eth0 Traffic hoch - Dos

  • Thread starter Thread starter freakshow10000
  • Start date Start date
F

freakshow10000

Guest
Hi.

Ich betreibe mehrere CoD4 Server, jetzt sind mir dort 2 "Exploits" bekannt.

Einmal ein Rcon Blocker.
Hierbei werden ganz viele Rcon anfragen an den Server gerichtet, der dann nicht mehr auf die "richtigen" antworten kann.
Dies ist NICHT das Problem das auftritt, da dies in den Logs zu finden wäre des Gameservers!

Dann gibt es die andere Variante.
Der "getstatus" Befehl wird gefaked und mein Server wird damit, mehr oder weniger, teil eines Botnetz und greift andere Server an.
Dies ist es jedoch auch nicht, da es sich hierbei dann um ausgehenden Traffic handeln müsste.

Mein Problem ist dieses hier:

Code: 
16:44:16.482359 IP (tos 0x0, ttl 252, id 34361, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482403 IP (tos 0x0, ttl 252, id 34368, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482407 IP (tos 0x0, ttl 252, id 34369, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482432 IP (tos 0x0, ttl 252, id 34379, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482457 IP (tos 0x0, ttl 252, id 34394, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482499 IP (tos 0x0, ttl 252, id 34403, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482507 IP (tos 0x0, ttl 252, id 34407, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482553 IP (tos 0x0, ttl 252, id 34413, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482558 IP (tos 0x0, ttl 252, id 34414, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482581 IP (tos 0x0, ttl 252, id 34423, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482600 IP (tos 0x0, ttl 252, id 34427, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
16:44:16.482621 IP (tos 0x0, ttl 252, id 34444, offset 0, flags [none], proto UDP (17), length 42)
    194.71.107.15.80 > x.x.x.10.28960: UDP, length 14
In den logs der Gameserver ist dazu NICHTS zu finden.
Ich frage mich jetzt, was das bringen soll. Der Gameserver geht nicht in die Knie oder ähnliches.
Ich stand grade eben ebenfalls von dem /24 von Piratebay unter beschuss.

So sieht dann z.b. ifstat aus:
Code: 
       eth0
 KB/s in  KB/s out
  396.74    251.72
  383.46    298.60
  395.57    347.90
  422.49    274.58
  382.13    335.61
^C
Ok aktuell ist es mit bis zu 400 Kb/s eingehend noch wenig, jedoch sieht man ja das da was nicht stimmen kann.
Wie kann bei einem Gameserver eingehend höher als ausgehen sein?
Da muss ja was schiefgehen.

:confused:
Irgendwelche Ideen?

mfG
 
Last edited by a moderator:
Ich stand grade eben ebenfalls von dem /24 von Piratebay unter beschuss.
Click to expand...
Wie huebsch, ein spoofed UDP Flood. Der Absender koennte auch CIA, BKA oder Microsoft sein =)
Dagegen kannst du nicht viel machen ausser aussitzen und den Hoster kontaktieren damit diesen den Traffic (evtl und sofern moeglich) filtert.

Bringen soll es dir vermutlich einfach nur Kosten (sofern du Incoming bezahlen musst) oder die Bandbreite des Servers vollaufen lassen.
 
d4f said:
Bringen soll es dir vermutlich einfach nur Kosten (sofern du Incoming bezahlen musst) oder die Bandbreite des Servers vollaufen lassen.
Click to expand...

Nein zahlen tue ich nicht für Traffic. Ich habe trotz DDos nur 1,5TB im Monat was ja lachhaft ist :(

Die Gbit anbindungen bekommen die mit 4Mbit auch nicht dicht.
Nervig -.- :mad:

Werd ich mal GPortal kontaktieren.

mfG
 
So..

Mir fällt grade auf das alle Pakete (die nicht spieldaten enthalten) eine Länge von 14 (Bytes) haben.

GPortal will mir ein Skript basteln :cool:


mfG
 
Last edited by a moderator:
Ein Skript das was macht? Wenn der Absender gespoofed ist bringt es nichts die IP zu sperren, er kann einfach die naechste nehmen sofern sein Zweck ein (D)DoS auf deine Machine und nicht ein Ausnutzen deines Gameservers fuer Amplifikation ist.
 
Das ist die getstatus Methode die du selbst schon erwähnt hast. Schau mittels DPI in die Pakete rein und du wirst ein getstatus Befehl vorfinden.
 
Firewire2002 said:
Das ist die getstatus Methode die du selbst schon erwähnt hast. Schau mittels DPI in die Pakete rein und du wirst ein getstatus Befehl vorfinden.
Click to expand...

die Methode ist aber eigentlich blockiert...
Ich habe es nochmal geprüft.
Als ich die IPTables Regeln, die dies geblockt haben, entfernt, so stieg der Outgoing Traffic auf bis zum 40Mbit an :eek:

mfG
 
Ok wenn du es per iptables blockierst ist es normal; die Pakete kommen ja trotzdem bei dir an, sie werden nur halt nicht an die Server uebergeben.

Dagegen machen kannst du wie gesagt nicht viel. Solange es den Betrieb nicht stoert brauchst du das auch nicht ;)
 
Etwas hinterhältig, aber wirksam:
Schreib für die gespooften IPs Abuse Mails. Wenn der Hoster des eigentlichen Opfers die Kiste vom Netz nimmt, ist das Ziel der DoS erreicht und sie hören auch auf dich zu missbrauchen. Zumindest solange bis das nächste Opfer in Sichtweite ist. :p
 
You must log in or register to reply here.
Back
Top