1 Тема от Fat-Zer

  • Fat-Zer
  • Пользователь
  • Неактивен
  • Откуда: Москва
  • Зарегистрирован: 14.10.2010
  • Сообщений: 4,977
  • Репутация : [ 256 | 6 ]

сабж.
с хостером проблемы? или чего?
просто интересно...

95% процентов проблем находятся между клавиатурой и стулом.

2 Ответ от Sonic

  • Sonic
  • Sonic
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.02.2010
  • Сообщений: 2,793
  • Репутация : [ 78 | 2 ]

Почему не открывается сайт?

Здравствуйте. Похоже ваш сервер идет атака. Apache не справляется, nginx не помог. Попробуем заблокировать атакующих, отпишем по результатам.

Именно на наш домен или другой?

Ваш запрос передан в отдел "Networks operation". Вы получите ответ в рабочее время отдела, приблизительно через 1 день 08:31.

Так а че сейчас делать то? Доступ не работает, какая вообще ситуация? И какие попытки предпринимаются для исправления?
Или теперь все будет мертвым грузом до понедельника? Сайт не работает больше 6ти часов.

Добавил правило разрешающее 1 подключение с 1 ip за раз на 80 порт. Когда ddos завершится можно будет его убрать.

Спасибо.

На мясокомбинате я работаю свиньёй.

3 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Мда... Второй раз уже Досят. Первый раз меняли записи DNS и свои же досили нас... )) Теперь еще кто то.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

4 Ответ от metra

  • metra
  • metra
  • Пользователь
  • Неактивен
  • Откуда: Пермь
  • Зарегистрирован: 19.07.2011
  • Сообщений: 1,687
  • Репутация : [ 41 | 2 ]

и свои же досили нас

это как?

5 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

ЛОР досил сайт стоплинукс, а админы переписали записи ДНС на наш айпи. Вот так, но потом доперли  ag Могу ошибаться.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

6 Ответ от Zhenjko

  • Zhenjko
  • Zhenjko
  • Злобный кот
  • Неактивен
  • Зарегистрирован: 13.06.2011
  • Сообщений: 1,180
  • Репутация : [ 17 | 1 ]
--=XliN=-- пишет:

ЛОР досил сайт стоплинукс, а админы переписали записи ДНС на наш айпи. Вот так, но потом доперли  big_smile Могу ошибаться.

Откуда такая информация что лор ддосил слор :o

Sonic пишет:

Добавил правило разрешающее 1 подключение с 1 ip за раз на 80 порт. Когда ddos завершится можно будет его убрать.

Они не подумали что есть динамические адреса?  Кто то сидит на нем, другой пытается зайти на форум, и все, оба в пролете.
Сейчас форум хоть немного но тормозит.

7 Ответ от SUSE_user

  • Откуда: Санкт-Петербург
  • Зарегистрирован: 21.02.2010
  • Сообщений: 1,700
  • Репутация : [ 24 | 2 ]

Мда, мы популярны. Я посмотрел - ддосит уже кто-то другой. А так придется ждать понедельника ah

8 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Саппорт ужасный что-ли такой?

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

9 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Ну не могут же они два дня DDos атаку делать? Не ужели прову пофигу, что на их хостинг фигачит траф?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

10 Ответ от Dimaty

  • Dimaty
  • Dimaty
  • Пользователь
  • Неактивен
  • Откуда: В. Новгород
  • Зарегистрирован: 24.03.2010
  • Сообщений: 3,174
  • Репутация : [ 66 | 1 ]
Sonic пишет:

Здравствуйте. Похоже ваш сервер идет атака

http://cs9835.vk.com/u116975954/139918517/x_ea2bb710.jpg
Я твой сервер атака делал! :lol:

АХАХХАХААХАХАХХАХАХ!!!11
То есть "Мяу"

11 Ответ от foozzi

  • foozzi
  • foozzi
  • Пользователь
  • Неактивен
  • Зарегистрирован: 19.01.2011
  • Сообщений: 1,246
  • Репутация : [ 26 | 0 ]

школота не годует, интересно сколько они откладывали деньги с завтраков, что бы оплатить сутки ддоса?

https://www.youtube.com/watch?v=m-0l9S76nlM

12 Ответ от MCS

  • MCS
  • Новичок
  • Неактивен
  • Зарегистрирован: 13.09.2011
  • Сообщений: 86
  • Репутация : [ 0 | 0 ]

с Билайна вообще не пускает на форум, с другого прова зашёл, и то, потёрлись темы/сообщения и т.д, откат сайта был?

