلا شدنی نیست

[ULTRAWEB]

این همون فایروال جلوی سرور میشه. اصلا نیازی به تونل نیست . بحث تونل چیز دیگه ای هست
لایه 3و4 بودن یا لایه 7 بودن خیلی با هم تفاوت داره. با فایروال معمولی یا تنظیمات روی خود سرور میشه لایه 7 رو کامل مسدود کرد .اما لایه 3 و 4 دیگه همچین چیزی نیست و باید این موارد روی فایروال سخت افزاری و مسیر های قبل از سرور جلوگیری از این مورد بشه و صرفا اینکه یک فایروال جلوی سرور قرار بگیره اصلا شدنی نیست


Nبه اضافه ی دو شرکت این سرویس ها رو ارائه میدن بعدش شما چه میگی !!!
https://www.acmetek.com/infrastructure-protection/#:~:text=With%20Generic%20Routing%20Encapsulation% 20(GRE,Floods%2C%20executed%20directly%20or%20via

https://www.blockdos.net/gre-tunnel/

RADWARE
IMPERVA
https://www.psychz.net/ddos-mitigation.html
وان تا دیگه

[farhadhelix]

Nبه اضافه ی دو شرکت این سرویس ها رو ارائه میدن بعدش شما چه میگی !!!
https://www.acmetek.com/infrastructure-protection/#:~:text=With%20Generic%20Routing%20Encapsulation% 20(GRE,Floods%2C%20executed%20directly%20or%20via

بله شرکت های زیادی هست ارائه میده بهش میگن remote firewall که از طریق تونل ای پی هاتون رو BGP میکنید به روتر های اون شرکت و اونا مسئلیت کنترل دیداس رو به عهده میگیرند

که قیمت هاش هم 400 دلار به بالا هست در ماه

آیا کسی هست این هزینه رو برای این مورد انجام بده؟؟

این که شخصا بخواید همچین کاری رو تکی انجام بدید امکان پذیر نیست

[ULTRAWEB]

بله شرکت های زیادی هست ارائه میده بهش میگن remote firewall که از طریق تونل ای پی هاتون رو BGP میکنید به روتر های اون شرکت و اونا مسئلیت کنترل دیداس رو به عهده میگیرند

که قیمت هاش هم 400 دلار به بالا هست در ماه

آیا کسی هست این هزینه رو برای این مورد انجام بده؟؟

این که شخصا بخواید همچین کاری رو تکی انجام بدید امکان پذیر نیست

شرکت هایی هستن با 30هزارتومن درماه دارن اینکاروانجام میدن میگم از ین شرکت ها استفاده کنه مشکلش حل شه نیازی به پرداخت 400دلار نیس اگر واقعا مشکل داره

برای هرشخصی امکان پذیرهس کافیه جستجو کنن و سرویس بگیرن
;)

[farhadhelix]

شرکت هایی هستن با 30هزارتومن درماه دارن اینکاروانجام میدن میگم از ین شرکت ها استفاده کنه مشکلش حل شه نیازی به پرداخت 400دلار نیس اگر واقعا مشکل داره

برای هرشخصی امکان پذیرهس کافیه جستجو کنن و سرویس بگیرن
;)

این شرکت های 30 هزار تومانی رو به ما هم معرفی کنید داخل ایران

[ULTRAWEB]

این شرکت های 30 هزار تومانی رو به ما هم معرفی کنید داخل ایران
اینجا بخش اموزشی هس ومنم فروشنده سرویس نیستم ولی کافیه گوگل کنین به جواب برسین و پرسوجو کنین ولی هس

[farhadhelix]

اینجا بخش اموزشی هس ومنم فروشنده سرویس نیستم ولی کافیه گوگل کنین به جواب برسین و پرسوجو کنین ولی هس

موردی نیست پیوی برای بنده ارسال کنید شما که میفرمایید با 30 هزار تومان ارائه میدن خدماتی رو که شرکت های غول خارجی کمترین قیمتشون 400 دلار در ماه هست

[telesm]

شرکت هایی هستن با 30هزارتومن درماه دارن اینکاروانجام میدن میگم از ین شرکت ها استفاده کنه مشکلش حل شه نیازی به پرداخت 400دلار نیس اگر واقعا مشکل داره

برای هرشخصی امکان پذیرهس کافیه جستجو کنن و سرویس بگیرن
;)

با کمک و توصیه هایی دوستان کردن خوشبختانه الان دو روزه اتک قطع شده
می شه لطفا" آدسش را برای منم بفرستید؟

[farhadhelix]

با کمک و توصیه هایی دوستان کردن خوشبختانه الان دو روزه اتک قطع شده
می شه لطفا" آدسش را برای منم بفرستید؟

یه چیزی این دوستمون نادانسته گفت و رفت.
شما جدی نگیر .
خوبه که مشکلتون حل شد دوست عزیز