hennink

Huhu,

ich stehe momentan vor einem Problem. Unzwar geht es darum, dass ich eine Homepage per PHP-Script vor (D)DoS-Attacken schützen möchte.

Ich habe schon diverse Seiten angesehen und mich ein wenig drüber Informiert, da das Thema bisher nicht wirklich relevant für mich war.

Nun schreibe ich ein Script und möchte einen Schutz vor solchen Angriffen erstellen. Ich weiß auch, dass man gegen DDoS per PHP-Script nicht 100%ig geschützt ist, aber aus Erzählungen weiß ich, dass es in der entsprechenden Szene eher nur zu Massenaufrufen der Homepage kommt (eher keine Profis da drin).

Ich habe mir nun überlegt, dass man eine DB-Tabelle anlegt, die bei jedem Aufruf IP und Zugriffszeit speichert.

Das Script auf der Homepage überprüft nun, wie oft eine IP in einem gewissen Zeitraum (z.B. 10 Sekunden) auf die Seite zugreift. Merkt das Script, dass innerhalb von 10 Sekunden z.B. 20 Seitenaufrufe ausgeführt werden, dann wird auf dem Webspace eine Datei mit IP-Name erstellt mit Anzahl der Zugriffe und Zeitpunkt.

Also wird als erstes bei jedem Seitenaufruf überprüft, ob für die aufrufende IP eine Datei existiert, wenn ja, dann wird der Zugang gesperrt und das Script per exit(); verlassen.

Nun habe ich mir überlegt, dass man diese IP-Sperre nur temporär erstellt (Da es ja auch nur aus Versehen zu einer Sperre kommen könnte). Diese Sperre bleibt für 30 Minuten drinne und dann kann die jeweilige IP wieder zugreifen. Oder sollte man doch lieber die IP komplett sperren?

Würde mich freuen, wenn sich jemand mit der Thematik auskennt und Tipps dazu geben kann.

Mister Ad

comlar

Also wenn ich das System einer DoS-Attacke richtig verstanden habe, dann dient sie dazu, einen Server durch Anfragen zu überlasten.

Dein Ansatz hilft also gar nichts. Denn dein System muss ja immer noch alle eingehenden Anfragen annehmen, in eine DB schreiben und abgleichen. Also wird der Server genauso gut in die Knie gehen, wie wenn er ohne dein Idee arbeiten würde.

Da müsstest du schon Änderungen am Router vornehmen, der die Anfragen bereits vorab abblockt.

Manko10

DoS und erst recht DDoS per PHP-Skript abzuwehren ist wie Wasser mit einer Plastiktüte aufzuwischen. Gegen DoS kannst du nur mit iptables-Regeln und guter Backbone-Struktur etwas ausrichten und selbst da kann es zu Ausfällen kommen (siehe z.B. Hetzner).

__________________
Refining Linux Advent Calendar series “24 Outstanding ZSH Gems”

hennink

Ich sage ja, gegen professionelle Angriffe würde es keinen Sinn machen. Aber Das Script greift auf eine externe Datenbank zu und durch Massenaufrufe der Seite kann diese Überlastet werden und zum Absturz gebracht werden. Dafür reichen wenige Tausend aufrufe. In erster Linie möchte ich nur diese Datenbank schützen und nicht die Webseite + dessen Server. Da es nicht mein Server ist würde ich die Sache mit den IP-Tables weitergeben, aber wie schon erwähnt hat der Schutz der externen Datenbank vor Massenaufrufen die höhere Priorität.

Yoshi-

Manko10

Egal, kommt auf das gleiche raus. Und was verstehst du unter einem „professionellen“ DoS-Angriff? DoS ist DoS, da gibt es keine Qualitätsunterschiede. Es gibt lediglich einen Quantitätsunterschied bei DDos-Angriffen (die sich mit IP-Blocking eh nur schwer abwehren lassen). Durch deine Prüfung würdest du die Last der Datenbank übrigens noch erhöhen.

__________________
Refining Linux Advent Calendar series “24 Outstanding ZSH Gems”

hennink

Ich meine damit, dass Kiddies einfach nur massig die Seite aufrufen mit Spielzeugen und nicht über bestimmte Ports und was weiß ich nicht alles Angriffe starten.

