AAAH! DDoS attacks :r :r

[jep]

G*dv*rd*mm*



Mn server op 2mbit lijn heeft op 't moment 11mbit uit.. onbestuurbaar.. als de kabels eruit liggen gaat de attack door op de router.. niets te beginnen dus

Priority bellen kunnen die wat doen? ik iig niet

[ACM]

Op maandag 01 oktober 2001 18:07 schreef j3p het volgende:
Mn server op 2mbit lijn heeft op 't moment 11mbit uit..

dat kan helemaal niet

Priority bellen kunnen die wat doen? ik iig niet

Met een beetje mazzel kunnen ze het verkeer iig stopzetten.

Check ook in je logs op welke poorten de attacks waren. Dan kunnen ze die in hun firewall blokeren indien het niet een belangrijke is.

[jep]

Het zijn japanners lijkt.. wat moeten die nou bij mij man

Als ik hun ip check draaien ze een password protected website op hun httpd, een ssh deamontje.. nog van die shit.

en veeeeel ip's

host <hostname>

[Verwijderd]

dat eht veel japanse hosts zijn wil niet zeggen dat het japanners zijn....

[Bigs]

Zijn hoogstwaarschijnlijk gehackte bakken.

[Verwijderd]

kan ook iemand zijn die via via jou wil hacken zou goed kunnen.

maar waarom willen ze je hacken heb jij iets belangrijks?

of heb je ruzie met mensen

[jep]

Ranzig.. dat maakt het ook niet makkelijker.

Japan-inet lijkt me al niet zo'n isp van die bellen we eventjes op heh

Erg lame dit

We gaan mn ip's even dichtgooien ..

Thanks

[Verwijderd]

maar hoe werk een dos attack eigenlijk.

als het je weet dat iemand het doet wat moet je dan doen

want ik heb dus wel ruzie met een gast en die begin allemaal lulkoek uit te hangen

[jep]

Op maandag 01 oktober 2001 19:20 schreef globiel het volgende:
kan ook iemand zijn die via via jou wil hacken zou goed kunnen.

maar waarom willen ze je hacken heb jij iets belangrijks?

of heb je ruzie met mensen

Ik niet, maar ik host wel een 100 websites die stuk voor stuk iets zouden kunnen bevatten wat mensen aan 't attacken zet..

Hij hacked niet via mij.. dat zit goed :-)

Alles is incomming btw.. als ik mijn nic richting switch > router down haal gaan de router en switch erachter helemaal over hun nek.. geen optie dus.

[jep]

Het is geen attack op een service zo te zien.. 't zijn wazige packets

Tcpdump logs krijg ik binnen zo snel als mn mailserver 'm erdoor heeft... dan kan ik details zien

[Verwijderd]

Op maandag 01 oktober 2001 19:27 schreef j3p het volgende:
Het is geen attack op een service zo te zien.. 't zijn wazige packets

Tcpdump logs krijg ik binnen zo snel als mn mailserver 'm erdoor heeft... dan kan ik details zien

die wil ikke wel ff zien

[Aetje]

Anders ik wel. ICMP of SYN flood... wat zal et geweest zijn?

Ps volgende keer ff een hentai vidstroompje op de realvideo poort zetten om ze te irriteren

[jep]

die bak waar het vandaan komt heeft

- netbios port aan
- httpd
- telnet
- ssh

het lijkt... op HP-UX

[Hennie-M]

Op maandag 01 oktober 2001 19:35 schreef j3p het volgende:
die bak waar het vandaan komt heeft

- netbios port aan
- httpd
- telnet
- ssh

het lijkt... op HP-UX

aan je sig te zien zouden je wel persoonlijk aanvallen he
HP-UX gebruikers die iets tegen XP hebben ofzo?

maarre ... je klinkt ervaren genoeg om het te stoppen, sorry voor de offtopic post.(btw als de router en de switches"over hun nek gaan"dan is er toch geen data verloren? of moeten al die websites die jij host allemaal overnieuw ge-configged worden?

[flat]

maar al die traffic komt dus van maar 1 server?

