DDoS-атака на форум

06.06.2022 17:31 #437763

Добрый день.
В случае проблем с доступом к форуму пишите в чат в телеграмм: https://t.me/linuxforum_ru
На форум ведется большое количество запросов в пике 750000 запросов в единицу времени было.
Сейчас держится на уровне 200000.
В основном атаки ведутся через различные валидаторы и пингаторы.
Параллельно проводятся атаки через плагин joomla plugin_googlemap2_proxy и plugin_googlemap3_proxy.
Лечится это быстро парой строчек кода в htaccess
Нагрузка на процессор от этого не снижается, но и 503 ошибок нет.

Включена защита CloudFlare.

06.06.2022 19:29 #437764

Безобразие какое. :(

06.06.2022 23:45 #437765

За вчера запросов 129 463 940
91,5 ГБ исходящего
87,9 ГБ входящего
ошибок 503 около 23710073

За сегодня 43 185 699 запросов
трафика 35 ГБ исходящего и примерно столько же входящего,
ошибок 503 не было, но во время моих ночных экспериментов они вылазили кратковременно появлялись всего около 27920

Количество запросов падает 80-150 тысяч и фильтр мой пополняется особо буйными пациентами)
Добавлено: 06.06.2022 23:44:04

Прошу проверить корректность работы ссылок:
https://software.linuxforum.ru
https://images.linuxforum.ru
Теперь по сертификату и сюда...

Добавлено: 06.06.2022 23:45:44

Картинки теперь работать должны корректно. К примеру переход по миниатюре на хранилище картинок:

07.06.2022 07:18 #437766

"MozgFx" написал:
Прошу проверить корректность работы ссылок

Всё открывается. Здесь оказывается Deepin есть, качаю на пробу.

"MozgFx" написал:
Картинки теперь работать должны корректно. К примеру переход по миниатюре на хранилище картинок:

Тоже работает.

MozgFx, что это? Очередные игры патриотов? С другой стороны, как это не прискорбно, подобные атаки - признак популярности. Давайте отправим коллективное письмо в Лигу безопасного интернета. Дочь Мизулиной подключит кибердружинников и разрулит ситуацию. Заодно выясним, откуда ноги растут. Я готов подписаться хоть сейчас. *WRITE*

07.06.2022 07:32 #437767

"alex_q_2000" написал:
Давайте отправим коллективное письмо в Лигу безопасного интернета.

Нет смысла. Запросы идут из других стран, просто попали под раздачу из-за нахождения в зоне .ru.

07.06.2022 09:50 #437768

"alex_q_2000" написал:
Лигу безопасного интернета.

У них сайт работает по протоколу http... вот те раз...
Добавлено: 07.06.2022 09:50:44

Кстати даже через эмуляторы браузеров ведется атака типа такого https://dejavu.org/ нашел в логах...

07.06.2022 10:02 #437769

"MozgFx" написал:
У них сайт работает по протоколу http... вот те раз...

Суровая реальность? :D Это я Вам ещё не рассказывал, как давным-давно, когда был админом в одном министерском ведомстве, пригласили мы с нашим секретчиком сотрудника из органов, чтобы тот провёл плановую аттестацию компа в 1 отделе. Пришёл внушительных размеров бородатый мужик в свитере по колено с секретной дискетой. Сотрудник хоть и не производил впечатление бомжа, но уверенно излучал запах вчерашнего перегара на что начальник моего управления сделал справедливое замечание, но почему-то обращенное в мой адрес. Я ему объяснил, что на работе, как и прежде не принимаю, на что он обратил своё внимание на сотрудника с красной ксивой, но замечание делать не стал. Итогом аттестации стала заветная бумажка с печатью и новая наклейка на компе, хотя, лучше бы этот "товарищ" приклеил её себе на лоб, ведь после его ухода я не только 2 дня проветривал комнату, но и заново проверял комп на вирусы Autorun (тогда они были в моде, сейчас не знаю уже) и прочих. Это было в реальной жизни.

08.06.2022 12:38 #437770

"MozgFx" написал:
Кстати даже через эмуляторы браузеров ведется атака типа такого https://dejavu.org/ нашел в логах...

Хотел проконсультироваться... А не отвалится ли в перспективе сам Cloudflare, который предоставляет защиту от DDoS? Тут вот эвон чего происходит: В России блокируют доступ к сетям Cloudflare и Digital Ocean. Дополнительно сообщают, что уже были попытки блокировки WARP: В России заблокировали Cloudflare WARP и другие VPN-сервисы. Однако, сейчас я проверил WARP (warp-cli) в разных режимах - он полностью рабочий: семейный режим и warp/warp+doh и т.д. Есть ли в России альтернатива Cloudflare (защита от DDoS)?

p.s. вопрос может показаться наивным, поскольку я плохо разбираюсь в web-штуках... *WRITE*

08.06.2022 18:11 · отредактировано #437771

alex_q_2000 написал:
А не отвалится ли в перспективе сам Cloudflare, который предоставляет защиту от DDoS?

