Onderwerp: Server wordt aangevallen dmv erg veel page requests

Op willekeurige tijdstippen wordt mijn server aangevallen door een IP adres uit de cloud van Amazon EC2 (mail is al verstuurd en IP geblockt). Het is een soort DoS aanval waarbij er erg veel requests worden gedaan naar allemaal verschillende pagina's, een soort crawler die binnen enkele seconden tientallen pagina's probeert te openen. Dit resulteert in een onbereikbare server doordat het geheugen helemaal vol loopt, ook swap schiet vol. Het vervelende is dat het telkens andere IP adressen uit de cloud van Amazon zijn waardoor ik eigenlijk de hele tijd bezig ben met het bannen van IP adressen. Het lijkt dus op een gerichte aanval van iemand die het gemunt heeft op een van de websites op mijn server.

Wat kan ik hier het beste tegen doen? Het is een Directadmin server waarop een handjevol websites draaien van mezelf.

Hieronder een stukje uit mod_status:

Code:

WWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWWW_S...........
................................................................
......................
Scoreboard Key:
"_" Waiting for Connection, "S" Starting up, "R" Reading Request,
"W" Sending Reply, "K" Keepalive (read), "D" DNS Lookup,
"C" Closing connection, "L" Logging, "G" Gracefully finishing,
"I" Idle cleanup of worker, "." Open slot with no current process
Srv	PID	Acc	M	CPU	SS	Req	Conn	Child	Slot	Client	VHost	Request
0-0	18838	1/22/128	W	1.79	1	0	2.2	0.20	1.54	54.242.92.244	www.x.nl:80	GET /index.php?option=com_mailto&tmpl=component&link=20fb04ede2
1-0	18848	0/25/158	W	0.83	0	0	0.0	0.30	1.44	54.242.92.244	www.x.nl:80	GET /component/tag/treinreis-utrecht HTTP/1.1
2-0	18826	1/27/142	W	1.02	4	0	0.7	0.10	1.40	54.242.92.244	www.x.nl:80	GET /component/tag/treinreis:belgi\xc3\xab:boeken HTTP/1.1
3-0	18814	1/51/186	W	1.33	0	0	5.6	0.60	1.47	54.242.92.244	www.x.nl:80	GET /component/tag/treinkaartjes-eindhoven HTTP/1.1
4-0	18849	1/13/146	W	0.55	4	0	0.7	0.02	1.23	54.242.92.244	www.x.nl:80	GET /component/tag/samenuitkorting:ns HTTP/1.1
5-0	18863	2/10/152	W	0.50	4	0	8.8	0.03	0.66	54.242.92.244	www.x.nl:80	GET /component/tag/treinkaartje:kopenhagen HTTP/1.1
6-0	18835	1/15/112	W	1.19	2	0	0.7	0.03	0.85	54.242.92.244	www.x.nl:80	GET /component/tag/treinkaartje:keulen HTTP/1.1
7-0	18869	0/2/103	W	0.49	4	0	0.0	0.01	1.19	54.242.92.244	www.x.nl:80	GET /ns-trein-nieuws/drugssmokkel-via-de-trein-mislukt/pdf HTTP

Zo te zien valt de load nog mee. Zeker weten dat het aan Apache ligt?

Ik weet bijna zeker dat dit het probleem is. Toen de aanval net begon heb ik mod_status kunnen aanroepen daarna is het einde verhaal en zit de load over de 200 en is het geheugen inclusief swap helemaal vol.

Zijn die IP's echt 100% verschillend of is het eerste deel wel gelijk? Netjes is anders, maar als dat het geval is gewoon tijdelijk dat subnet in de firewall zetten. Zo te zien is het overigens Joomla, niet toevallig ergens een lek script?

De adressen zijn allemaal van Amazon EC2 en ja er draait joomla op maar dat moet niet uitmaken denk ik. Er komen allemaal verschillende paginas voor en die worden allemaal tegelijk geopend, iets wat je niet lukt met de hand maar echt gericht doet. Heb nu 3 ip adressen geblokkeerd en ik heb ook al zitten nadenken om de hele subnet een ban te geven maar het liefst heb ik een oplossing voor het probleem zodat ik zeker weet dat in de toekomst dit soort narigheid geen effect meer heeft.