13 Ответ от Writer

  • Writer
  • Writer
  • Модератор
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 21.02.2010
  • Сообщений: 3,337
  • Репутация : [ 81 | 4 ]

У Соника теперь 80 уровень по настройке DNS. ab

При укусе ядовитой змеи, держите её голову на расстоянии от себя, чтобы она не укусила вас в ответ...

Сайт Writer

14 Ответ от Sonic

  • Sonic
  • Sonic
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.02.2010
  • Сообщений: 2,793
  • Репутация : [ 78 | 2 ]

Угу, бек, немного староват за 16. А про мобильных провайдеров, так наверно еще DNS не обновился.
Бывает до нескольких суток + различные кеширования.

На мясокомбинате я работаю свиньёй.

15 Ответ от renegat

  • renegat
  • renegat
  • Пользователь
  • Неактивен
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,360
  • Репутация : [ 23 | 1 ]

http://linuxforum.ru/webstat/   500 Internal Server Error   ac

Я буду сниться тебе после смерти,  Под маской желтого шелка. Я очень тихо сыграю на флейте, И очень недолго.
  А ты пытайся в какой-то ответ  Интерпретировать звуки. (Я очень тихо играю на флейте. На грани слуха).
Я прячу в себе такую же тьму Под маской желтого шелка, Лицо собрав себе самому Из костяных осколков.

16 Ответ от Zhenjko

  • Zhenjko
  • Zhenjko
  • Злобный кот
  • Неактивен
  • Зарегистрирован: 13.06.2011
  • Сообщений: 1,180
  • Репутация : [ 17 | 1 ]

Мегафон, сначала открылся по ип адресу, сейчас по домену.

17 Ответ от SUSE_user

  • Откуда: Санкт-Петербург
  • Зарегистрирован: 21.02.2010
  • Сообщений: 1,700
  • Репутация : [ 24 | 2 ]

renegat, у меня ничего  :o

18 Ответ от renegat (20.10.2011 18:21:59 отредактировано renegat)

  • renegat
  • renegat
  • Пользователь
  • Неактивен
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,360
  • Репутация : [ 23 | 1 ]

SUSE_user
http://storage9.static.itmages.ru/i/11/1020/s_1319120147_4716207_c1636ca746.png

даже  винда и та ac
http://storage2.static.itmages.ru/i/11/1020/s_1319120396_1792577_44cb8a1d91.png

Я буду сниться тебе после смерти,  Под маской желтого шелка. Я очень тихо сыграю на флейте, И очень недолго.
  А ты пытайся в какой-то ответ  Интерпретировать звуки. (Я очень тихо играю на флейте. На грани слуха).
Я прячу в себе такую же тьму Под маской желтого шелка, Лицо собрав себе самому Из костяных осколков.

19 Ответ от Sonic

  • Sonic
  • Sonic
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.02.2010
  • Сообщений: 2,793
  • Репутация : [ 78 | 2 ]

SUSE_user, renegat, это надо устанавливать.

На мясокомбинате я работаю свиньёй.

20 Ответ от Denlookh

  • Denlookh
  • Denlookh
  • Пользователь
  • Неактивен
  • Откуда: Ufa-Moscow
  • Зарегистрирован: 05.08.2010
  • Сообщений: 474
  • Репутация : [ 9 | 0 ]

Ну, что, настало время форумчканам применить все свои познания в защите от ддос или все утихомирилось? Предлагаю свои услуги ab впс или дедик?

Black-metal ist krieg!
Hochlast ist krieg!

