Скачать - Xakep Online

[XÀÊÅÐ 09 [81] 05 > ÂÇËÎÌ 068]
ÿäåðíûå íàñòðîéêè
ôàéðâîëà
ñîáèðàåì ïî÷òîâûå
àäðåñà
Äóìàþ, â ýòîì êîäå òû ñìîæåøü ðàçîáðàòüñÿ è
áåç äîïîëíèòåëüíûõ êîììåíòàðèåâ. Òåì áîëåå,
÷òî ðàáîòó ñöåíàðèÿ ÿ óæå îïèñàë. Ëèìèò ñîåäèíåíèé
â ìîåì ñëó÷àå áûë ðàâíûì ñåìåðêå.
Ïîìèìî îñíîâíîé ôóíêöèè, ñêðèïò âûâîäèò
ñòàòèñòèêó ñîåäèíåíèé, ÷òîáû àäìèíèñòðàòîð
çíàë, êòî â äàííûé ìîìåíò åãî àòàêóåò :).
[èçó÷àåì æóðíàëû] Íî è ýòîò ïðèåì íå äàë
ñòîïðîöåíòíîé çàùèòû îò àòàêè. ×åðåç ïàðó ÷àñîâ
ïîêàçàòåëü íàãðóçêè ðåàëüíî ñíèçèëñÿ íà
40%, ïà÷ ïåðåñòàë òîðìîçèòü, íî âñå ðàâíî
÷óâñòâîâàëîñü, ÷òî àòàêà ïðîäîëæàåòñÿ. Ïðè÷åì,
íàäî îòìåòèòü, ÷òî ñòàíäàðòíûé ôàéðâîë óñïåøíî
ñïðàâëÿëñÿ ñ íàòèñêîì íåïðèÿòåëÿ, ïðîñòî ñóùåñòâîâàëè
êàêèå-òî ñïåöèàëüíûå áîòû, êîòîðûì
óäàâàëîñü îáõîäèòü õèòðîóìíûé ñêðèïò.
È ÿ îáíàðóæèë ýòèõ áîòîâ âñåãî çà íåñêîëüêî
ìèíóò :). Äëÿ ýòîãî ìíå ïðèøëîñü âêëþ÷èòü îïöèþ
verbose â ìîåì ôàéðâîëå ipfw. Ýòî äåëàåòñÿ
ïðîñòîé êîìàíäîé sysctl -w net.inet.ip.fw.verbose=1.
Çàòåì ÿ ñîçäàë íåáîëüøîå ïðàâèëî, îáðàáàòûâàþùåå
âñå ïàêåòû. Äàííûé ðóëåñ äîëæåí
îïåðåæàòü ïî íîìåðó ïðàâèëî, êîòîðîå çàïðåùàåò
âåñü òðàôèê íà ìàøèíó. ß âûáðàë â êà÷åñòâå èäåíòèôèêàòîðà
÷èñëî 50000. Ñàìà êîìàíäà äîáàâëåíèÿ âûãëÿäåëà ñëåäóþùèì îáðàçîì:
ipfw add 50000 count log logamount 0 ip from any to me 80
Òåïåðü ìîæíî áûëî ïðèñòóïèòü ê àíàëèçó ôàéëà /var/log/security. Òóäà
ïî óìîë÷àíèþ, ñòàëè çàïèñûâàòüñÿ âñå îáðàùåíèÿ ê ñåðâåðó íà 80 ïîðò.
Íåìíîãî ïåðåäåëàâ âûøåîïèñàííûé ñöåíàðèé, ÿ ñòàë ïåðå÷èòûâàòü
ôèêñèðîâàííûé ôðàãìåíò ëîãà (êîìàíäîé tail -1000 /var/log/security) è
áðàòü îòòóäà ÷èñëî îáðàùåíèé. Ðåçóëüòàò íå çàñòàâèë ñåáÿ äîëãî æäàòü
— âñåãî ïîñëå 2-3 çàïóñêîâ íàãðóçêà íà ñåðâåð âíîâü óïàëà.
Íî ïîäîáíûì ìåòîäîì íåëüçÿ áûëî çàùèòèòüñÿ íà âñå 100%, ïîòîìó êàê
çà âðåìÿ ñâîåé ðàáîòû ñêðèïò óæå óñïåë çàáàíèòü 20–30 ëåãàëüíûõ ïîñåòèòåëåé
ðåñóðñà :). Ýòî îáúÿñíÿåòñÿ òåì, ÷òî îáû÷íûé ïîëüçîâàòåëü
ïðè îïðåäåëåííûõ óñëîâèÿõ âïîëíå ìîæåò ïðåâûñèòü ìîé ëèìèò îáðàùåíèé
(ïðè îáíîâëåíèè ñòðàíèöû èëè ïðè ñëàáîì êàíàëå).
