[Tutorial] DOS-Angriff abwehren

Blu3scReeN · 15. Juni 2013

Guten Tag,
ich möchte euch heute hier eklären, wie man einen leichten DDOS-Angriff ( 1-5 MB/its ) von einem Apache Server abwehrt.

Anleitung für die manuelle Abwehr eines DoS-Angriffes.

Spoiler anzeigen

Code

apt-get update && apt-get upgrade && apt-get install iptables

Spoiler anzeigen

Code

netstat -ant | grep TIME_WAIT | awk '{ print $5}' | cut -d ":" -f 1 | sort | uniq -c

Spoiler anzeigen

Code

iptables -A INPUT -s IP-Adresse -j DROP

Spoiler anzeigen

Code

iptables -D INPUT -s 100.100.100.100 -j DROP

Spoiler anzeigen

Code

/etc/init.d/apache2 restart

Spoiler anzeigen

Es gibt noch mehrere Möglichkeiten, darunter z.B. Mod_Evasive!

Anleitung 2: Mod_Evasive ( Apache only )

Spoiler anzeigen

Code

apt-get install libapache2-mod-evasive

Spoiler anzeigen

Code

/etc/init.d/apache2 force-reload

Spoiler anzeigen

Code

nano

Code

/etc/apache2/apache.conf

Spoiler anzeigen

Code

<IfModule mod_evasive20.c>    DOSHashTableSize    3097    DOSPageCount        2    DOSSiteCount        50    DOSPageInterval     1    DOSSiteInterval     1    DOSBlockingPeriod   10</IfModule>

Spoiler anzeigen

Code

DOSWhitelist 127.0.0.1

Spoiler anzeigen

Code

DOSLogDir "/var/log/mod_evasive"

Spoiler anzeigen

Code

DOSEmailNotify mail@domain.com

Spoiler anzeigen

Code

/etc/init.d/apache2 restart

Spoiler anzeigen

Code

cd /home

Spoiler anzeigen

Code

nano test.pl

Spoiler anzeigen

Perl

#!/usr/bin/perl# test.pl: small script to test mod_dosevasive's effectivenessuse IO::Socket;use strict;for(0..100) {  my($response);  my($SOCKET) = new IO::Socket::INET( Proto   => "tcp",                                      PeerAddr=> "127.0.0.1:80");  if (! defined $SOCKET) { die $!; }  print $SOCKET "GET /?$_ HTTP/1.0\n\n";  $response = <$SOCKET>;  print $response;  close($SOCKET);}

Spoiler anzeigen

Code

chmod 0700 test.pl

Spoiler anzeigen

Code

./test.pl

Spoiler anzeigen

Code

HTTP/1.1 200 OK

Spoiler anzeigen

Code

HTTP/1.1 403 Forbidden

Spoiler anzeigen

Anleitung 3: (D)DoS-Deflate

Spoiler anzeigen

Code

wget http://www.inetbase.com/scripts/ddos/install.shchmod 0700 install.sh./install.sh

Spoiler anzeigen

Code

nano /usr/local/ddos/ddos.conf

Spoiler anzeigen

Code

/usr/local/ddos/ddos.sh -c

Spoiler anzeigen

Ich hoffe, es hat euch geholfen, wie gesagt, das nutzt nur gegen kleine Angriffe, große mit einem Botnetzwerk lassen sich dadurch nicht abwehren.

niklasbollmer · 15. Juni 2013

Vielen Dank erstmal für Deine Mühe - Ich möchte dich trotzdem darauf hinweisen, dass du Leichen in der Überschrift zu Leichten ändern solltest

MfG

rayN. · 15. Juni 2013

Nettes Tut für Leute die sich nicht damit auskennen aber man sollte aufpassen welche IP man bannt da man oft selber auch dort angezeigt wird und wenn man sich selber bannt hat man ein Problem..

