DDOS op mijn webserver

[MrHarry]

Beste Tweakers,

op mijn webserver krijg ik sinds woensdag een aanval door zo te zien een botnet, heb een stuk fo 20 ip's al in de iptables drop list gedaan echter blijft het doorgaan. Hen meerdere mods aangezet oa: mod_evasive echter blijft het door gaan de aanval....Ik denk dat het een aanval is dmv een sql query die uitgevoerd wordt echter is het rare dat mijn bandbreete 100mbit volledig gebruikt wordt. De aanval is puur op www gericht andere poorten zijn ook dicht gezet dmv iptables.
Ik draai apache met de laatste patches....iemand enig idee wat hier nog meer aan te doen is?

Gr Harry.

[lordgandalf]

kun je niet de ip`s op je firewall kunnen killen

[MrHarry]

heb de ip's al in een droplijst gezet maar dna komen er gewoon nieuwe ip's die hetzelfde doen...zit nu al op 50+blocked ip's.

[Joolee]

Installeer / plaats een (hardware) firewall welke mogelijkheden heeft DDOS aanvallen af te slaan.

[MrHarry]

die financiele oplossing heb ik niet ben dus opzoek naar een softwarematige oplossing hiervoor omdat mijn budget eignelijk gewoon erg laag is

[kKaltUu]

welk OS draait er op de webserver? als je een linux bakje hebt moet je je rules in je iptables goed zetten.

[Icekiller2k6]

http://blogama.org/node/137 kun je is bekijken

[MrHarry]

hoi kkaltuu, draai centos welke rule zou ik dan moeten toevoegen in iptables om dit tegen te kunnen gaan?

[moto-moi]

kKaltUu schreef op vrijdag 26 maart 2010 @ 12:35:
welk OS draait er op de webserver? als je een linux bakje hebt moet je je rules in je iptables goed zetten.

Zomaar @ random ips bannen gaat echt niet werken bij een goed opgezette DDos.

---

Het beste wat de topicstarter kan doen is kijken of hij een patroon kan ontdekken in de aanval, bijvoorbeeld een standaard sourcepoort, een standaard targetpoort etc, daar kun je op gaan blokkeren. Al denk ik dat dat in zijn geval niet gaat helpen aangezien hij zegt dat zijn complete lijn volgetrapt wordt met die troep, dan maakt blokkeren niets meer uit. In dat geval zou je kunnen proberen in overleg met je provider blokkades op te werpen.

[MrHarry]

dat script kende ik nog niet ice ga m eens testen thanks iig!

[MrHarry]

Hoi Moto,

provider doet niks is dedicated hosting van leaseweb...die verhuren lijntje en niet meer wat ice opgaf is wel een nice script die blocked alle verbindingen die gewoon lopen te rammen als ik het zo zie...dus hoop, dat werkt zal wel een mega waslijst aan ip's worden maar zal me jeuken als die maar weg gaat...las wel eens over deze dingen maar als bij je gebeurt voel je, je toch redelijk machteloos dacht dat ik dit soort dingen wel beetje tegen kon houden maar het is dweilen met de kraan open. had nieuwe server gemaakt met alle nieuwe patches en mods en die bleef wel staan en had 20% cpuload t.o.v de oude server 50+% cpu maar netwerk load bleef 100%

[serkoon]

Uit de TS maak ik op dat het gaat om een attack op HTTP of mogelijk zelfs applicatie-niveau, dus TCP-connecties. Spoofing is dan niet ter sprake, dus bannen op IP-adres is in principe prima mogelijk.

Als iptables een manier kent om veel adressen efficient in 1 rule te blokkeren (zoals pf en ipfw 'tables'), zou ik dat gebruiken.

Het is heel best mogelijk dat een beperkt aantal adressen de meeste zooi veroorzaken. Pak dus je Apache logfiles en maak een lijstje van aantal requests per IP-adres en sorteer deze op meeste-requests-eerst. Blokkeer dan de belangrijkste adressen eerst.

Een (ranzige) manier om dat te doen (laatste 10000 regels van access.log, meer is misschien beter):

code:

#!/bin/sh
log=access.log
lines=10000
for ip in `tail -n $lines "$log" | awk '{print $1}' | sort -u`; 
do 
  count=`tail -n $lines "$log" | grep -c "^$ip"`; 
  echo $count $ip ; 
done | sort -nr

[Verwijderd]

Het is waarschijnlijker dat iemand een ddos uitvoert op een hoger protocol niveau. Denk hierbij aan een udp flood. Net zoals moto zegt, moet je kijken wat het doel is van de aanval.

Als er een ddos is, voer dan eens "tcpdump" uit. Dan kan je precies zien om welke protocollen/poorten het gaat.

Met "top" en "vnstat" kan je kijken naar het netwerkverkeer en welke processen zoveel cpu trekken. Interrupt zou de netwerkkaart kunnen zijn. Je zou je netwerk ook op polling kunnen zetten als interrupt erg hoog is.

[Snow_King]

Varnish kan hier nog wel eens helpen, zie ook: http://blog.widodh.nl/200...inst-a-ddos-with-varnish/