Âûøåîïèñàííîé çàùèòîé ÿ ïîëüçîâàëñÿ òðè äíÿ. Çà ýòî âðåìÿ, êàê ÿ óæå ãîâîðèë,
â áàíå ôàéðâîëà íàêîïèëîñü ïîðÿäêà ñîòíè äîáðîïîðÿäî÷íûõ ïîëüçîâàòåëåé.
Çàïóñêàòü ñöåíàðèé ïðèõîäèëîñü òðè-÷åòûðå ðàçà â äåíü. Ïîäîáíàÿ
çàùèòà, íåñîìíåííî, äåéñòâîâàëà, íî äîâåðÿòü åé íà âñå ñòî ïðîöåíòîâ
áûëî íåëüçÿ. Ïîýòîìó ÿ ðåøèë ðàçðàáîòàòü íîâûé âàðèàíò ïðîòåêòà ïðîòèâ
DDoS-àòàêè.  ýòîì ìíå î÷åíü ïîìîãëà ñèñòåìà æóðíàëèðîâàíèÿ Apache.
Ìíå çàõîòåëîñü ïîñìîòðåòü íà çàïðîñû, êîòîðûå áîòû ïîñûëàþò WWWñåðâåðó.
Êàê îêàçàëîñü ïðàêòè÷åñêè âñå ðåêâåñòû áûëè îäèíàêîâûìè è íåîòëè÷èìûìè
îò ïîëüçîâàòåëüñêèõ. Íà ïåðâûé âçãëÿä â çàïðîñå ôèãóðèðîâàë
Referer, ïðàâèëüíî îôîðìëåííîå îáðàùåíèå íà ðàíäîìíóþ, íî ñóùåñòâóþùóþ
ñòðàíèöó, è ðåàëüíûé UserAgent. Îäíàêî ïîñëåäíåå ïîëå çàñòàâèëî
ìåíÿ óñîìíèòüñÿ â ïðàâèëüíîñòè çàïðîñà. Â áîëüøèíñòâå çàëîãèðîâàííûõ
ñòðîê, UserAgent èìåë ïðåôèêñ Win 98.x. Âèäèìî, ýòî è áûëà åäèíñòâåííàÿ
îòëè÷èòåëüíàÿ ÷åðòà îáû÷íûõ ðåêâåñòîâ îò âðàæåñêèõ.  ìîåé ãîëîâå
óæå ðîäèëñÿ ïëàí íîâîé çàùèòû ñåðâåðà îò áîòîâ. È óæå ÷åðåç 15 ìèíóò
ÿ åãî ðåàëèçîâàë â âèäå êîìïàêòíîãî Perl-ñöåíàðèÿ. Ãðåõ íå ïðèâåñòè
åãî èñõîäíûé êîä, ïîòîìó êàê ìíîãèì àäìèíèñòðàòîðàì îí ïðèãîäèòñÿ.
[perl-ñêðèïò, ñïàñàþùèé îò DDoS]
#!/usr/bin/perl
$num=`cat /var/log/rule`; # Â ýòîì ôàéëå õðàíèòñÿ íîìåð ïðàâèëà
chomp $num;
$cmd='tail -1000 /usr/local/apache/logs/access.log|grep Win 9x 4.|cut -f1
-d |sort -u'; # Âûãðåáàåì ïîñëåäíèå 1000 çàïèñåé ñ øàáëîíîì, âûðåçàåì
èç íåå IP-àäðåñ è óáèâàåì äóáëèêàòû
@cmd=`$cmd`;
chomp @cmd;
foreach $each (@cmd) {
chomp $each;
$rule=0;
chomp $rule;
open(DB,"/var/log/niggerz");
while() {
if (/$each/) { $rule=1; break } # Åñëè àäðåñ óæå åñòü â áàçå — çàâåðøàåì ðàáîòó
}
close(DB);
unless ($rule) {
system("/sbin/ipfw add $num deny ip from $each to me 80"); # Â ïðîòèâíîì
ñëó÷àå — çàíîñèì IP â áëýê-ëèñò
open(LOG,">>/var/log/dos.log");
print LOG "banned ip $each as rules $num\n";
close(LOG);
open(DB,">>/var/log/niggerz");
print DB "$each\n"; # È äîáàâëÿåì çàïèñü â ëîã è â áàçó íèããåðîâ :).
close(DB);
$num++;
}}
`echo $num > /var/log/rule`; # Îáíîâëÿåì íîìåð ïðàâèëà
Ýòîò ñöåíàðèé ïàðñèò æóðíàë íà ïðåäìåò îòëè÷èòåëüíûõ çàïðîñîâ, âûäåëÿåò
èç íèõ ip-àäðåñ, à çàòåì èùåò àíàëîãè÷íûé àéïèøíèê â ñïåöèàëüíîé áàçå.
