يه سئوال كوچك در مورد حمله به سرور

[djmorti]

دو شبه داره به سرورم حمله ميشه.لود سرور مياد روي 50 و ديگه هيچي باز نميشه
وقتي فايل ايندكس توي www.domain.com/index.php رو Rename ميكنم لود مياد پايين و بقيه سايتا باز ميشن.نميدونم چجوري بگم ولي در كل هر چي هست سر همين index.php هست يعني فقط روي صفحه اصلي سايته

كسي ميدونه چجوري بايد جلوشو بگيرم
با دستور
netstat -anp |grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
هم كه ميزنم بيشتر از صد تا اي پي با درخواست هاي بالا هست و هر كدومشونم مال يه كشوره
توي فاير وال سرور بن ميكنم ولي انگاري فايده اي نداره :-s

[amirizadi]

بله حمله داره صورت ميگيره
بعد از بلوك اي پي iptable ها را ريست كنيد ببنيد حل ميشه

[djmorti]

ممنون
ميشه بگين چجوري بايد ريست كنم؟

[m3hdi]

service iptables restart

[djmorti]

ممنون...
ريست كردم ولي بازم فايده اي نداشت. از ديشب نخوابيدم :-| كسي راهي بلده كمكم كنه؟

---------- Post added at 04:59 PM ---------- Previous post was at 04:55 PM ----------

اي پي هايي كه كانكشن هاي زيادي به سرور دارن از هر كشوري كه فكر كنيد هستن و تعدادشونم خيلي زياده
واقعا خسته شدم ديگه :-<

[irlogo]

با csf ت حدی می تونین آی پی ها رو بلوک کنید

[djmorti]

csf هم دارم ......

[m3hdi]

کانکشن سرور رو محدود کنید
آی پی ها رو با cfs بلوکه کنید (راحتتره)

[djmorti]

با كلك رشتي فعلا درستش كردم
فايل
index.php
رو كردم
index1.php
بعد از طريق سي پنل ادرس سايت رو فروراد كردم به domain.com/index1.php
حالا هر كي بزنه domain.com اتومات منتقل ميشه به domain.com/index1.php
سايتم فعلا داره توپ كار ميكنه و ديگه خبري از حمله نيست
:-|:-|:-|

[ali2k]

داخل csf قسمت CT_ تعداد کانکشن ها را محدود کنید به 150 اگر درست نشد کمش کنید به تدریج تا لود سرور بیاد پایین .
mod_evasive نصب کنید بدرد این مدل حمله میخوره :)

[djmorti]

ممنون
يه سرچ كوچك كردم فكر كنم اين mod_evasive براي آپاچي هست
وب سرور من لايت اسپيده
كسي ميتونه كمك كنه؟ اسم فايل ايندكس رو كه تغيير داده بودم الان يارو نشته داره اون اسم تغيير يافته رو باز ميزنه ...

[djmorti]

خواهش ميكنم كمك كنيد دهن مارو سرويس كرد :((
يه فايل پي اچ پي رو سرور انتخاب ميكنه همونو ميزنه
ديگه سايت بالا نمياد

---------- Post added at 12:04 PM ---------- Previous post was at 11:50 AM ----------

فكر كنم با تنظيم كردنه لايت اسپيد بشه يه كارايي كرد
كسي بلده كمك كنه؟

[djmorti]

:63:

[ali2k]

اگر ویزیتور های مربوط به کشور خاصی هستند مثلا ایران تو csf تنظیم کن فقط ای پی های کشور ایران را قبول کنه :) ای پی گوگل و چندتا روبات موتور جستجو هم بزار داخل لیست سفید تا حمله قطع بشه

[djmorti]

متاسفانه سايت بزرگي هست و از همه جاي دنيا تغريبا ويزيتور دارم
بدبختي اينجاست كه طرف ايرانيه و ميخواد اخاذي كنه !

