防禦DDoS - 高談闊論 - 機動同盟 Gundam HK

paul22247

軍曹

UID 3031
精華 0
積分 1209
帖子 954
威望 1209
金錢 0 盟幣
存款 70 盟幣
體力 251 點
SMPC 16 COST
閱讀權限 70
註冊 2008-2-5
MP分 0

#1

發表於 2008-9-28 17:45 資料短消息

防禦DDoS

有人話要用DDoS攻擊同盟,大家來討論防禦的方法
===========================================
小規模DDoS用Freebsd+IPFW搞定
編者按：本文討論的方法只是針對小規模的惡意攻擊比較有效。
　　筆者公司共有10台Web服務器，使用Redhat Linux 9作為作業系統，分佈在全國各大城市，主要為用戶提供HTTP服務。曾經有一段時間不少用戶反映有的服務器訪問速度緩慢，甚至不能訪問，檢查後發現是受到了DDoS攻擊(分散式拒絕服務攻擊)。由於服務器分佈太散，不能採用硬體_blank">防火牆的方案，雖然IPtables功能很強大，足以應付大部分的攻擊，但Linux系統自身對DDoS攻擊的防禦力本來就弱，只好另想辦法了。
　　一、Freebsd的魅力
　　發現Freebsd的好處是在一次偶然的測試中，在LAN裏虛擬了一個Internet，用一台Windows用戶端分別向一台Windows Server、Linux Server和一台Freebsd在無任何防範措施的情況下發送Syn Flood資料包(常見的DDoS攻擊主要靠向服務器發送Syn Flood資料完成)。Windows在達到10個包的時候就完全停止回應了，Linux在達到10個資料包的時候開始連接不正常，而Freebsd卻能承受達100個以上的Syn Flood資料包。筆者決定將公司所有的Web服務器全換為Freebsd平臺。
　　在使用Freebsd後，的確過了一段時間的安穩日子。不過近日又有用戶再次反映網站不能正常訪問，表現症狀為用戶打開網頁速度緩慢，或者直接顯示為找不到網站。用netstat –a查看到來自某IP的連接剛好50個，狀態均為FIN_WAIT 1，這是屬於明顯的DDoS攻擊，看來Freebsd沒有_blank">防火牆也不是萬能的啊，於是就想到了裝_blank">防火牆。
　　看了N多資料，瞭解到Freebsd下最常見的_blank">防火牆叫IP FireWall，中文字面意思叫IP_blank">防火牆，簡稱IPFW。但如果要使用IPFW則需要編譯Freebsd系統內核。出於安全考慮，在編譯結束後，IPFW是默認拒絕所有網路服務，包括對系統本身都會拒絕，這下我就徹底“寒”了，我放在外地的服務器可怎麼弄啊？
　　大家這裏一定要小心，配置稍不注意就可能讓你的服務器拒絕所有的服務。筆者在一台裝了Freebsd 5.0 Release的服務器上進行了測試。
　　二、配置IPFW
　　其實我們完全可以把安裝IPFW看作一次軟體升級的過程，在Windows裏面，如果要升級一款軟體，則需要去下載升級包，然後安裝；在Freebsd中升級軟體過程也是如此，但我們今天升級的這個功能是系統本身已經內置了的，我們只需要利用這個功能即可。打開這個功能之前，我們還要做一些準備工作。
　　下面開始配置IPFW的基本參數。
　　Step1：準備工作
　　在命令提示符下進行如下操作：
　　#cd /sys/i386/conf
　　如果提示沒有這個目錄，那說明你的系統沒有安裝ports服務，要記住裝上。
　　#cp GENERIC ./kernel_IPFW
　　Step2：內核規則
　　用編輯器打開kernel_IPFW這個檔，在該檔的末尾加入以下四行內容：
　　options IPFIREWALL
　　將包過濾部分的代碼編譯進內核。
　　options IPFIREWALL_VERBOSE
　　啟用通過Syslogd記錄的日誌；如果沒有指定這個選項，即使你在過濾規則中指定了記錄包，也不會真的記錄它們。
　　options IPFIREWALL_VERBOSE_LI
　　MIT=10
　　限制通過Syslogd記錄的每項包規則的記錄條數。如果你受到了大量的攻擊，想記錄_blank">防火牆的活動，但又不想由於Syslog洪水一般的記錄而導致你的日記寫入失敗，那麼這個選項將會很有用。有了這條規則，當規則鏈中的某一項達到限制數值時，它所對應的日誌將不再記錄。
　　options IPFIREWALL_DEFAULT_TO
　　_ACCEPT
　　這句是最關鍵的。將把默認的規則動作從 “deny” 改為 “allow”。這句命令的作用是，在默認狀態下，IPFW會接受任何的資料，也就是說服務器看起來像沒有_blank">防火牆一樣，如果你需要什麼規則，在安裝完成後直接添加就可以了。
　　輸入完成後保存kernel_IPFW文件並退出。
　　三、編譯系統內核