Åñëè àäðåñ íå íàéäåí, çíà÷èò, åãî íåò â ïðàâèëàõ ipfw, ñëåäîâàòåëüíî, îí
òàì íåçàìåäëèòåëüíî ïîÿâëÿåòñÿ :).  ïðîòèâíîì ñëó÷àå, ip áîòà óæå áûë çàáàíåí,
ïîýòîìó ñöåíàðèé íå çàñîðÿåò ôàéðâîë ïîâòîðíûì ïðàâèëîì.
Ñêðèïò antiddos.pl çàïóñêàåòñÿ ÷åðåç crontab êàæäóþ ìèíóòó. Ýòîãî âïîëíå
õâàòàåò, ÷òîáû îòðàçèòü àòàêó 2–3 òûñÿ÷ áîòîâ, êàê áûëî â ìîåì ñëó÷àå. Åäèíñòâåííûé
ìèíóñ â ðàáîòå ñöåíàðèÿ çàêëþ÷àåòñÿ â òîì, ÷òî îí íå ìîæåò áûñòðî
âîññòàíîâèòü ðàáîòîñïîñîáíîñòü ñåðâåðà. Èíûìè ñëîâàìè, ïðè èçëèøíå
àêòèâíîé àòàêå (20–30 çàïðîñîâ â îäèí ìîìåíò âðåìåíè), ñåðâåð âñå ðàâíî
óõîäèò â àíàáèîçíîå ñîñòîÿíèå, íî âîçâðàùàåòñÿ èç íåãî ÷åðåç 3–4 ìèíóòû :).
[àäìèí ñïèò, àòàêà èäåò] Åñëè òû äóìàåøü, ÷òî ÿ ïîñòàâèë ñöåíàðèé
è çàáûë î áîòàõ, òî îøèáàåøüñÿ :). Íåñìîòðÿ íà òî, ÷òî çà òðàôèê ÿ íå
ïëàòèë (à áîòû íàãîíÿëè â äåíü îêîëî 500 ìåãàáàéò ìóñîðà), ÿ çàõîòåë
ñïðàâåäëèâîñòè. Ïîýòîìó ìîåé çàäà÷åé áûëî îòïèñàòü â abuse âñåì network-àäìèíèñòðàòîðàì
òåõ ñåòåé, íà êîòîðûõ êðóòèëèñü áîòû, òåì ñàìûì
ðàçðóøèâ áîòíåò.  òå÷åíèå ÷àñà ñ ïîìîùüþ êîìàíäû whois, bash-åâûõ
ñðåäñòâ àâòîìàòèçàöèè è êàêîé-òî ìàòåðè :), ÿ ñîáðàë ïî÷òîâûå àäðåñà
íà 90% áîòîâ. Ìîÿ çàäà÷à óïðîùàëàñü òåì, ÷òî â áîëüøèíñòâå ñëó÷àÿõ
àòàêà âåëàñü èç îäíîé ïîäñåòè. Òàêèì îáðàçîì, ìíå ïîíàäîáèëîñü íàïèñàòü
âñåãî 400 æàëîá, ÷òîáû ñîîáùèòü îáî âñåõ óÿçâèìûõ ìàøèíàõ. Çàäà÷à
áûëà âûïîëíåíà âñåãî çà òðè ÷àñà, è óæå ÷åðåç äåíü ÿ ïîëó÷èë äîáðóþ
ïîëîâèíó îòâåòîâ îò àäìèíîâ, êîòîðûå îáåùàëè îáåçâðåäèòü çàðàçíóþ
ìàøèíó. Âñåãî ÷åðåç íåäåëþ ïîòîê ôëóäà íà ìîé ñåðâåð ïîëíîñòüþ
ïðåêðàòèëñÿ. Âèäèìî, áîòìàñòåð ïîíÿë, ÷òî ñî ìíîé îïàñíî èìåòü äåëî,
èëè çàêàç÷èê ôëóäà ïåðåñòàë ïëàòèòü äåíüãè çà àòàêó.  ëþáîì ñëó÷àå,
ÿ îäåðæàë ïîáåäó íàä çëîäåÿìè, ÷åìó äî ñèõ ïîð î÷åíü ðàä.