Blu3scReeN · 15. Juni 2013

Zitat von [vRP]rayN

Nettes Tut für Leute die sich nicht damit auskennen aber man sollte aufpassen welche IP man bannt da man oft selber auch dort angezeigt wird und wenn man sich selber bannt hat man ein Problem..

[b]Genau, deshalb sollte man auch immer bei http://wieistmeineip.de überprüfen, ob es die eigene IP ist.

rayN. · 15. Juni 2013

Zitat von Blu3scReeN

Genau, deshalb sollte man auch immer bei http://wieistmeineip.de überprüfen, ob es die eigene IP ist.

Jap, und am besten in der Wer-ist-Online Liste die IP's vergleichen damit man nicht ein Teammitglied o.ä. bannt^^

Burnett · 15. Juni 2013

Hier handelt es sich um die Manuelle Abwehr eines Angriffs.
Man muss also immer noch Zugriff zur Konsole haben, damit man deine Methode nutzen kann.

Meistens ist der Angriff aber so stark, das man gar keinen Zugriff mehr hat.

Aber wie du bereits schreibst: "Leichten DDOS Angriff ".

Wobei man hier "leichten" definieren müsste. Was wird als "leichter" Angriff angesehen etc.

Gredsoft · 15. Juni 2013

Zitat von [vRP]rayN

Jap, und am besten in der Wer-ist-Online Liste die IP's vergleichen damit man nicht ein Teammitglied o.ä. bannt^^

Achso, und Teammitglieder sind also nicht dazu im Stande, einen DDoS-Angriff auszuführen?

rayN. · 15. Juni 2013

Zitat von Gredsoft

Achso, und Teammitglieder sind also nicht dazu im Stande, einen DDoS-Angriff auszuführen?

Sollte man nicht denken oder?

fnL · 15. Juni 2013

1. Das wäre kein DDoS Angriff sondern ein DoS Angriff. Der Angriff geht nur von einer Stelle aus.
2. Gibt es Scripts, die genau das automatisch machen.
3. Würde an dieser Stelle eine Attacke wenig ausmachen, denn wenn sie das machen würde, würdest du nicht mehr auf den SSH Server zugreifen können.

Daher bringt das ganze annähernd nichts.

mfG

DJSatrox · 15. Juni 2013

Super Tutorial

Blu3scReeN · 15. Juni 2013

Zitat von fnL

1. Das wäre kein DDoS Angriff sondern ein DoS Angriff. Der Angriff geht nur von einer Stelle aus.
2. Gibt es Scripts, die genau das automatisch machen.
3. Würde an dieser Stelle eine Attacke wenig ausmachen, denn wenn sie das machen würde, würdest du nicht mehr auf den SSH Server zugreifen können.

Daher bringt das ganze annähernd nichts.

mfG

Klar, wenn ein einzelner PC dich DDOst?
Mein Server wurde gerade von 2 Clienten geddost, geblockt, Apache neugestartet, alles klappt.

D N A · 15. Juni 2013

Zitat von fnL

2. Gibt es Scripts, die genau das automatisch machen.

Hast du da auch ne Quelle oder ist das einfach nur daher gesagt?

Burnett · 15. Juni 2013

Zitat von D N A

Hast du da auch ne Quelle oder ist das einfach nur daher gesagt?

Fail2ban Übernimmt das automatisch für dich.

apt-get install fail2ban

http://de.wikipedia.org/wiki/Fail2ban

Blu3scReeN · 15. Juni 2013

Zitat von D N A

Hast du da auch ne Quelle oder ist das einfach nur daher gesagt?

Kann man in der Config von Fail2ban einstellen, ist aber nicht so zuverlässig und kann auch fehlentscheidungen treffen.

Burnett · 15. Juni 2013

Zitat von Blu3scReeN

Kann man in der Config von Fail2ban einstellen, ist aber nicht so zuverlässig und kann auch fehlentscheidungen treffen.

Nein. DIese Aussage entspricht nicht der Warheit.
Wenn man Rules hat mit nem bestimmten Regex, dann kann man Fehlentscheidungen ausschließen.