　　由於Freebsd和Linux一樣，都是公開源代碼的作業系統，不像Windows那樣代碼是封裝了的，出了問題我們只能猜測，或者諮詢微軟公司；由於Freebsd系統內核在不斷升級，我們為了使用新版本中的功能，或者定制一個更高效、更穩定的系統，通常需要編譯系統內核。
　　當然，我們在這裏編譯內核，是為了能得到一個更高效的系統，而不是使用新版本的功能；
　　在編譯的過程中，可能會提示一些錯誤，為了盡可能減少錯誤提示，我們已將配置檔縮減到了最少，如果再出現什麼錯誤提示，請仔細檢查是否有輸入錯誤等細小問題。
　　Step1：編譯所需的命令
　　在命令行上執行如下命令：
　　#/usr/sbin/config kernel_IPFW
　　執行結束後會出現如下提示：Kernel build directory is ../compile/kernel_IPFW Don't forget to do a make depend'
　　#cd ../compile/kernel_IPFW
　　在這個地方注意一下，Freebsd 4.X版本是../../compile/kernel_IPFW，但Freebsd 5.0版本卻是../compile/kernel_IPFW。
　　#make
　　#make install
　　Step2：開始編譯內核
　　根據系統性能差異，時間也有不同，普通雙P4 XEON 1GB記憶體的服務器大約5分鐘左右即可完成。
　　四、載入啟動項
　　編譯完成了，我們要讓系統自動啟動IPFW並記錄日誌，需要進行如下操作：
　　Step1：編輯器編輯/etc/rc.conf
　　加入如下參數：
　　firewall_enable="YES"
　　啟動Firewall_blank">防火牆
　　firewall_script="/etc/rc.firewall"
　　Firewall_blank">防火牆的默認腳本
　　firewall_type="/etc/ipfw.conf"
　　Firewall自定義腳本
　　firewall_quiet="NO"
　　啟用腳本時，是否顯示規則資訊；假如你的_blank">防火牆腳本已經不會再有修改，那麼就可以把這裏設定成“YES”了。
　　firewall_logging_enable="YES"
　　啟用Firewall的Log記錄
　　Step2：編輯/etc/syslog.conf文件
　　在檔最後加入如下內容：
　　!ipfw
　　*.* /var/log/ipfw.log
　　這行的作用是將IPFW的日誌寫到/var/log/ipfw.log檔裏，當然，你也可以為日誌檔指定其他目錄。
　　以上步驟完成後重啟電腦。
　　五、使用並保存規則
　　完成後，你就會發現你能用SSH登錄你的遠端服務器了。
　　Step1：測試
　　剛登錄的時候你不會發現你的系統發生了什麼變化，但你可以試試以下這個命令：#ipfw show，將輸出以下結果：65535 322 43115 allow ip from any to any。它告訴我們，IPFW已經成功啟用，而且允許任何的連接。
　　Step2：使用
　　在命令提示符下輸入如下命令：#ipfw add 10001 deny all from 218.249.20.135 to any。
　　拒絕來自218.249.20.135的任何服務，執行完成後，你就會發現來自IP218.249.20.135的所有服務都會被拒絕。
　　Step3：保存
　　把這句代碼加在/etc/rc.firewall文件裏：ipfw add 10001 deny all from 218.249.20.135 to any，執行如下這個命令：#sh /etc/rc.firew
　　all
　　表示保存到rc.firewall裏面時，不需要前面的#號，然後重新載入IPFW規則。
　　或者重啟一次你的系統，你的IPFW就生效了，只要你不手動解除，來自218.249.20.135的所有資訊全部都會被拒絕。

wang

上尉

永久性下潛

UID 1379
精華 0
積分 11750
帖子 9428
威望 11750
金錢 1725 盟幣
存款 19745 盟幣
體力 0 點
SMPC 1559 COST
閱讀權限 150
註冊 2007-8-12
MP分 201