Joomla wordt vrijwel dagelijks in grote hoeveelheden gehackt en misbruikt (zeker als het geen recente versie is) dus het maakt in die zin wel degelijk uit. Goed scannen om in iedergeval eventueel kwalijke scripts weg te kunnen halen. Ik zeg niet dat het probleem daar zit, wel dat je het moet uitsluiten.

Het klopt dat veel gebruikte systemen vaak opgezocht worden om te hacken maar ik weet zeker dat alles up to date is en er zover ik weet geen lekken zijn. Het vreemde is dat er tientallen verschillende paginas tegelijk worden geopend door 1 ip adres en dit laat de server helemaal vastlopen. Het lijkt me niet dat er exploits worden uitgevoerd want het zijn allemaal get requests met een normale url zonder gekke tekens of sql injection achtige zinnen achter de url. Ik vermoed dat iemand hierachter zit met de bedoeling om de server offline te krijgen.

Heb je CSF/LFD als firewall draaien? Wellicht dat je met de PORTFLOOD functie de hoeveelheid simultane connecties per IP-adres kunt in gaan stellen over poort 80?

Ik zou zeggen google eens op slow loris attack, dan zul je vanzelf wel een paar oplossingen vinden voor je probleem, van apache modules tot firewall rules of proxy's. Wil je een vlugge oplossing (of tijdelijke oplossing) zet dan in je firewall dat er maar x aantal connecties per ip toegelaten zijn.

Ik maak al gebruik van mod_reqtimeout en dat schijnt hetzelfde te werken als antiloris (volgens de DA help pagina). Ook maak ik al gebruik van csf maar weetniet precies wat ik dan moet instellen hiervoor. Als ik naar connlimit kijk binnen csf kan ik wel een rule opstellen die een x aantal connecties per poort per seconde bepaald maar dan kom ik alsnog op hetzelfde probleem dat dit iedere seconde mogelijk is. Css bestanden en afbeeldingen worden allemaal als nieuwe verbinding gezien dus als ik dit te laag instel kan een pagina trager laden. Wat is de beste oplossing voor dit probleem? Ik neem aan dat vele hier tegen bestendigd zijn op professionele webhosting omgevingen. Iig bedankt voor al jullie reacties!

Ik zie dat mod_antiloris niet meer sinds 2010 is geupdate en er met Apache 2.4 wat problemen zijn. Ook lees ik dat mod_reqtimeout beter is dan mod_antiloris maar dit gebruik ik al en stopt de aanvallen niet.

Wat is het beste wat ik kan doen? Een subnet blokkeren lost het probleem niet op maar stelt het uit tot de volgende keer... Ik draai ook CSF maar weet niet wat ik specifiek zou moeten instellen. Het probleem is eigenlijk dat er allemaal pagina's worden geopend door 1 IP adres wat ervoor zorgt dat de hele server vertraagd, ram en swap lopen vol en cpu load over de 200...

Als je CSF hebt draaien kun je toch heel gemakkelijk dat ene IP blokkeren ?

Dat heb ik ook al gedaan, 3 ip adressen, maar dat lost het probleem niet op maar stelt het uit tot het zich weer voordoet... Ik zoek een oplossing in de vorm van een limiet per ip of iets in die richting? De meeste mensen hier zullen daar meer over weten dan mij daarom vraag ik hier wat het beste is om te doen en wat jullie gebruiken om dit soort zaken te stoppen.

Niet lastig doen; je kunt die hele /24 of zelfs /16 van amazon gewoon blokken aangezien een andere 'server' (die niet van google/bing is) in principe niks te zoeken heeft op je site. In 99-100 gevallen heeft een site alleen maar baat bij user connecties (ziggo, tele2, upc, etc) en die lopen echt niet via subnetten van amazon ec.
Enige waar je wellicht wat mee moet oppassen is dat je geen proxies van bv scholen, bedrijven uitsluit, maar de kans dat een school of bedrijf hun proxy bij amazon onderbrengt is zowat nihil (zo ook wel erg blöd zijn)

Ik wilde je advies opvolgen maar toen ik goed keek zag ik dat de IP adressen in verschillende subnetten zitten dus dan heeft niet ook niet veel nut om hele subnetten te blokkeren (de IP adressen begonnen al verschillend namelijk; 50.xx.xx.xx en 51.xx.xx.xx). Wel zijn de aanvallen al enkele uren gestopt

Maar hoe regelen jullie dit soort zaken? Hanteren jullie een maximaal aantal connecties per ip of bepaalde modules die dit soort 'aanvallen' tegenhouden?