21 Ответ от renegat

  • renegat
  • renegat
  • Пользователь
  • Неактивен
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,360
  • Репутация : [ 23 | 1 ]

Denlookh, молодец,чо  smile  не словом,а делом  wink

Я буду сниться тебе после смерти,  Под маской желтого шелка. Я очень тихо сыграю на флейте, И очень недолго.
  А ты пытайся в какой-то ответ  Интерпретировать звуки. (Я очень тихо играю на флейте. На грани слуха).
Я прячу в себе такую же тьму Под маской желтого шелка, Лицо собрав себе самому Из костяных осколков.

22 Ответ от Sonic

  • Sonic
  • Sonic
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.02.2010
  • Сообщений: 2,793
  • Репутация : [ 78 | 2 ]

Denlookh, дедик, там обычный SYN-флуд на корень форума smile
На данный момент, IP просто блокируются.
Делал редирект явой, тоже помогало, но думаю это не лучший вариант ab

 Консоль:

88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.google.com/" "Scooter"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.pravda.ru/news/science/16-05 … alipsis-0/" "Opera/7.50 (Windows XP; U)"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.google.com/" "Lycos"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.vkontakte.ru/" "Dirt Jumper bullshit"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.yahoo.com/" "by b"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://upyachka.ru/" "Opera/9.80 (X11; Linux i686; U; ru) Presto/2.6.30 Version/10.61"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.google.com/" "by b"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.kp.ru/" "Mozilla/4.0 (compatible; MSIE 6.0; America Online Browser 1.1; rev1.1; Windows NT 5.1;)"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.hardcoreporn.com/" "Mozilla/5.0 (compatible; MSIE 7.0; Windows NT 6.0)"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.f-1.ru/" "The G-Bot"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.f-1.ru/" "Opera/7.51 (Windows NT 5.0; U) [en]"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.google.com/" "Googlebot"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.nigma.ru/" "Opera/7.51 (Windows NT 6.0; U) [en]"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.westsidestory.com/" "The G-Bot v2.0"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://news.rambler.ru/9971848/" "Opera/7.51 (Windows NT 5.1; U) [en]"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.westsidestory.com/" "Mozilla/5.0 (compatible; MSIE 7.0; Windows NT 5.2)"
88.160.29.x - - [20/Oct/2011:20:45:49 +0400] "GET / HTTP/1.1" 499 0 "http://www.live.com/" "Teoma"

На мясокомбинате я работаю свиньёй.

23 Ответ от zenon (20.10.2011 23:53:46 отредактировано zenon)

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

То что у меня обычно стоит (как пример, корректировать надо):
Сканы режу:

## nmap -sN (Scan: none of any flags = not implemented in TCP)
$IPT -t filter -N
$IPT -t filter -A hack_scan -p tcp -m state --state ! ESTABLISHED --tcp-flags SYN,ACK,FIN,RST NONE -m limit --limit 10/minute --limit-burst 10 -j LOG --log-prefix "IPT: Scan: empty flags: "
$IPT -t filter -A hack_scan -p tcp -m state --state ! ESTABLISHED --tcp-flags SYN,ACK,FIN,RST NONE -j REJECT --reject-with tcp-reset

SYN и UDP Flood

# Ограничение максимального числа "полуоткрытых" соединений с одного IP к конкретному порту:
$IPT -I INPUT -p tcp --syn --dport 80 -m iplimit --iplimit-above 10 -j DROP
# UDP-флуд. Типичный метод захламления полосы пропускания. Основан на бесконечной посылке
# UDP-пакетов на порты различных UDP-сервисов. Легко устраняется за счет отрезания таких
# сервисов от внешнего мира и установки лимита на количество соединений в единицу времени
# к DNS-серверу на стороне шлюза:
$IPT -I INPUT -p udp --dport 53 -j DROP -m iplimit --iplimit-above 1

# Запрещаем подключение к X серверу через сетевые интерфейсы.
$IPT -A INPUT  -i $EXT -p tcp  -m tcp --dport 6000:6063 -j DROP --syn

$IPT -A INPUT -i $EXT -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --rej$
$IPT -A INPUT -i $EXT -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn: "
$IPT -A INPUT -i $EXT -p tcp ! --syn -m state --state NEW -j DROP

Только SYN

$IPT  -N syn-flood
$IPT  -A syn-flood -m limit --limit 100/second --limit-burst 100 -j RETURN
$IPT  -A syn-flood -j LOG --log-prefix "SYN-flood attempt: "
$IPT  -A syn-flood -j DROP

и да не забывать:

echo 1 > /proc/sys/net/ipv4/tcp_syncookies

Еще чтоб не лезли в lo:

$IPT -A INPUT \! -i lo -s 127.0.0.0/8 -j DROP

Еще про нелегальные адреса http://i555.sytes.net/node/37
Вообще широковещательные все дропать надо.