[jep]

Het gaat allemaal naar mijn host en komt (zo ver ik kan zien) bijna allemaal vanaf japanse hostnames die allemaal weer veel ip's hebben.. zou dus kunnen.

Probleem is dat als ik mijn bak dicht gooi het allemaal wel wordt aangenomen door de router .. Het uit ip 'uit de router' gooien kan niet.. dat zullen ze bij priority moeten doen aangezien de hele zut droog naar ons toe komt.. dit dus ook.

[Klovan]

Op maandag 01 oktober 2001 19:48 schreef j3p het volgende:
Het gaat allemaal naar mijn host en komt (zo ver ik kan zien) bijna allemaal vanaf japanse hostnames die allemaal weer veel ip's hebben.. zou dus kunnen.

Probleem is dat als ik mijn bak dicht gooi het allemaal wel wordt aangenomen door de router .. Het uit ip 'uit de router' gooien kan niet.. dat zullen ze bij priority moeten doen aangezien de hele zut droog naar ons toe komt.. dit dus ook.

dan zou ik toch maar ff naar Priority bellen!

[jep]

Ik ben terug en daar zijn ze! De logs!

Ben niet snugger genoeg om nu conclusies te trekken..

http://stuff.servicez.org/got/ack.txt

Acking all the way



Voor de stat geile mensen onder ons.. we hebben 'm ff op 270 gescaled maar die 10/11/12 mbit stond er wel

[Verwijderd]

Ik niet, maar ik host wel een 100 websites die stuk voor stuk iets zouden kunnen bevatten wat mensen aan 't attacken zet..

Hij hacked niet via mij.. dat zit goed :-)

Alles is incomming btw.. als ik mijn nic richting switch > router down haal gaan de router en switch erachter helemaal over hun nek.. geen optie dus.

100 websites doe je goed met een 2 mbit lijntje

[jep]

Op maandag 01 oktober 2001 22:19 schreef director het volgende:

[..]

100 websites doe je goed met een 2 mbit lijntje

Staan er nog veel meer op op andere server.. en nog gebruiken we maar 10%.

640 gig gaat er per maand door.. vergis je niet

Zware overkill nog.. en lekker snel normaal gesproken

Wat boeit dat hier, 't gaat om mn logs

[Verwijderd]

maar je conculsie tot nu toe?

Synflood?

Aangezien ik hetzelfde probleem heb as we speak zou ik graag willen weten wat je voor maatregelen hebt genomen en of deze geholpen hebben. Helpt een goede firewall niet?

[Verwijderd]

Op maandag 01 oktober 2001 23:44 schreef jaapje het volgende:
Aangezien ik hetzelfde probleem heb as we speak zou ik graag willen weten wat je voor maatregelen hebt genomen en of deze geholpen hebben. Helpt een goede firewall niet?

Bij een (D)DoS attack helpt een firewall niet... misschien wel om je eigen server van de ondergang te redden, maar de pakketjes zullen toch de weg richting jouw server gaan zoeken en dus nog steeds je lijn dicht trekken.

Bij een DoS attack (van bijv. maar 1 IP nummer) kan je upstream provider je misschien nog helpen door het bij hun provider ergens op een of andere router dicht te zetten. Als het echter van 1000 IP nummers komt wordt het al erg lastig. Je kunt dan bijv. de "destination host" op de router van je upstream provider laten dichtzetten voor alle "source hosts", maar dan is je server dus ook tamelijk onbereikbaar.

(D)DoS attacks zijn zo ongeveer het lamste wat het Internet te bieden heeft en het irritantste is dat je er betrekkelijk weinig tegen kunt doen.

100 websites doe je goed met een 2 mbit lijntje

Tja.. je kunt idd heel wat trekken met 2 mbit.. ik ken heel wat providers die het met "maar" 2 mbit doen. Een flat rate 2 mbit lijn kost ook wel ergens om de 7000 piek per maand (excl. BTW).

