Server wird auf Port 80 angegriffen.

[Deleted member 11691]

Hallo,

habe eine Website die auf meinen OVH Dedicated Server läuft.
Auf den Dedicated Server läuft Centos 5 mit Plesk 10

Durch die Logs von httpd unter var/log/httpd/access.log habe ich das hier entdeckt:
http://pastebin.com/tHgbWNJq

Wäre nett wenn mir einer bei diesen Problem helfen könnte da ich mommentan umbedingt wieder Online kommen will.

 

[nevakee]

iptables -A INPUT -s 79.224.10.156 -j DROP

Sollte provisorisch erst mal helfen.
http://whois.domaintools.com/79.224.10.156

 

[its]

Durch die Logs von httpd unter var/log/httpd/access.log habe ich das hier entdeckt:
http://pastebin.com/tHgbWNJq

Für mich sieht das stark nach "HTTP-Flooding" aus, da versucht jemand deinen Server lahm zu legen. Hast du mal die IPs geblockt mit diversen Tools ist das schnell realisierbar.

Empfehlen kann ich dir hier "fail2ban" mit blocklist.de Anbindung, damit die IPs direkt gemeldet werden an die jeweiligen Abuse-Abteilungen.

Auch wenn ich betonen muss, dass man sich mit ein paar Skripten, leider nicht gut vor einer DDoS Attacke schützen kann.

 

[cosimo.de]

Hallo,

mod_security sollte hier auch helfen.

 

[virtual2]

Das ist sogenanntes Syn Flooding, welches mit dem Tool Low Orbit Ion Cannon ausgeführt wird.

Ich z.B. teste mit LOIC meine Server auf Sicherheit und Stabilität in Sachen Webserver und anderer Dienste.

Am besten wäre es, wenn du Syn Cookies aktivierst und die IPs via IPTables sperrst.

Grüße,

Joseph

PS: Der Angreifer ist anscheinend Telekom Kunde, der Whois sagt darüber einiges aus.

 

[d4f]

@virtual2:
Bitte lies dir mal den SYNFLOOD-Eintrag auf Wikipedia durch.
Das hat nichts miteinander zu tun

Waehrend die LOIC eins der bekanntesten Tools im Bereich der HTTP-Floods ist (dank Anon), schiesst man meist normale Anfragen damit ab - sofern man ueberhaupt HTTP damit stress-testen will, da es auch UDP und TCP beherrscht. Es gibt zig andere Tools und ein entsprechendes eigenes ist auch mit paar Zeilen Python/Perl/PHP/... geschrieben...

Will der Angreifer nicht eventuell hier einfach nur die Serverlogs zubomben und die Hostingmachine so in die Knie bringen?