#2

發表於 2008-9-28 18:00 資料文集短消息

出師之意何在?

paul22247

軍曹

UID 3031
精華 0
積分 1209
帖子 954
威望 1209
金錢 0 盟幣
存款 70 盟幣
體力 251 點
SMPC 16 COST
閱讀權限 70
註冊 2008-2-5
MP分 0

#3

發表於 2008-9-28 18:01 資料短消息

QUOTE:

原帖由 wang 於 2008-9-28 18:00 發表
出師之意何在?

自己問條硬膠西
↓
20010162

十六夜.二三

上尉

UID 35
精華 1
積分 12620
帖子 12507
威望 12620
金錢 298 盟幣
存款 27842 盟幣
體力 0 點
SMPC 68 COST
閱讀權限 150
註冊 2007-4-13
來自阿富汗
MP分 0

#4

發表於 2008-9-28 18:14 資料文集短消息

QUOTE:

原帖由 wang 於 2008-9-28 18:00 發表
出師之意何在?

當GHK主題數到達一萬時,反(咇)族就會..(略)

(謎:喂..)

louislee2815 (轟落去)

少佐

UID 613
精華 1
積分 2675
帖子 4221
威望 2675
金錢 110 盟幣
存款 24038 盟幣
體力 6 點
SMPC 86 COST
閱讀權限 150
註冊 2007-6-18
來自星星
MP分 0

#5

發表於 2008-9-28 18:17 資料文集短消息

入佢電腦慢慢玩~

仁一個

少佐

UID 34
精華 0
積分 18845
帖子 20876
威望 18845
金錢 6213 盟幣
存款 43103 盟幣
體力 34 點
SMPC 1317 COST
閱讀權限 150
註冊 2007-4-13
來自音羽
MP分 0

#6

發表於 2008-9-28 18:21 資料文集短消息

其實是俺對拿不到第一萬主題的怨念實體化了

尊路．拉斯 (暗☆印☆者)

上尉

滿☆足☆同☆盟

UID 416
精華 0
積分 14237
帖子 12820
威望 14237
金錢 9200 盟幣
存款 5724 盟幣
體力 50 點
SMPC 1265 COST
閱讀權限 150
註冊 2007-5-24
MP分 0

#7

發表於 2008-9-28 22:30 資料文集短消息

當一萬個主題出現在同盟論壇，DDoS就會化成毀滅的使者。

這是Anti-Neet的陰謀！

進化し続けなければ生き残れない。

wang

上尉

永久性下潛

UID 1379
精華 0
積分 11750
帖子 9428
威望 11750
金錢 1725 盟幣
存款 19745 盟幣
體力 0 點
SMPC 1559 COST
閱讀權限 150
註冊 2007-8-12
MP分 201

#8

發表於 2008-9-28 22:31 資料文集短消息

我打算開一個臨時避離所

尊路．拉斯 (暗☆印☆者)

上尉

滿☆足☆同☆盟

UID 416
精華 0
積分 14237
帖子 12820
威望 14237
金錢 9200 盟幣
存款 5724 盟幣
體力 50 點
SMPC 1265 COST
閱讀權限 150
註冊 2007-5-24
MP分 0

#9

發表於 2008-9-28 22:36 資料文集短消息

回復 #8 wang 的帖子

即是怎樣？

進化し続けなければ生き残れない。

s070413

曹長

UID 47
精華 0
積分 4676
帖子 4687
威望 4676
金錢 3 盟幣
存款 18637 盟幣
體力 47 點
SMPC 6 COST
閱讀權限 90
註冊 2007-4-13
MP分 0