[Mark]

99% van de Dos attacks op kleinere hosts (Dus niet ala yahoo, ebay, etc) hebben iets te maken met IRC zaken. Draai je niet toevallig een aantal eggdrops/bnc's ??
Om dit soort grapjes weiger ik dus ook dat mijn users background taken draaien.
Ik heb zo ooit eens meegemaakt dat voor een uur lang een 155 mbit lijn werd dicht gestampt. En dit alleen maar omdat ik 1 k*t user had welke het funny vond om een major channel te taken op een gesplitte IRC server

[Verwijderd]

Op dinsdag 02 oktober 2001 01:12 schreef RedRoon het volgende:
99% van de Dos attacks op kleinere hosts (Dus niet ala yahoo, ebay, etc) hebben iets te maken met IRC zaken. Draai je niet toevallig een aantal eggdrops/bnc's ??

so true, dat hele DDoS gebeuren heeft IRC verziekt helaas..

[Verwijderd]

Even voor de duidelijkheid. Zijn de volgende dingen waar:

- Als ik mijn server die onder attack staat reboot is gaat dan de aanval gewoon door zodra die weer online is? (lijkt me een ja)
- Is er te achterhalen wie de aanvaller is (ik had de eerste keer ruim 250 ip's) of hoef je daar niet eens aan te beginnen?
- Klopt het dat je server down kan gaan zonder dit te loggen? krijg je niet eerst een kernel panic ofzo? Het rare is dat ik niets zie als die plat gaat
- Hoeveel ip's zijn er nodig om een 100Mbit lijn dicht te metselen?
- Je wordt bij een synflood aangevallen door gewone home usertjes die een trojan op hun pc hebben toch?

[Verwijderd]

Op maandag 01 oktober 2001 22:28 schreef j3p het volgende:

[..]

Staan er nog veel meer op op andere server.. en nog gebruiken we maar 10%.

640 gig gaat er per maand door.. vergis je niet

Zware overkill nog.. en lekker snel normaal gesproken

Wat boeit dat hier, 't gaat om mn logs

Zoals ik op een allom bekend netwerk voor sommige hosts heb opgelost is een Syn Filter Erg simpel gewoon in een grote router die voor jou router staat knallen.

Zoiets dus:

code:

    filter syn-attack {
      policer syn-recvd {
        if-exceeding {
            bandwidth-limit 200k;
            burst-size-limit 3k;
        }
        then discard;
      }
      term limit-sym {
        from {
            protocol tcp;
            tcp-initial;
        }
        then {
            count limit-syn;
            policer syn-recvd;
            accept;
        }
      }
      term default {
        then accept;
      }
    }
}

Zoiets zou elke provider er in moeten knallen of ze gebruiken daar voor de backbone alleen maar cisco dan is het al minder om te doen omdat een cisco dat niet fijn vind (filters dus daar gaan ze vaak van over hun nek).

Maar wat er tegen te doen is dat ze ook de source hosts waar de DOS vandaan komt gewoon rerouten naar /dev/null hehe. Maar dat is meestal moeilijk en de meeste DOS attacks duren maar een paar minuten als je geluk hebt

En wat nog verstandiger is je shell users niet op IRC andere mensen gaan lopen uitschelden of met telnet naar vreemde systemen proberen te connecten.

[RupS]

Op dinsdag 02 oktober 2001 08:23 schreef jaapje het volgende:
Even voor de duidelijkheid. Zijn de volgende dingen waar:

- Als ik mijn server die onder attack staat reboot is gaat dan de aanval gewoon door zodra die weer online is? (lijkt me een ja)

Ja..

- Is er te achterhalen wie de aanvaller is (ik had de eerste keer ruim 250 ip's) of hoef je daar niet eens aan te
beginnen?

Is te achterhalen, maar erg veel werk, ik denk niet dat het iets oplevert, omdat het meestal heel veel gehackte computers zijn dis massaal jouw aanvallen.

- Klopt het dat je server down kan gaan zonder dit te loggen? krijg je niet eerst een kernel panic ofzo? Het rare is dat ik niets zie als die plat gaat

Hij kan gewoon compleet stressen, en dan zie je niks, al is het niet gebruikelijk...