Die Datenbank von der ich rede würde sobald eine IP geblockt ist gar nicht mehr aufgerufen werden, sondern das Script wird sofort abgebrochen sobald festgestellt wurde (1. Schritt beim Laden), dass die IP geblockt ist ala exit('IP blocked');

PS: bevor es zu Missverständnissen kommt. Die Datenbank, in der die IPs geloggt werden, ist nicht die Datenbank, von der ich ebend Sprach.

Linadillar

Kleiner Tipp lass es sein, da es nichts bringt.
Nen kleiner Script Kiddi von zu Hause schafft es nicht mit seinem kleinen Rechner den Server so zu flooden, das er in die Knie geht.

Für ne DDoS verwendet man viele Rechner/ Server die man zuvor übernommen hat.

Alleine um die Masse der Anfrage und die Bandbreite für die Anfragen enorm zu erhöhen. Und nen Hacker/Cracker macht aus deinem kleinen PHP Script ne Achterbahn, das hält ihn nicht einmal auf, da er überhaupt nicht über deine Webseite einen DDoS drüber laufen lässt.

Der DDoS greift den Server an(die Hardware wo dein Script drauf liegt).
Beschäfftige dich lieber mal mit dem Thema DDoS und Sicherung dagegen, anstatt irgend ein Sinnloses PHP Script die Last für die DB und den Webserver für Nichts und wieder Nichts erhöhen zu lassen.

Gruß Lina

__________________
Der Kopf ist rund, damit das Denken die Richtung wechseln kann.

Manko10

Dito!
Bleibt noch zu sagen, dass DoS- und DDoS-Angriffe stets von übernommenen Serverrechnern oder einem riesigen Netz trojanerverseuchter Privatrechner (sog. Botnet) gefahren werden. Ein einzelner Privatrechner (oder auch mehrere Rechner an einem Privatanschluss) schaffen diese Masse gar nicht, das würde die eigene DSL-Leitung gar nicht hergeben. Um deine Skriptkiddies musst du dir hier keine Gedanken machen. Solltest du DoS-Opfer werden, kannst du davon ausgehen, dass es sich um einen, wie nanntest du es, „professionellen“ Angriff handelt. Skriptkiddies beschränken sich da eher auf klassische SQL-Injections, XSS-Lücken, CSRF und weiß der Henker was für Kleinigkeiten, gegen die man sich gut absichern kann.

__________________
Refining Linux Advent Calendar series “24 Outstanding ZSH Gems”

Script

Die folgende Methode bringt ein wenig:
Kann gut sein, dass ein Fehler drin ist, hab es grad nur so runtergekritzelt. Soll auch nur ein Ansatz sein, man kann das auch viel schöner umsetzen.
Bringen tut es etwas, da bei einem sog. HTTP Flood ganz viele neue Anfragen gestartet werden, dadurch wird die Session auch immer resettet.

Falls es dein Server ist und du ihn Administrierst kann ich dir folgendes empfehlen.
(Debian Lenny/5)
-DDoS Deflate
-Syncookies aktivieren
-APF Firewall
-IpTables

Wobei diese ganzen Softwares auch nur gegen 100-1000 Angreifer stand halten, was praktisch nichts ist.
Daher bringt dir nur eine gute Hardware Firewall oder eine sehr gute Bandbreite etwas.

Ansonsten gäbe es noch die Methode, alle aufrufe in eine Datenbank einzutragen, und per cron / php cron die Einträge alle 60 Sekunden löscht, oder ggf. Ip's bannt.
Das halte ich jedoch für völligen schwachsinn, falls zb. eine Ajax Chatbox oder ähnliches auf dem Server liegt wird die Grenze ziemlich schnell überschritten. Außerdem beinträchtigt das die Serverauslastung imens, gerade weil das skript so oft aufgerufen wird, der MySQL Server geht oft als erstes in die knie, zumindest bei großen Anwendung die bei jedem Aufruf mehrere MySQL Anfragen ausführen, wie z. B. das Forensystem VBulletin.

Sonst gibt es noch das sog. Human Verification system (Captcha).


@Manko, die meisten Scriptkiddies wissen nicht einmal was eine SQL injection ist, der Name scriptkiddie kommt glaube ich ursprünglich auch davon, dass sie vorgefertigte Exploits etc. benutzen. Heutzutage benutzen sehr viele kleine Idioten Botnetze, wobei die meiner Meinung nach nicht ernst zu nehmen sind.

Grüße