До сентября пока живём спокойно. А там... Роскомнадзор начнёт пробную блокировку интернет-протоколов, вуалирующих имя сайта. Госкомпании уже получили соответствующие указания об отказе от использования в корпоративных и технологических сетях протоколов шифрования, скрывающих имена сайтов. К таким относятся DNS-сервера Google и Cloudflare. Также сервис DoH, внедряемый Mozilla и Google. Практика показывает, что подобные указания обычно поступают госструктуры незадолго до блокировки указываемых сервисов. Так что, готовимся к переключению на DNS-сервера Национальной системы доменных имен.

09.06.2022 14:20 #437775

alex_q_2000 написал:
Хотел проконсультироваться... А не отвалится ли в перспективе сам Cloudflare

В принципе опыт я получил.
Он работал, но так как общедоступные DNS в моем регионе и к примеру у Rizado по решению суда заблокированы, оно кривовато работало.
В итоге блокировал своими руками.
Да нагрузка сразу была очень большой cloudfalre частично её снизил, но не сильно.
В итоге на второй день я отказался от него и руками блокировал все:
Походу атака Все:

09.06.2022 14:52 #437776

Итак подведя итог в пике 700000 запросов
Форум пролежал немного пока не заметил. Тот самый первый пик на графике.
Как решил проблему:
Особо буйных кидал deny
Причем сначала одиночный IP, а потом всю подсеть по маске CIDR:

Показать

[console]
RewriteEngine On
<LIMIT GET POST PUT>
order deny,allow
allow from all
allow from Rizado
allow from мой белый домашний
allow from мой белый рабочий
deny from 82.102.20.0/24
deny from 188.165.0.0/16
deny from 159.65.0.0/16
deny from 130.61.0.0/16
deny from 144.24.0.0/16
deny from 194.163.160.0/19
deny from 62.133.47.0/24
deny from 75.119.128.0/19
deny from 45.160.0.0/11
deny from 84.16.224.0/19
deny from 62.149.0.0/24
deny from 89.237.34.174
# 89.237.32.0/22 orsk russia если что всю подсеть в бан
deny from 103.130.141.0/24
deny from 162.219.176.163
deny from 191.96.168.115
deny from 14.99.39.14
deny from 161.97.128.0/19
deny from 161.97.184.0/22
deny from 161.97.176.0/21
deny from 161.97.64.0/18
deny from 161.97.188.0/23
deny from 161.97.160.0/20
deny from 167.99.0.0/16
</LIMIT>
[/console]

Боты и всякая мразота по Юзер Агенту шли по 302 редиректу на хутор бабочек ловить...

Показать

[console]
RewriteCond %{HTTP_USER_AGENT} 20031210|Presto|80legs|abilogic|AddSugarSpiderBot|alltheweb|anyapex|AppEngine-Google|AppleTV|Avant|Baiduspider [NC,OR]
RewriteCond %{HTTP_USER_AGENT} BecomeBot|BeOS|BillyBobBot|bingbot|BlackBerry|Bloglines|BrowserEmulator|Chrome/72|Chrome/77|CLDC|Control|CSSCheck [NC,OR]
RewriteCond %{HTTP_USER_AGENT} CUPCAKE|cupcake|Dalvik|datecode|Dillo|DoCoMo|Download|ELinks|Emacs|EmailWolf|everyfeed|Exabot [NC,OR]
RewriteCond %{HTTP_USER_AGENT} facebookscraper|feedfetcher|Feedfetcher|Firebird/0|Gaisbot|Googlebot-Video/1.0|gregarius|grub-client|GulperBot|HTC [NC,OR]
RewriteCond %{HTTP_USER_AGENT} HTMLParser|iccenter|iTunes|Java/1|libwww-FM|libwww-perl|Links|lwp-trivial|Lynx/2|Macintosh|Mediapartners-Google|Minefield/3 [NC,OR]
RewriteCond %{HTTP_USER_AGENT} MMP|Mozilla/1|Mozilla/4|msnbot|NetFront|NetSurf|Nintendo|Nokia|nook|NutchCVS|Offline|Opera/9|Peach/1.01|POLARIS [NC,OR]
RewriteCond %{HTTP_USER_AGENT} portalmmm|Prevx|Python-urllib|ReqwirelessWeb|SearchExpress|SGHX|SiteBar|Slurp|SonyEricsson|sparc|sparc|spidersoft [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sproose|Sqworm|SunOS|SuperBot|SymbianOS|Teoma|tnftp|UP.Link|Uzbl|Validator|Vodafone|w3m|WDG|WebCopier [NC,OR]
RewriteCond %{HTTP_USER_AGENT} webetrex|wget|wii|Win95|Windows.XP|Windows.98|YahooSeeker/1.2|Мozilla/4|Phoenix [NC]
RewriteRule !^spam/ http://officeofstrategicinfluence.com/spam/ [L,NC,R=302]
[/console]

