Botnet

[kev1904]

Hallo zusammen,
seit einigen stunden steht undser webserver unter masivem DDoS ich denke via botnet anfragen von zig rechnern festnetz anschlüssen .. Ich habe vor dem webserver 2 nginx reserve proxys allerdings leiten die die anfragen ungefiltert weiter kann man dort was machen ?

365 109.230.X.X
257 80.82.X.X
309 109.230.X.X

das sind die ips der 3 reserve proxys .. andere sehe ich ja nicht.

root:~# netstat -tan | grep ':6531 ' | awk '{print $6}' | sort | uniq -c
1 LISTEN
535 TIME_WAIT
5 VERBUNDEN

Websiten laden zwar(noch) aber die server last ist unglaublich hoch

 

[Ben.]

Die echten IP-Adressen kannst du aus den Access-logs des Webservers lesen. Wenn du nginx richtig konfiguriert hast, werden diese mit übergeben (X-Forwarded-For).

Ansonsten hilft wohl nur die Firewall auf / vor den Proxies prüfen.

Du könntest noch die Übertragungsrate je Verbindung in nginx begrenzen. Aber ohne zu wissen welche Art von Anfragen auf deinem Server eintreffen ist das ggf. keine "Lösung".

 

[kev1904]

Ja des ist echt blöde kann man nicht ne art http php cookie authentifizierung
machen ? wie z.b bei dragonara wenn man auf eine seite von denen geht kommt immer /index.php?grgn=1 irgendwie muss man doch sowas machen können

 

[Ben.]

Was bringt dir das?

Gib doch bitte noch ein paar Details zu eingesetzter Software. Ggf. kann man mit IPTables was machen.

Was sind das für Anfragen die auf den Proxies eintreffen? Kannst du sehen welche Art von Angriff das ist?

 

[kev1904]

ok auf den proxys:

iptables -N LIMIT
iptables -A LIMIT -p tcp --syn --dport 80 -m connlimit --connlimit-above 15 -j REJECT --reject-with tcp-reset
iptables -A INPUT -p tcp --dport 80 -j LIMIT
iptables -A FORWARD -p tcp --dport 80 -j LIMIT
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,URG,PSH -j LOG --log-prefix "NMAP-XMAS SCAN:" --log-tcp-options --log-ip-options
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j LOG --log-prefix "NMAP-NULL SCAN:" --log-tcp-options --log-ip-options
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j LOG --log-prefix "SYN/RST SCAN:" --log-tcp-options --log-ip-options
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,FIN SYN,FIN -j LOG --log-prefix "SYN/FIN SCAN:" --log-tcp-options --log-ip-options
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 2> /dev/null
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all 2> /dev/null
echo 1 > /proc/sys/net/ipv4/tcp_syncookies 2> /dev/null
echo 0 > /proc/sys/net/ipv4/tcp_ecn 2> /dev/null

Nginx.conf
user www-data;
worker_processes 5;
worker_rlimit_nofile 80000;

error_log /var/log/nginx/error.log;
pid /var/run/nginx.pid;

events {
worker_connections 50000;
# multi_accept on;
}

http {
upstream srv {
server X.X.X.X:6531 max_fails=2 fail_timeout=3s;
}

include /etc/nginx/mime.types;

access_log /var/log/nginx/access.log;

sendfile on;
#tcp_nopush on;

#keepalive_timeout 0;
keepalive_timeout 2;
tcp_nodelay on;

gzip on;
gzip_disable "MSIE [1-6]\.(?!.*SV1)";

include /etc/nginx/conf.d/*.conf;
include /etc/nginx/sites-enabled/*;
}

 

[kev1904]

und halt die weiterleitung

location / {
proxy_pass http://srv;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

 

[kev1904]

MOD: Bilder bitte immer als Anhang. Danke!

 

[Ben.]

Ich bin kein IPTables-Experte, aber es sieht meiner Meinung nach gut aus.

Welche Bandbreite hat denn der Angriff? Vermutlich hast du nicht viele Möglichkeiten da etwas gegen zu unternehmen ausser abzuwarten.

Mit FreeBSD wäre das nicht passiert

 

[kev1904]

Bandbreite kaum .. aber sind halt viele webserver anfragen sommit packete