[ali2k]

خب پس صفحه ای که الان روش حمله داری را از حالت دینامیک خارج کن ، استاتیک کن به این صورت که یه کش بهش اضافه کن که هر 15 دقیقه یکبار اپدیت بشه که بروزرسانی سایتت به هم نریزه در بقیه موارد از کش بخوانه و نمایش بده ، در این حالت لود سرورت میاد پایین میتونی در مقابل حمله طرف دوام بیاری ... مگر اینکه نوع حمله را عوض کنه ...

تعداد کانکش ها را برای ای پی ها خیلی محدود کن به 30 کانکشن ، keep alive را خاموش کن

[arash2105]

سایت شما چی هست ؟ انجمن هست یا ...
اگر انجمن هست و vbulletin چند مد برای جلوگیری از حمله هست که جوا ب میده
شخص مورد نظر با پر و کسی به شما حمله میکنه . اگر به php اشنایی داری کد هایی هست که پر و کسی را شناسای میکند و شما میتونی از طریق ان کد ip های پر و کسی را مسدود کنی
من هم زمانی به همین طریق به سایتم حمله میشد یا باید یک Antiddos نرم افزاری نصب کنید یا به یک سرور قدرتمند جابه جا بشی

[djmorti]

ممنون علي جان
اين استاتيك كردن رو ميشه بهم اموزش بدي بايد چجوري انجامش بدم و اينكه هر 15 دقيقه اپديت بشه؟

بعد هم والا من هيچ تخصصي در زمينه سرور ندارم اين تعداد كانكش ها و Keep Alive رو هم بهم اگه ميشه بگو از كجا تغيير بدم

---------- Post added at 04:44 PM ---------- Previous post was at 04:41 PM ----------


سایت شما چی هست ؟ انجمن هست یا ...
اگر انجمن هست و vbulletin چند مد برای جلوگیری از حمله هست که جوا ب میده
شخص مورد نظر با پر و کسی به شما حمله میکنه . اگر به php اشنایی داری کد هایی هست که پر و کسی را شناسای میکند و شما میتونی از طریق ان کد ip های پر و کسی را مسدود کنی
من هم زمانی به همین طریق به سایتم حمله میشد یا باید یک Antiddos نرم افزاری نصب کنید یا به یک سرور قدرتمند جابه جا بشی

والا هم سايت هم فروم
سرور هم قويه ... ( سايت موزيك باران )
متاسفانه به دلايلي كه شايد خيلي ها بدونن كسي حاضر نيست به ما سرور بده.واسه همين خودمون دست به كار شديم و 6 ماهي ميشه سرور گرفتيم و چون تخصص ما اين نيست دستو پا شكسته كارمونو پيش ميبريم تا انشالله بلكه يه خورده تو اين زمينه هم تخصص پيدا كنيم
در مورد كد ها هم متاسفانه اطلاعي ندارم.ممنون ميشم اگه بتوني كمكم كني

[djmorti]

دوستان كسي با اين اسكريپت كار كرده؟
به نظرتون به دردم ميخوره نصب كنم؟

اسکریپتی برای مقابله با حملات Ddos - انجمن گروه آشیانه - آموزش امنیت و راه های مقابله با هک (http://ashiyane.org/forums/showthread.php?t=18939)

[ali2k]

*/15 * * * * /usr/bin/wget http://example.com/index-12.php -O /home/user/public_html/index.html


بیا این دستور را امتحان کن
این دستور را بزار داخل crontab یا اگر کنترل پنل داری داخل cronjob - crontab پیدا کن این رو بزار باید یکمی تغییرش بدی یعنی ادرس سایت خودت را بزار بعد فایل ایندکس پی اچ پی را اسمش را عوض کن مثلا من گذاشتم index-12 که دیگه زیر حمله نباشه و بعد ادرس درست فایل index.html را هم بده

هر 15 دقیقه یک کپی از فایل index-12.php را میگیره و میریزه تو index.html اینجور فعلا سایتت استاتیک میشه و لودت میاد پایین دیگه حمله این مدلی هم روی سرورت تاثیرش خیلی خیلی کم میشه ... می تونی مقاومت کنی تا طرف بیخیال بشه ...