- Hoeveel ip's zijn er nodig om een 100Mbit lijn dicht te metselen?

Hoe bedoel je dit?

Ik heb wel eens een volledig klasse c netwerk zien draaien op een 100Mbit lijn... Ik heb zelf de beschikking over een 100Mbit backbone en daar draaien maar 8 ip-adressen op...
Ik geloof niet dat ik je vraag helemaal snap ...

- Je wordt bij een synflood aangevallen door gewone home usertjes die een trojan op hun pc hebben toch?

Zie paar stukjes terug

Heel vaak wel ja, kijk voor een enorm interessant en goed leesbaar artikel of DoS hierzo

[serkoon]

Op dinsdag 02 oktober 2001 08:23 schreef jaapje het volgende:
- Als ik mijn server die onder attack staat reboot is gaat dan de aanval gewoon door zodra die weer online is? (lijkt me een ja)

Aanval blijft constant doorgaan, ook is je doos plat. Vooral met grote attacks zullen routers dat niet leuk vinden.

- Is er te achterhalen wie de aanvaller is (ik had de eerste keer ruim 250 ip's) of hoef je daar niet eens aan te beginnen?

Kun je haast wel vergeten, tenzij de knuppel op IRC dat zelf aangekondigd heeft dmv .mack <jouw-ip>

- Klopt het dat je server down kan gaan zonder dit te loggen? krijg je niet eerst een kernel panic ofzo? Het rare is dat ik niets zie als die plat gaat

Een beetje OS gaat niet op z'n bek van 'normale' packets hoor.. je kan hem alleen niet meer bereiken omdat de downstream vol zit, en soms ook de upstream.

- Hoeveel ip's zijn er nodig om een 100Mbit lijn dicht te metselen?

1 1GBitter kan dat natuurlijk met gemak. Maar normaal zul je toch wel een paar honderd zombies nodig zijn denk ik...

- Je wordt bij een synflood aangevallen door gewone home usertjes die een trojan op hun pc hebben toch?

Mjah, meestal gehackte linux bakken die met stacheldraht of andere floodproggies zijn uitgerust. De IP's worden gespoofed, dus ze 1 voor 1 bij langs gaan met een honkbalknupperl heeft geen zin..

[Rob]

Op dinsdag 02 oktober 2001 08:23 schreef jaapje het volgende:
- Hoeveel ip's zijn er nodig om een 100Mbit lijn dicht te metselen?

Met een 100Mbit lijntje kan je een 100Mbit lijntje plat krijgen, het maakt echt niet uit hoeveel pc's daar achter zitten.

[jep]

Mijn bak sliep tijdens de DDoS, ding ging echt niet over zijn nek ofzo. Probleem was dat ik als ik die shit blockte (wat ik probeerde) de router en switch gek werden en het alleen maar erger werd.

Op een gegeven moment stond mn bak gewoon online on te slikken

[Mark]

Op dinsdag 02 oktober 2001 08:36 schreef NewAgePerformance het volgende:
...
En wat nog verstandiger is je shell users niet op IRC andere mensen gaan lopen uitschelden of met telnet naar vreemde systemen proberen te connecten.

En daarom blok ik ook alle bekende IRC ports + servers
Backgrounds zijn uit den boze en shell users heb ik ook bijna geen.
Snap sowieso niet wat iemand perse met een shell account moet (al is het wel makkelijk natuurlijk).

[Verwijderd]

Op dinsdag 02 oktober 2001 19:13 schreef RedRoon het volgende:

[..]

En daarom blok ik ook alle bekende IRC ports + servers
Backgrounds zijn uit den boze en shell users heb ik ook bijna geen.
Snap sowieso niet wat iemand perse met een shell account moet (al is het wel makkelijk natuurlijk).

ik kan niet zonder shell, snap niet wat mensen met een account moeten zonder shell access echt niet

[jep]

Op dinsdag 02 oktober 2001 19:13 schreef RedRoon het volgende:

[..]

