Bekijk Volledige Versie : Abusers (700+ connecties) wat kan dat zijn?
Beste Hosting experts,
Ik ontvang geregeld gebruikers op mijn website die soms meer dan 700 connecties tergelijkertijd openen waardoor de server soms erg traag wordt.
Wat ik nu doe is het volgende:
1. controleren voor abusers
netstat -taepn|tr -s " " " "|awk '{print $5;}'|cut -d: -f1|sort|uniq -c|sort -rnk1|head
2. blocken van een abuser IP
iptables -A INPUT -s 82.73.x.x -j DROP
3. herstarten server zodat de block in werking treed
service httpd restart
En na enige tijd verwijder ik de ban weer:
1. verwijderen IP ban
iptables -D INPUT -s 88.159.x.x -j DROP
2. herstarten server
service httpd restart
De abusers lijken echter vaak standaard internet gebruikers, afkomstig uit verschillende locaties in Nederland met gewone providers zoals Chello of home.nl
Wat kan de reden zijn dat dit telkens gebeurt? Heeft iemand een idee?
En hoe kun je het voorkomen?
Groetjes,
Jan Jaap
Hoi,
kijk eens naar: APF samen met DDOS.sh
Werkt geheel automatisch (block/unblock)
Goede ervaringen mee...
Bedankt voor de tip!
Ik heb nu 4 programma's geïnstaleerd op basis van de instructies op:
http://www.topwebhosts.org/tools/apf-bfd-ddos-rootkit.php
De programma's die ik nu geïnstaleerd heb zijn:
APF, BFD, DDoS Deflate en RootKit
Het lijkt goed te werken want ik ontvang alert emails met gebruikers die inmiddels voor een half uur verbannen zijn maar ik begrijp nog niet hoe dit veroorzaakt wordt want het zijn er veel:
66.249.72.163 with 59 connections
82.73.138.197 with 52 connections
85.150.188.43 with 437 connections
85.147.157.198 with 79 connections
85.28.94.90 with 54 connections
81.71.10.141 with 52 connections
66.249.72.163 with 54 connections
84.86.182.229 with 200 connections
81.164.36.55 with 108 connections
84.87.44.232 with 50 connections
213.93.78.114 with 46 connections
62.163.161.195 with 53 connections
66.249.72.163 with 50 connections
87.208.40.221 with 34 connections
86.80.88.132 with 49 connections
81.68.127.166 with 35 connections
217.120.206.159 with 34 connections
Hoe kan dit toch veroorzaakt worden. IP 85.150.188.43 met 437 connecties bijvoorbeeld heeft de volgende IP whois informatie:
IP adres 85.150.188.43
Host 5596bc2b.adsl.wanadoo.nl
Stad Amsterdam
Regio Noord-Holland
Land Netherlands
http://www.mystats.nl/whois?ip=85.150.188.43
Komt dit door een of ander virus op de pc van normale gebruikers? Of kan dit ook door iets anders veroorzaakt worden, buiten de schuld van de gebruiker?
je kan ook in ddos.sh het volgende zetten:
netstat -ntu | grep ESTAB | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr > $BAD_IP_LIST
dus extra: grep ESTAB
dat scheelt in valse meldingen en gebruikers die een keer boven de limiet gaan...
Met ESTAB geef je aan alleen de echte gemaakte sessies te tellen. Dus sockets die zijn geopend voor 1 ip adres...
Scheelt weer... De limiet kan je dan ook op bijv 40 of 50 zetten....
Ramon Fincken
18/05/08, 20:52
hmm zover ik weet zijn ip adressen te spoofen, je zou eens kunnen kijken in de acces of error logs wat die IPadressen allemaal aan het doen zijn en daar dan een restrictie op leggen?
Scheelt weer... De limiet kan je dan ook op bijv 40 of 50 zetten....
Kunnen de connecties ook op een "normale" manier veroorzaakt worden? Zo ja, hoe is dat mogelijk?
Volgens mijn host zijn 10 connecties al te veel. De instelling staat nu op 30.
Er zijn inmiddels meer dan 100 IP's verbannen in minder dan 1 uur, dus het gaat wel redelijk hard.
je kan ook in ddos.sh het volgende zetten:
netstat -ntu | grep ESTAB | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr > $BAD_IP_LIST
dus extra: grep ESTAB
Is ddos.sh hetzelfde als wat ik nu gebruik: DDoS Deflate ?
En zo ja, waar vind ik ddos.sh?
Ik zie nu het volgende IP:
0.0.0.0 (21 connecties), dus mogelijk heeft Ramon gelijk dat IP adressen te spoofen zijn?
inderdaad hetzelfde....
:o
heb je toevallig een site waarop ijvoorbeeld vele downloads staan?
dan is het namelijk mogelijk dat deze mensen met ene spider langs je site aant lopen zijn om alle data binnen te halen (bijvoorbeeld black widow) dit veroorzaakt vele connecties.
een andere mogelijkheid zijn fouten in een script waardoor een bepaald stuk code blijft draaien en dus steeds een nieuwe connectie geopend wordt.
als je de nieuwste iptables hebt kun je bijvoorbeeld proberen gebruik te maken van de hashlimit functie, deze banned mensen niet direct maar voorkomt het openen van meer dan x connecties
Ik had een keer een chinees forum dat mn videos leechte. Forum had enkele tienduizenden online op elk moment. Was niet leuk. Gewoon half China geblokt :D
Ramon Fincken
19/05/08, 16:27
Ik had een keer een chinees forum dat mn videos leechte. Forum had enkele tienduizenden online op elk moment. Was niet leuk. Gewoon half China geblokt :D
dat valt toch simpel met htaccess te blocken ?
Wellicht een andere oorzaak, wij hebben tegenwoordig veel last van "referer-spammers", dit gebeurt vooral wanneer een website publiekelijk bereikbare (server)statistieken heeft (maar kan ook uberhaubt gebeuren..). Dan wordt er vaak een (bot)netwerk gebruikt om bepaalde verwijzende pagina's geforceerd te injecteren in de serverlogs, ook is het mogelijk dat er in de 'getstring' de spam-url's worden doorgegeven.
Kortom, zie je in de access-log's vreemde zaken?