[djmorti]

علي جان فكر ميكنم تنها راهي كه ممكنه درست بشه همينه كه شما گفتي
منظورتو كاملا متوجه شدم ولي با عرض معذرت نميدونم دقيقا كجا و بايد چكار كنم
اگه دقيق و ابتدايي برام توضيح بدي كه كجا برم و چي بزنم ممنون ميشم
از Cron job توي سي پنل بايد استفاده كنم؟
ميشه آيدي ياهوتو برام بفرستي؟

[ali2k]

***************

[djmorti]

بي شرف يه ساعت رفته بودم بيرون اينقدر سرور رو زده كه الان هيچي باز نميشه
نه ssh نه whm و جالب اينجاست كه حتي kvm هم باز نميشه
حالا اين بنده خدا هم كه سرور رو برام گرفته رفته تركيه.من موندم چجوري با ديتا سنتر در تماس باشم.ايميل خريد دست اونه :((

[djmorti]

(:|

[sales data]

حتما کانکشن های خود را محدود کنید

[djmorti]

ميشه لطف كنيد دقيقا بگيد از كجا و چجوري؟من لايت اسپيد دارم
ممنون

[sales data]

ببینید توی فایروال cfs وارد بشید و از داخل تنظیمات فایروال این کارو انجام بدید
موفق باشید

[m3hdi]

خود lite این امکان رو داره نیازی به محدودیت با csf نیست
در پنل lite و قسمت security رو چک کنید

[djmorti]

ممنون مهدي جان
تو قسمتsecurity تنظيمات رو به اين صورت گذاشتم
كافيه؟

Static Requests/second 5
Dynamic Requests/second 5
Outbound Bandwidth (bytes/sec) 100000
Inbound Bandwidth (bytes/sec) 50000
Connection Soft Limit 40
Connection Hard Limit 40
Grace Period (sec) 15
Banned Period (sec) 36000

بعد براي اعمال تغييرات بايد حتما سرور رو ريست كنم؟

[m3hdi]

فعلا با همین تست کنید ببینید چطور میشه
نه فقط لایت رو ریست کنید کافیه

[djmorti]

متاسفانه با اين تنظيمات باز هم زد ... :(

[m3hdi]

در هنگام حمله دستور زیر رو بزنید و خروجی رو اعلام کنید

netstat -n | grep :80 |wc -l

[djmorti]

آمده ميگه 4 ميليون بده نزنم !!
بچه ها به نظرتون اين شركت ميتونه به كمكم بياد؟ Welcome to ZEN Network Technologies - DDoS Protection (http://www.zenprotection.com/index)

---------- Post added at 02:49 PM ---------- Previous post was at 02:36 PM ----------

netstat -n | grep :80 |wc -l

7423

[m3hdi]

خروجی دستور :

/bin/netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr |more

[djmorti]

خروجی دستور :

/bin/netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr |more

مهدي جان اينو قبلا 100 بار زدم
265 تا اي پي ازش بن كردم

يه اسكريپت هم نصب كردم كه هر اي پي بيشتر از 50 كانكشن داشته باشه يه ساعت بن بشه
بالاي 200 تا اي پي اونم بن كرد
ولي بي فايده بود

الان دو سه بار شده داره ميزنه لود سرور تا 15 ميره بعد از دو دقيقه باز كم ميشه ! شايد اين لايت اسپيده داره عمل ميكنه بالاخره
از همه جالب تر اينكه بهم گفت 4300 دلار بايد پول بدم
بهش گفتم 250 دلار ميدم هاست دي ال كاري كنه نتوني بزني
گفت اون ممينزم
سايت وطن دانلود رو بهش دادم روي هاست دي اله تو كمتر از 2 دقيقه اونم زد !!‌ ولي چيز يكه عجيب بود اين بود كه به جايي كه مثل من كند بشه و باز نشه سايتش ارور
404 Not Found


داد !!‌ يه لحظه شك كردم اين يارو از طرف هاست دي ال باشه ! چون تا اينجوري شد يه دقيقه بعد گفت حالا درستش ميكنم.گفتم بهت شاخ كه نميزنه بزار باشه ! ولي گوش نداد و درستش كرد !

