Onderwerp: Pas op!!: Hackertool voor platleggen Apache webserver

Oorspronkelijk geplaatst door Boyke

Gewoon het LSW script gebruiken dus?

Werkt perfect

Het is uiteraard wel een beetje een lapmiddel omdat je eens in de zoveel tijd een script start (cron) maar het doet prima waar het voor gemaakt is!

Mijn script wijkt trouwens iets af van het LSW script: install-script en ik check of een entry al in iptables staat. Anders krijg je hetzelfde ip meerdere keren in iptables op de blocklist.

De max van 50 gaat over het max. aantal connecties dat is toegestaan van 1 IP naar poort 80 op de webserver. 50 zou meer dan genoeg moeten zijn; een standaard instance van slowloris maakt 252 connecties.

Oorspronkelijk geplaatst door my816797

Mijn script wijkt trouwens iets af van het LSW script: install-script en ik check of een entry al in iptables staat. Anders krijg je hetzelfde ip meerdere keren in iptables op de blocklist.

"Jouw" script?
Of jouw aanpassing op het LSW script...
Het LSW script doet default herstart van apache, daarna zullen er geen ESTAB sessies meer zijn, en dus ook niet een tweede keer in de blocklist gezet.

Oorspronkelijk geplaatst door my816797

De max van 50 gaat over het max. aantal connecties dat is toegestaan van 1 IP naar poort 80 op de webserver. 50 zou meer dan genoeg moeten zijn; een standaard instance van slowloris maakt 252 connecties.

----
Welcome to Slowloris - the low bandwidth, yet greedy and poisonous HTTP client
Defaulting to port 80.
Defaulting to a 100 second re-try timeout.
Defaulting to 1000 connections.
----

Het zijn er 1000.
Maar veel standard installs van apache hebben een MaxClient van 256

Oorspronkelijk geplaatst door kilobit

Het zijn er 1000.
Maar veel standard installs van apache hebben een MaxClient van 256

Goed punt

En wat betreft het restarten van Apache: ook een oplossing, maar toen ik gisteren het LSW script tegen kwam zat dat er volgens mij nog niet in. Daarnaast start ik liever Apache niet 'onnodig' opnieuw op.

Oorspronkelijk geplaatst door kilobit

"Jouw" script?
Of jouw aanpassing op het LSW script...
Het LSW script doet default herstart van apache, daarna zullen er geen ESTAB sessies meer zijn, en dus ook niet een tweede keer in de blocklist gezet.



----
Welcome to Slowloris - the low bandwidth, yet greedy and poisonous HTTP client
Defaulting to port 80.
Defaulting to a 100 second re-try timeout.
Defaulting to 1000 connections.
----

Het zijn er 1000.
Maar veel standard installs van apache hebben een MaxClient van 256

Die van mij staat ook op 256 (Sommige Servers)
Ik heb nog geen een keer tot nu last gehad van hackers en aanvallen op de servers.

Die MaxClients heb ik ook op 256 staan, maar dat was toch niet voldoende omdat programmatje tegen te houden?

Oorspronkelijk geplaatst door my816797

Het op een andere manier oplossen met iptables:

Scan netstat, kijk hoeveel verbindingen van hetzelfde IP naar poort 80, block host in iptables.

Vergeet ook poort 443 (https) niet.

Oorspronkelijk geplaatst door Boyke

Die MaxClients heb ik ook op 256 staan, maar dat was toch niet voldoende omdat programmatje tegen te houden?

Klopt

Met LFD gooide hij me in de firewall na pakweg 260 connections, dus geen last gehad. Bij de configuratie wel even in de configs gezet dat hij elke seconde checkt.

Wij gebruiken tijdelijk nu dit :

Voor de Ubuntu/Debian'ners onder ons even een snelle tijdelijke
IPtables + Cron + Netstat fix (zelfde idee als Leaseweb)

Code:

sudo -i
cd /tmp/
wget http://hosting.servxs.net/files/install-antiloris.sh
/bin/sh install-antiloris.sh
exit


Kan je hier goed mee uit komen ? of moeten we iets anders zoeken >?

Vervelend dat het scriptje nu rond dwaalt, nu krijgen we natuurlijk een stortvloed aan scriptkiddies die om de haverklap sites platleggen. Maar goed, het gros van de attacks is vrij snel gefilterd, de attack is alleen als-ie distributed is nogal lastig te voorkomen.

Zijn er al oplossingen gevonden die deze attack voorkomen ipv oplossen (de scriptjes die hier gepost zijn, zijn slechts een oplossing)? Enige wat ik mij kan bedenken is 1) aantal threads per IP limiteren, 2) andere webserver of 3) Apache aanpassen om deze attack te voorkomen

Optie 1 is vervelend voor mensen die achter een proxy hangen, optie 2 is behoorlijk ingrijpend. Optie 3 is natuurlijk de beste, beetje jammer alleen dat ze bij Apache het bugreport dicht hebben gegooid aangaande slowloris.

Overigens vraag ik mij af: hoe handelt IIS de requests af? IIS is single threaded, maar in hoeverre dit de server immuun maakt vraag ik me af... de thread zou toch uiteindelijk te veel geheugen moeten innemen?

@goudgeel

Voor zover ik het script heb gelezen (gebruik het zelf niet), ziet het er prima uit. Het script van my816797 checkt elke 15 seconden of er teveel verbindingen zijn vanaf 1 IP, als dat zo is wordt dat IP geblokkeerd. Hierna is vrij snel de webserver weer bereikbaar (afhankelijk van de timeout instellingen in je webserver).

@my816797: werkt dat script ook op centos?

-Kannimeer bewerken-
Ik zit met _een_ aanval hier op apache, modevasive/csf hebben niet veel zin om het goed tegen te houden. Iemand die er even naar zou willen kijken voor me?

Oorspronkelijk geplaatst door Wynand

-Kannimeer bewerken-
Ik zit met _een_ aanval hier op apache, modevasive/csf hebben niet veel zin om het goed tegen te houden. Iemand die er even naar zou willen kijken voor me?

De module CT_LIMIT van LFD zou wel moeten werken.

Heb je hier nog een aan te raden setting voor? 200 (default) lijkt me hier wat hoog voor gezien de situatie, maar heb geen zin om mezelf te kicken wanneer ik een pagina laad en op SSH zit.

Oorspronkelijk geplaatst door Wynand

Heb je hier nog een aan te raden setting voor? 200 (default) lijkt me hier wat hoog voor gezien de situatie, maar heb geen zin om mezelf te kicken wanneer ik een pagina laad en op SSH zit.

150 connecties per minuut is voldoende. Komt zelden voor dat er iemand onterecht geblokkeerd wordt, enkel 150+ kleine bestandjes ftpen is een risico.