Website plat door DoS attack?

[Verwijderd]

Een website van mij, gehost bij Vuurwerk, is afgelopen vrijdag plat gegaan. In een paar uur was er 1,5 gb aan dataverkeer. In de logfile van 27mb stonden url's die onmogelijk zo snel achter elkaar opgevraagd konden worden, namelijk url's om artikelen toe te voegen en te verwijderen uit de shopping cart. Door deze aanval crashte vervolgens om 13.15 de webserver bij vuurwerk..
Ik kreeg een mailtje van systeembeheer dat de site was afgesloten en dat ik mn scripts maar aan moest passen. Ik hoorde van iemand dat dit een DoS-attack was, maar aangezien ik de ballen verstand van dat soort zaken heb, wou ik jullie mening hierover weten. Was dit een DoS-attack?

[Verwijderd]

nee, maar je hebt grote kans dat een scriptkiddow een scriptje eroverheen heeft laten lopen met die snelheid

[Bigs]

Wel een DoS-attack. DOS staat voor denial of service, en dat doel hebben ze hiermee wel bereikt. Zoiezo word er meestal een lompe aanval mee bedoeld, wat dit zeker is. Het hoeft niet altijd om smurfs of DDoS attacks ed te gaan.
Wel lame van ze

[Verwijderd]

De site waar het om gaat heeft normaal iets van 40-60 bezoekers per dag, niets bijzonders dus om plat te laten gaan. Ze zijn de 21e volgens mij ook al bezig geweest, toen ging de server ook op z'n gat.
Het mooie is dat de website is geblokkeerd door vuurwerk, ik kan zelfs niet meer op de www directory komen via ftp. Zij zeggen dat de scripts (PHP) eerst aangepast moeten (hoe doe ik dit als ik er niet bij kan??) worden voordat de site weer online mag.

[Verwijderd]

ik heb het zelfde probleem gehad, wat ik heb gedaan is een scriptje gemaakt dat elke 5 minuten checkte of er een figuur (ip) vaker dan een x aantal keer een request gedaan had... als dit het geval was kreeg die een ban van een halfuur...

was ongeveer 2 uur tijd om het mooi en perfect te maken, en vooral het idee uit te werken... denk dat je zoiets makkelijk in een halfuurtje ken scripten...

[Bigs]

Sjah, dat vuurwerk je afsluit is natuurlijk niet netjes, maar gelijk hebben ze wel. Bel ze gewoon even en zeg dat je je script aangepast hebt en dat je ze via FTP wil uploaden. Als je zegt dat het een dos-attack was en daar nu een beveiliging tegen hebt gemaakt werken ze vast wel mee.
En inderdaad, je kunt gewoon kijken wanneer een bepaald IP voor het laatst iets heeft besteld. Als dat seconden geleden was dan breek je het script gewoon af. De tijdstippen kun je bijvoorbeeld bijhouden in een databaseje.

[Verwijderd]

Moet ik de pagina's hier zelf tegen beveiligen? Is het niet dat vuurwerk hier zich beter voor moet beveiligen, of is dit onmogelijk?
Zodra je de helpdesk belt, kom je ook geen stap verder, en een antwoord terug krijgen van systeembeheer kan je al helemaal vergeten. Heb niet eens de kans gekregen om een tijdelijk pagina neer te zetten met iets van "website tijdelijk onbereikbaar". Een 404-error vind ik niet zo netjes...

[blaataaps]

Als je zelf de server niet beheert (of de router ervoor) kun je jammer maar helaas weinig tot niks doen tegen een (d)dos attack.

[wzzrd]

BTW logfiles checken, IP opschrijven, ISP bellen, kickban (of hoe heet dat?)

[Tijger]

Op maandag 26 november 2001 13:00 schreef wzzrd het volgende:
BTW logfiles checken, IP opschrijven, ISP bellen, kickban (of hoe heet dat?)

Dat heet abuse melding

Alleen, als het een slimme kiddie is geweest (bestaan die?) dan heeft ie z'n IP gespoofed en dan schiet je daar niet veel mee op.

[Verwijderd]

Op maandag 26 november 2001 13:04 schreef Tijger het volgende:

[..]

Dat heet abuse melding

Alleen, als het een slimme kiddie is geweest (bestaan die?) dan heeft ie z'n IP gespoofed en dan schiet je daar niet veel mee op.

en dan nog, met de huidige markt ligt niemand er van wakker als ie gebanned wordt door zijn provider, ga je toch gewoon naar een ander...

[Tijger]

tenzij hij kabel of DSL heeft, dan wordt het minder grappig als ze je eraf kicken

[Verwijderd]

Nou, het probleem is opgelost. Ze hadden bij vuurwerk niet door dat het om een aanval ging. Kreeg een mailtje waarin ze hun excuses aanboden voor het afsluiten van de site. Ze zeggen de range waar het verkeer vandaan komt geblocked te hebben (t kwam van een universiteit af), ik hoop dat dit helpt.
Ik ga in ieder geval een scriptje toevoegen dat er voor zorgt dat de url's die de aanvaller genereerde niet meerdere keren per seconde plaats kunnen vinden.

[Verwijderd]

Op maandag 26 november 2001 13:43 schreef Tijger het volgende:
tenzij hij kabel of DSL heeft, dan wordt het minder grappig als ze je eraf kicken

meestal heb je dan ook nog wel keus uit verschillende providers

[Verwijderd]

Op maandag 26 november 2001 15:05 schreef Moskofiets het volgende:
Nou, het probleem is opgelost. Ze hadden bij vuurwerk niet door dat het om een aanval ging. Kreeg een mailtje waarin ze hun excuses aanboden voor het afsluiten van de site. Ze zeggen de range waar het verkeer vandaan komt geblocked te hebben (t kwam van een universiteit af), ik hoop dat dit helpt.
Ik ga in ieder geval een scriptje toevoegen dat er voor zorgt dat de url's die de aanvaller genereerde niet meerdere keren per seconde plaats kunnen vinden.

en ik zal als ik jou was ff de logs mailen naar [e-mail]

[Verwijderd]

de logs mailen -> zullen ze leuk vinden, log van 27mb

[HGM]

Op maandag 26 november 2001 15:14 schreef Moskofiets het volgende:
de logs mailen -> zullen ze leuk vinden, log van 27mb

Ff zippen, dan zal t wel meevallen. Maar idd wel eventjes die moeite nemen.