А если "понос" и через этот фильтр просачивался, то основная масса проскочивших получала 500 ошибку по тексту referrer.
Так как основная масса в коде реферера содержала только данные тексты:

Показать

[console]
Options +FollowSymlinks
RewriteCond %{HTTP_REFERER} (plugin_googlemap) [NC,OR]
RewriteCond %{HTTP_REFERER} validator.w3.org [NC,OR]
RewriteCond %{HTTP_REFERER} web-sniffer.net [NC,OR]
RewriteCond %{HTTP_REFERER} ^http://.* [NC]
RewriteRule .* – [F][/console]

Если кто в моих правилах видит ошибки критикийте и комментируйте.
Школота меня однажды ломала на других доменах поэтому вспомнил как я сними боролся ранее и это помогло.
Добавлено: 09.06.2022 14:52:36

За 4 суток около 352624105 запросов
88156026 запросов в сутки
3673167 запросов в час
61219 запросов в минуту
1020 запросов в секунду в пике около 2000 запросов в секунду
Трафика входящего 281,7 ГБ исходящего 223,5 ГБ

09.06.2022 18:40 #437778

"alt6kdesktop" написал:
Так что, готовимся к переключению на DNS-сервера Национальной системы доменных имен.

Полный абзац. Ну раз до сентября Cloudflare ещё поработает, пойду опубликую warpgui. Спасибо за разъяснения... :)

"MozgFx" написал:
А если "понос" и через этот фильтр просачивался, то основная масса проскочивших получала 500 ошибку по тексту referrer.

Чувствую, пришлось Вам там изрядно "покувыркаться" с этими блокировками/фильтрацией. Однако результат налицо и это круто. Поздравляю! *HI*

09.06.2022 21:26 · отредактировано #437779

Не знаю, что с форумом, но майт стал в стиле Win 98SE (ничего толком не работает, кроме текста и жутко тормозит).
P.S. Запустил в Mozilla - всё прекрасно работает. *SCRATCH*

13.06.2022 14:34 #437790

Во время атаки я блокировал некоторые юзерагенты. Поэтому для белого списка лучше присылать мне чтобы я проверил фильтр.

13.06.2022 21:15 · отредактировано #437791

MozgFx, *SCRATCH* В Google Chrome выходит простой HTML. Правда весь в разных цветах,
хоть флаг ЛГБТ срисовывай.

15.06.2022 00:30 #437792

Wolfenberg, должнен помочь CTRL+F5
На крайний случай чистка кэша DNS ОС и браузера.
Проверено:
Chrome, Edge, Firefox, Yandex ну и мобильный Chrome полет нормальный.
Все фильтры я закомментировал ещё 9го июня.
Проблема когда не грузились стили была один день числа 6го но DNS обновляются до нескольких суток могло некоторое время не отпускать, когда работал cloudflare. Но его сразу отключили как обнаружили.
Роскомнадзор блокировал наркоманов, казино и подобные сайты и заблокировал не только домены, но и dns cloudflare.
Вот стили с них и не грузились.

15.06.2022 00:54 #437793

Wolfenberg написал:
В Google Chrome выходит простой HTML. Правда весь в разных цветах,
хоть флаг ЛГБТ срисовывай.

Mozilla всё это время работает без нареканий. Наводит на мысль, что с Chrome не так уж всё хорошо как считается.

15.06.2022 08:44 #437794

"alt6kdesktop" написал:
Наводит на мысль, что с Chrome не так уж всё хорошо как считается.

Chrome + warp - полёт нормальный.

15.06.2022 08:55 #437795

alt6kdesktop написал:
[quote=Wolfenberg] В Google Chrome выходит простой HTML. Правда весь в разных цветах,
хоть флаг ЛГБТ срисовывай.

Mozilla всё это время работает без нареканий. Наводит на мысль, что с Chrome не так уж всё хорошо как считается.[/quote]
Забавно - снёс историю просмотров сайта Linuxforum и всё восстановилось (кэши и cookie не трогал).

15.06.2022 13:45 · отредактировано #437798

Wolfenberg написал:

Забавно - снёс историю просмотров сайта Linuxforum и всё восстановилось (кэши и cookie не трогал).

Уверены, что кэш и куки не удалились при стирании истории?