[m3hdi]

بیشترین کانکشن ها چه تعدادی هستند ؟
چند تا ip بیشترین کانکشن ها رو دارند ؟

[djmorti]

مثلا تا 900 كانكشن براي يه اي پي بوده !
دونه دونه هم نيست
مثلا چك كه ميكنم 20 تا اي پي با هر كدومشون 300 400 كانكشن ميزنن

[djmorti]

ما به دريا بريم بايد يه افتابه آب با خودمون ببريم
اينجا ديگه چرا يهو اينجوري شد

[soroushhost]

دوست عزیز چرا شما مدیریت سرور از یکی نمی گیرید که برتون مشکل رو حل کنه، بعد می تونید ازشون بخوایین که توضیح بده مشکل چی بوده و چه جوری حل شده (همه این کارو نمی کنن، قبل از گرفتن این سرویس ازشون سوال کنید که بهتون می گن مواردی که گفتم رو یا نه)
===============
حالا حل مشکل شما، چند تا user روی سرور هست ؟ و مشخصات کامل سرور که بتونم راهنمایتون کنم

[trustnet]

سلام

بازم این مشکلات DOs && DDOs !!!
فکر کنم بیشتر شبیه به بچه بازی باشه که هکر میگه به شما الان سایتتو میخوابونم !
به احتمال زیاد فایروال شما کانفیگ نیست اگه فایروالتون خوب کانفیگ شه جلوشو میگیره
وقتی فایر وال شما اونقدر پیادست که 900 تا کانکشن رو با یک آی پی رو بلاک نکنه انتظاری نداشته باشید.

تشکر

[djmorti]

قبلا هم گفتم
ده بار تا حالا ده نفر رو به عنوان مدير سرور اوردم
يا بدتر گند زدن يا طرف شل براي خودش اپلود ميكردم ياهم ديتا بيس سايتو كش ميرفتن

در مورد كانفيگ فاير وال ميشه يه چند تا نكته كليديشو بهم بگيد؟ در مورد تنظيماتش
البته با اين فرض كه واقعا هيچي بلد نيستم لطفا واضح و ساده توضيح بدبد

الانم مجبور شدم اي پي همه كشور ها بجز ايران رو بن كنم تا نتونه كاري بكنه ! بازديد سايتم يك سوم شده

[m3hdi]

این روش رو هم تست کن
ct_limit رو در csf روی 30 یا 40 بزار ...

[soroushhost]

Dos Deflate X رو نصب و کانفیگ کن
اگر انگلیسی هم یکم یاد داشته باشید این خیلی خیلی بدردتون می خوره!
Install and configure APF and (D)DOS-Deflate | MakeMagic (http://www.makemagic.gr/node/234)

[trustnet]

سلام

فایر وال سی اس اف نصب کنید !!!
تا فردا آموزش کانفیگشو رو در وبلاگم قرار خواهم داد میتونید از اونجا بردارید
انشا الله مشکلتون حل میشه.

تشکر

[djmorti]

سي اف اس نصب دارم
منتها كانفيگ نيست
ممنون ميشم كانفيگشو قرار بديد
فعلا سرور رو دادم دست اقاي كماليان مدير آشيانه ببينم ايشون ميتونن براي ما كاري بكنن !‌

[m3hdi]

سي اف اس نصب دارم
منتها كانفيگ نيست
ممنون ميشم كانفيگشو قرار بديد
فعلا سرور رو دادم دست اقاي كماليان مدير آشيانه ببينم ايشون ميتونن براي ما كاري بكنن !‌


این روش رو هم تست کن
ct_limit رو در csf روی 30 یا 40 بزار ...
...