Zb. die Badbot Rule etc.

fnL · 15. Juni 2013

Zitat von D N A

Hast du da auch ne Quelle oder ist das einfach nur daher gesagt?

http://blog.bodhizazen.net/linux/prevent-dos-with-iptables/
Das wäre ein Beispiel. Maßnahmen gegen DoS Angriffe gibt es bereits seit längerer Zeit.

Zitat von Blu3scReeN

Klar, wenn ein einzelner PC dich DDOst?
Mein Server wurde gerade von 2 Clienten geddost, geblockt, Apache neugestartet, alles klappt.

Mal ehrlich. Was verstehst du nicht?
Ist der Angriff groß genug (das er wirklich was bewirkt), kommst du garnicht dazu den Apache neuzustarten. Ist er nur annäherend groß, hängt sich wahrscheinlich schon netstat beim ausführen auf.
Ein DoS Angriff hat i.d.R. nur krasse Auswirkungen auf deine Dienste wenn dafür Lücken genutzt werden. (z.B. Slowloris ist eine Methode, die an einer Lücke von mehreren Webservern ansetzt. Das ist aber mittlerweile auch schon teils überall gefixt.)

mfG

Blu3scReeN · 15. Juni 2013

Zitat von fnL

http://blog.bodhizazen.net/linux/prevent-dos-with-iptables/
Das wäre ein Beispiel. Maßnahmen gegen DoS Angriffe gibt es bereits seit längerer Zeit.

Mal ehrlich. Was verstehst du nicht?
Ist der Angriff groß genug (das er wirklich was bewirkt), kommst du garnicht dazu den Apache neuzustarten. Ist er nur annäherend groß, hängt sich wahrscheinlich schon netstat beim ausführen auf.
Ein DoS Angriff hat i.d.R. nur krasse Auswirkungen auf deine Dienste wenn dafür Lücken genutzt werden. (z.B. Slowloris ist eine Methode, die an einer Lücke von mehreren Webservern ansetzt. Das ist aber mittlerweile auch schon teils überall gefixt.)

mfG

Alles anzeigen

Tut mir leid, dass das so ausathen muss, aber du liest anscheinend meine Beiträge nicht. Ich habe geschrieben, falls der Angriff nicht stark ist!

fnL · 15. Juni 2013

Zitat von Blu3scReeN

Tut mir leid, dass das so ausathen muss, aber du liest anscheinend meine Beiträge nicht. Ich habe geschrieben, falls der Angriff nicht stark ist!

Ich will dich damit jetzt nicht beleidigen, versteh mich da nicht falsch.
Es lohnt sich aber aktiv erst soetwas abzuwehren wenn es Auswirkungen hat. Das wäre dann, wenn du nicht mehr auf den SSH Server kommen würdest. Aber genau da ist es zu spät mit deiner Methode.
Klar, diese Methode lohnt sich bedingt, wenn eine Anwendung sehr anfällig für Angriffe wäre, wenn z.B. MySQL sehr anfällig wäre, wäre es nütztlich dort Leute zu bannen. Eher aber würde es sich lohnen, dass automatisch regeln zu lassen.
Es gab sogar Scripts, die bannen die IP nur auf diesem Port, finde das Script aber gerade nicht. Dann kann sich ein vermeintlicher Failban immer noch im TS melden.

Silver.Star · 15. Juni 2013

Für Leute die sich grad ins Thema einarbeiten. Einfach und direkt
Nur mal als eine kleine Info.

Das ist keine DDoS-Abwehr sondern eine DoS-Abwehr (~~Distributed~~ Denial of Service) was bei dem Tutorial ja nicht greift.

[/Klugscheißer Mode Aus]

MfG

Blu3scReeN · 17. Juni 2013

[b]So, ich habe nun noch eine Anleitung für mod_evasive hinzugefügt! Viel Spaß & Erfolg!