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

24 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Вот еще скриптик на перл есть - никак до него руки не доберутся...
wget hostace.ru/barf.pl

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

25 Ответ от Sonic

  • Sonic
  • Sonic
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.02.2010
  • Сообщений: 2,793
  • Репутация : [ 78 | 2 ]

newzenon, спасибо за правила, поковыряю ab

На мясокомбинате я работаю свиньёй.

26 Ответ от Sonic

  • Sonic
  • Sonic
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.02.2010
  • Сообщений: 2,793
  • Репутация : [ 78 | 2 ]

Накидал такой скрипт, на основе статьи Методы борьбы с DDoS-атаками

cat /etc/banip.sh
#!/bin/bash

connects=50

netstat -ant | awk '/^tcp/ { split($5,IP,":") ; CNT[IP[1]]++ }; END { OFS="\t" ; for (ip in CNT) { print CNT[ip],ip } ;} ' > /var/log/ip.list

echo "" >> /var/log/ddos_log
echo "Start script" `date +%H:%M_%d-%m-%Y` >> /var/log/ddos_log

while read name
do
        count=`echo $name | awk '{print $1 }'`
        ip=`echo $name | awk '{print $2 }'`
        if [[ "$count" -gt "$connects" ]]
        then
            if [[ "$ip" == "127.0.0.1" ]]
            then
                echo $ip "- - localhost not added with" $count "connections" >> /var/log/ddos_log
            else
                iptables -A ddos -j DROP -s $ip
                echo "Add" $ip - - "[" `date +%H:%M_%d-%m-%Y` "]" - - "connections:" $count >> /var/log/ddos_log
            fi
        fi
done < /var/log/ip.list

echo "" >> /var/log/ddos_log
echo "" > /var/log/ip.list
На мясокомбинате я работаю свиньёй.

27 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]

Sonic, сказать хотел: ip банить надо когда атака идет, когда все спокойно смысла нет, тк в бан будут попадать многие и зацепить может не только атакующих.
Банить по анализам логов или netsat'a
Как раз тот скрипт barf.pl и делает вроде это.
Где-то тут его выципил http://forum.searchengines.ru/showthread.php?t=625614

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

28 Ответ от AAD

  • AAD
  • AAD
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.01.2011
  • Сообщений: 468

понятно, что вы ребята умные, но переписку то надо вести не публично. В любом скрипте есть слабое место, и плохим ребятам совсем не обязательно его знать.  wink

SimplyLinux 7

29 Ответ от Fat-Zer

  • Fat-Zer
  • Пользователь
  • Неактивен
  • Откуда: Москва
  • Зарегистрирован: 14.10.2010
  • Сообщений: 4,977
  • Репутация : [ 256 | 6 ]
AAD пишет:

понятно, что вы ребята умные, но переписку то надо вести не публично. В любом скрипте есть слабое место, и плохим ребятам совсем не обязательно его знать.

чем больше глаз - тем больше вероятность, чтто ошибку заметят хорошие ребята =)
с таким подходом и опенсорс - ЗЛО...

95% процентов проблем находятся между клавиатурой и стулом.

30 Ответ от Zhenjko (21.10.2011 17:14:57 отредактировано Zhenjko)

  • Zhenjko
  • Zhenjko
  • Злобный кот
  • Неактивен
  • Зарегистрирован: 13.06.2011
  • Сообщений: 1,180
  • Репутация : [ 17 | 1 ]

Чет опять началось, то фреймы не загружаются, то код
http://storage4.static.itmages.ru/i/11/1021/s_1319202696_5693582_afe9626bde.png
После обновить страницу все нормально.