Ìîðàëü áàñíè òàêîâà: äàæå åñëè òåáÿ àòàêóþò íåñêîëüêî òûñÿ÷ áîòîâ, à
âûøåñòîÿùèé ïðîâàéäåð îòêàçûâàåòñÿ ïîìîãàòü, äåéñòâóé ñàìîñòîÿòåëüíî.
 ñòàòüå ÿ ïðèâåë íåñêîëüêî ãîòîâûõ ðåøåíèé ïî çàùèòå îò ñàìûõ
îïàñíûõ àòàê, òâîÿ çàäà÷à — âûáðàòü îïòèìàëüíûé âàðèàíò. Åñëè
òû ïëàòèøü çà òðàôèê è íå îäèí âàðèàíò òåáÿ íå óñòðàèâàåò, ïîïðîáóé
ñìåíèòü äàòàöåíòð íà áîëåå äðóæåëþáíûé, ãäå çàáîòÿòñÿ î êàæäîì êëèåíòå,
èëè õîòÿ áû íå áåðóò äåíüãè çà òðàôèê :)
ÊÎÌÏÅÒÅÍÒÍÎÅ ÌÍÅÍÈÅ
Áîëüøèíñòâî DDoS-àòàê áàçèðóåòñÿ íà îñîáåííîñòÿõ ðàáîòû
ïðîòîêîëà TCP/IP, â ÷àñòíîñòè, íà ñïîñîáå îáðàáîòêè
âõîäÿùèõ ïàêåòîâ ñ ôëàãîì SYN. Ýòè àòàêè äîñòàòî÷íî
ñëîæíî ïðåäîòâðàòèòü, îñîáåííî, åñëè ñèñòåìà ïîäðàçóìåâàåò
îáùåäîñòóïíûå âõîäÿùèå ñîåäèíåíèÿ. Òàêæå îñëîæíÿåò
áîðüáó ñ òàêèìè àòàêàìè òîò ôàêò, ÷òî îíè, êàê
ïðàâèëî, ïðîâîäÿòñÿ ñî ìíîæåñòâà àäðåñîâ, çà÷àñòóþ íàõîäÿùèõñÿ
â ðàçíûõ ñåãìåíòàõ Ñåòè è ïðèíàäëåæàùèõ
ðàçíûì îïåðàòîðàì ñâÿçè. Ïîýòîìó êàêîãî-òî ñòîïðîöåíòíîãî
ñïîñîáà áîðüáû ñ íàïàäåíèÿìè ïîïðîñòó íå ñóùåñòâóåò.
Íà äàííûé ìîìåíò ñàìîå äåéñòâåííîå ñðåäñòâî
áîðüáû ñ ýòèì òèïîì àòàê — ýòî êîíòðîëü ñî ñòîðîíû îïåðàòîðà
ñâÿçè, êîòîðûé äîëæåí îáåñïå÷èâàòü èõ áûñòðîå
îáíàðóæåíèå è áëîêèðîâàíèå ýòîãî òðàôèêà íà âõîäå â
ñâîé ñåãìåíò ñåòè. Îïåðàòîðû ñâÿçè ïûòàþòñÿ ïðåäîòâðàùàòü
ïîäîáíûå àòàêè ïóòåì óñòàíîâêè ôèëüòðîâ, êîòîðûå
îòñåêàþò òàêîé òðàôèê â àâòîìàòè÷åñêîì ðåæèìå. Îñîáåííî
ýòà ïðàêòèêà ðàñïðîñòðàíåíà ó çàðóáåæíûõ îïåðàòîðîâ
ñâÿçè. Ïðè÷åì çà÷àñòóþ îò äåéñòâèÿ òàêèõ ôèëüòðîâ
ñòðàäàþò îáû÷íûå ïîëüçîâàòåëè, òàê êàê äîñòàòî÷íî
ñëîæíî îòëè÷èòü òðàôèê DDoS-àòàêè îò íåêîåãî ïðèëîæåíèÿ,
óñòàíàâëèâàþùåãî îäíîâðåìåííî íåñêîëüêî ñîåäèíåíèé
ñ êàêèì-ëèáî óçëîì. Êðàñíîâ Àëåêñåé. Ñèñòåìíûé àäìèíèñòðàòîð
êîìïàíèè Ìåäèàòåë (www.mediatel.ru)