En daarom blok ik ook alle bekende IRC ports + servers
Backgrounds zijn uit den boze en shell users heb ik ook bijna geen.
Snap sowieso niet wat iemand perse met een shell account moet (al is het wel makkelijk natuurlijk).

Beetje een rare oplossing als je Shells/IRC services verkoopt

[Mark]

Op dinsdag 02 oktober 2001 22:12 schreef j3p het volgende:

[..]

Beetje een rare oplossing als je Shells/IRC services verkoopt

Ow, dan snap ik niet waarom je raar opkijkt als je een DDoS attack over je heen krijgt.....

[jep]

Op woensdag 03 oktober 2001 01:16 schreef RedRoon het volgende:

[..]

Ow, dan snap ik niet waarom je raar opkijkt als je een DDoS attack over je heen krijgt.....

Ik kijk niet raar op Het kan natuurlijk gebeuren..het is alleen erg verrot.

[Martin Sturm]

Ik wou dat ik kon irc'en.. Gisteren is mijn server stuk gegaan .
Nu heb ik dus geen shell account meer thuis op mijn server, en op school mogen we niet ircen (is allemaal geblokt)

[jep]

Wat wil je hiermee zeggen

[Verwijderd]

Op maandag 01 oktober 2001 22:28 schreef j3p het volgende:

[..]

Staan er nog veel meer op op andere server.. en nog gebruiken we maar 10%.

640 gig gaat er per maand door.. vergis je niet

Zware overkill nog.. en lekker snel normaal gesproken

dus 640GB per maand over een 2mbit lijntje?
En die lijn heeft een belasting van 10%?
Wil je m'n rekenmachine even lenen?

[Rob]

2mbit*60 seconden = 120Mbit per minuut
120/8=15MB per minuut
15*60*24=21.600 MB per dag
21600*30=648.000 MB per dag = 648 GB per maand

[jep]

648 ofzo ja, ik deed het ook maar uit mn hoofd in de trein laatst

[Saus]

Op woensdag 03 oktober 2001 13:20 schreef -Rob- het volgende:
2mbit*60 seconden = 120Mbit per minuut
120/8=15MB per minuut
15*60*24=21.600 MB per dag
21600*30=648.000 MB per dag = 648 GB per maand

uhuh, en 648gig = 10% van 640


hehehe, rekenmachine ff lenen

[Exterazzo]

Op woensdag 03 oktober 2001 16:28 schreef j3p het volgende:
648 ofzo ja, ik deed het ook maar uit mn hoofd in de trein laatst

dit is dus fullload = 100% belasting!

[Verwijderd]

1Mbit = 320GB per maand.

Als je dus 640GB per maand met 2Mbit doet heb moet je je lijn gaan upgraden want je hebt zoiets als piek en daluren...

[jep]

Ja? Dus?

Die 10% is ook maar een wilde gok hoor, niet gelijk moeilijk doen en gaan rekenen ofzo.

Het feit is dat het overkill is.

Waarom lullen we hierover

Ging om die attacks die nu over zijn.. van mij part mag hij dicht.. hoop dat hij nuttig was

[Verwijderd]

Je zou natuurlijk ook de volgende optie kunnen bekijken.
In het geval dat ze je IP aanpakken (wat wel waarschijnlijk is):
ander ip voor de server, moet de dns dus even bijgewerkt worden.
Zelfs als ze je dns-naam aanpakken moet het nog kunnen door de dns aan te passen. Ze gebruiken dan het ip-adres die gecached wordt opgezocht / niet meer wordt opgezocht. Nieuwe bezoekers moeten er dan wel bij kunnen komen.
Maar goed, als je niet een range van ip-adressen hebt valt't al af natuurlijk.
Daarnaast heb ik't zelf nog niet in de praktijk gebracht maar theoretisch zou het moeten lukken (toegegeven dat ik niet alles van tcp/ip afweet)
Any thoughts?

[frapex]

ach....

DDoS ze gewoon terug....