[djmorti]

گذاشتم عمل نكرد

---------- Post added at 07:32 PM ---------- Previous post was at 07:27 PM ----------

ببينيد من الان اي پي هاي كشور هاي مختلف رو بن كردم
همونجوري كه ميدونيد وقتي باز باشه آي پي ها و به سرور برسه حملش درخواست ها ميره بره رم و باعث ميشه سايت بالا نياد
ولي الان كه بن شده ( اي پي كشور ها ) درخواست به سرور ميرسه منتها بر خلاف حالت قبلي درخواست ها ميره به سي پي يو و باعث ميشه لود بالا بره و من سرعت سايت كند بشه.بن شدنه اين مدلي با اينكه توي فاير وال بن كنمش خيلي فرق ميكنه
الان سرعت كند شده

---------- Post added at 07:54 PM ---------- Previous post was at 07:32 PM ----------

=======================

بچه ها من حس ميكنم اين فاير وال من اصلا اي پي بن نميكنه
الان امدم واسه تست اي پي يكي از دوستامو توش بن كنم ببينم عمل ميكنه يا نه

تا ديروز اينجوري نبود .. الان كه رفتم ديدم زده Firewall Status: Enabled but Stopped
استارت هم ميزنم وقتي تموم ميشه عملياتش و برميگرده به صفحه قبل بازم روي Stop هست

---------- Post added at 07:57 PM ---------- Previous post was at 07:54 PM ----------

وقتي استارتش ميكنم تو خط اخري ميگه
Error: csf: Incorrect PORTFLOOD setting: [80], at line 1424

[soroushhost]

دوست عزیز
راحت ترین کار پاک کردن و نصب دوبارست و 100 البته برنامه ای که بهتون پیشنهاد کردم قبلا
این برای پاک و نصب کردنش
http://www.configserver.com/free/csf/install.txt
بعد از توی حالت تست در بیارینش، و نتظیمات اولیه رو اعمال کنید

[REXNET]

دوستان، دست بالای دست بسیار است... یک حمله DoS میتونه خیلی ساده باشه و همینطور میتونه بسیار پیچیده باشه تا حدی که با روش های معمول بلاک کردن جواب نگیرید. هر عمل از سوی هکر میتونه با یک عکس العمل بجا توسط مدیریت سرور جواب داده بشه و هر عمل از سوی مدیر سرور نیز به یک عکس العمل توسط هکر.... برنده این رقابت فقط و فقط فرد دانا تر و با تجربه تر هستش... پس لطفا در صورتیکه خود شما توانایی مدیریت سرور مخصوصا از لحاظ امنیتی را ندارید، حتما به دنبال آن شخص یا شرکت دانا و با تجربه باشید.

[djmorti]

ميشه يه جوون مرد تنظيمات اصلي و مهم كانفيگ فايروال csf رو بهم بگه؟
فاير وال من روي حالت default هست

[omid68]

اگه خواستی یوزر و پس بده منواست ردیفش کنم

[djmorti]

هزار بار پشت دستمو داغ كردم ديگه سرور دست كسي ندم
باز ديشب خر شدم دادم يكي از اقايوني كه اينجا تاپيك مارو ديدن و پيام خصوصي دادن گفتن درست ميكنم

سايتم درست بود فقط سرعت لودش كم بود چون اي پي هارو بسته بودم
دادم ايشون اخرش جوري تحويلم دادن كه نه سايتي بالا ميومد نه هيچي
باز مجبور شدم رفتم يكي رو اوردم 50 تومن دادم اپاچي و پي اچ پي و لايت اسپيد و همه رو دوباره نصب كرده...
خدا پدر اوني كه اسمشو اوردم كه گفتم پسورد روت سرورمو داره بيامرزه.اگه نبود همه اين كاراشو ميخواست گردن كي بندازه . حالا دم به دقيقه هم اس ام اس ميده ميگه پول مارو چرا نميريزي
واسه كاري كه نكرده و گند زده پول ميخواد از ادم
واقعا متاسفم
درسته خيلي وقت گذاشته شايد ولي هيچ كار نكرده كه هيچ بدترشم كرده.حداقل انتظار داشتم مثل اولش تحويلم بده ولي به قول خودش چون نيم ساعت كار داشته و خسته بوده و فرداش كلاس داشته نميتونه انجامش بده و بنده هم بايد هزينشو بدم.كاش خودشو جاي من ميزاشت ...