[jep]

Op woensdag 03 oktober 2001 20:19 schreef Deleon het volgende:
Je zou natuurlijk ook de volgende optie kunnen bekijken.
In het geval dat ze je IP aanpakken (wat wel waarschijnlijk is):
ander ip voor de server, moet de dns dus even bijgewerkt worden.
Zelfs als ze je dns-naam aanpakken moet het nog kunnen door de dns aan te passen. Ze gebruiken dan het ip-adres die gecached wordt opgezocht / niet meer wordt opgezocht. Nieuwe bezoekers moeten er dan wel bij kunnen komen.
Maar goed, als je niet een range van ip-adressen hebt valt't al af natuurlijk.
Daarnaast heb ik't zelf nog niet in de praktijk gebracht maar theoretisch zou het moeten lukken (toegegeven dat ik niet alles van tcp/ip afweet)
Any thoughts?

Geen echte oplossingen, al het verkeer voor een bepaalde range komt onze kant op.. die dingen zijn bij priority geregeld en niet de router bij mn server.

[Verwijderd]

Heb ooit een DoS attack gehad op mijn routertje thuis (op @home kabel).. ik weet nog steeds waarom. Maar toen heb ik de utp kabel uit de kabelmodem getrokken. En de kabelmodem uitgezet. Toen wist de router op het laatst niet meer welk ARP adres bij mijn ip hing en ging de DoS attack dus de soep in. 15 mins later de boel weer aangesloten en alles was goed.

[Verwijderd]

Op dinsdag 02 oktober 2001 01:36 schreef DeLaNo het volgende:

[..]

so true, dat hele DDoS gebeuren heeft IRC verziekt helaas..

Nee, jij was vroeger gezellig op undernet met je dreigementen om mensen te meppen...

[Verwijderd]

Op zaterdag 06 oktober 2001 14:33 schreef TH1J5 het volgende:

[..]

Nee, jij was vroeger gezellig op undernet met je dreigementen om mensen te meppen...

[jep]

Op zaterdag 06 oktober 2001 14:33 schreef TH1J5 het volgende:

[..]

Nee, jij was vroeger gezellig op undernet met je dreigementen om mensen te meppen...

Dat waren wel andere tijden

Ik heb een jaar of 3 geleden een moeder van een jochie op mn werk gehad. Ze ging mijn baas vertellen hoe slecht ik was

Ik had dr zoontje uit een channel gekicked

[Mark]

Op zaterdag 06 oktober 2001 14:33 schreef TH1J5 het volgende:

[..]

Nee, jij was vroeger gezellig op undernet met je dreigementen om mensen te meppen...

Undernet == mietjes

IRCNet r0xx al is het de laatste tijd vrij

[Servowire]

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

KLaar
no more pings

edit:
o het gaat om Synfloods.. lama

[jep]

Op zondag 07 oktober 2001 01:35 schreef Servowire het volgende:
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

KLaar
no more pings

edit:
o het gaat om Synfloods.. lama

Ik ben ook niet weg Lees even helemaal .. zelfs met alle kabels uit de server ging 't door, als 't een ping flood of een iets gerichtere aanval op een service was geweest had ik 'm wel hoor

[Mark]

Op zondag 07 oktober 2001 01:35 schreef Servowire het volgende:
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

KLaar
no more pings

edit:
o het gaat om Synfloods.. lama

Probleem hiermee is dat een aantal services het ook meteen vertikken. Er zijn bijvoorbeeld een aantal VPN/tunneling client/servers die het vertikken als je ICMP uit (ignored) hebt staan.....

[Verwijderd]

Op zaterdag 06 oktober 2001 14:33 schreef TH1J5 het volgende:

[..]

Nee, jij was vroeger gezellig op undernet met je dreigementen om mensen te meppen...

Vroeger? Vroeger was jij nog helemaal niet op irc, jij zat nog in de luiers toen ik al irc'de hehe, maar, waren geen dreigementen, jij met de rest van je <13 clan irriteerde mij gewoon en ik stond idd vaak op het punt je een aantal kanaaltjes uit te meppen. Geen woorden maar daden dus