#10

發表於 2008-9-28 22:42 資料短消息

回復 #8 wang 的帖子

M群嗎..

wang

上尉

永久性下潛

UID 1379
精華 0
積分 11750
帖子 9428
威望 11750
金錢 1725 盟幣
存款 19745 盟幣
體力 0 點
SMPC 1559 COST
閱讀權限 150
註冊 2007-8-12
MP分 201

#11

發表於 2008-9-28 22:43 資料文集短消息

回復 #9 尊路．拉斯的帖子

就是開一個避離所(不是m群)
剛才msn只得ub一人ac
想開之時他就下了線
這個秘密還是別讓太多人知道為妙(我有疑慮)

尊路．拉斯 (暗☆印☆者)

上尉

滿☆足☆同☆盟

UID 416
精華 0
積分 14237
帖子 12820
威望 14237
金錢 9200 盟幣
存款 5724 盟幣
體力 50 點
SMPC 1265 COST
閱讀權限 150
註冊 2007-5-24
MP分 0

#12

發表於 2008-9-28 22:44 資料文集短消息

回復 #11 wang 的帖子

其實我想問的是用什麼做避離所。

進化し続けなければ生き残れない。

wang

上尉

永久性下潛

UID 1379
精華 0
積分 11750
帖子 9428
威望 11750
金錢 1725 盟幣
存款 19745 盟幣
體力 0 點
SMPC 1559 COST
閱讀權限 150
註冊 2007-8-12
MP分 201

#13

發表於 2008-9-28 22:46 資料文集短消息

QUOTE:

原帖由 尊路．拉斯 於 2008-9-28 22:44 發表
其實我想問的是用什麼做避離所。

可以即時聊天
不需要ac

尊路．拉斯 (暗☆印☆者)

上尉

滿☆足☆同☆盟

UID 416
精華 0
積分 14237
帖子 12820
威望 14237
金錢 9200 盟幣
存款 5724 盟幣
體力 50 點
SMPC 1265 COST
閱讀權限 150
註冊 2007-5-24
MP分 0

#14

發表於 2008-9-28 22:52 資料文集短消息

回復 #13 wang 的帖子

個人覺得用留言板比較好玩。

進化し続けなければ生き残れない。

wang

上尉

永久性下潛

UID 1379
精華 0
積分 11750
帖子 9428
威望 11750
金錢 1725 盟幣
存款 19745 盟幣
體力 0 點
SMPC 1559 COST
閱讀權限 150
註冊 2007-8-12
MP分 201

#15

發表於 2008-9-28 22:53 資料文集短消息

QUOTE:

原帖由 尊路．拉斯 於 2008-9-28 22:52 發表
個人覺得用留言板比較好玩。

我的那個申請快、沒有人上即自動del
的確很臨時

尊路．拉斯 (暗☆印☆者)

上尉

滿☆足☆同☆盟

UID 416
精華 0
積分 14237
帖子 12820
威望 14237
金錢 9200 盟幣
存款 5724 盟幣
體力 50 點
SMPC 1265 COST
閱讀權限 150
註冊 2007-5-24
MP分 0

#16

發表於 2008-9-28 22:57 資料文集短消息

回復 #15 wang 的帖子

太臨時不太好……

如果同盟真的有什麼事時，也來不及弄個新的給網址人。

進化し続けなければ生き残れない。

wang

上尉

永久性下潛

UID 1379
精華 0
積分 11750
帖子 9428
威望 11750
金錢 1725 盟幣
存款 19745 盟幣
體力 0 點
SMPC 1559 COST
閱讀權限 150
註冊 2007-8-12
MP分 201

#17

發表於 2008-9-28 22:59 資料文集短消息

QUOTE:

原帖由 尊路．拉斯 於 2008-9-28 22:57 發表
太臨時不太好……

如果同盟真的有什麼事時，也來不及弄個新的給網址人。

我也沒辦法
沒有人上一段日子就del

尊路．拉斯 (暗☆印☆者)

上尉

滿☆足☆同☆盟

UID 416
精華 0
積分 14237
帖子 12820
威望 14237
金錢 9200 盟幣
存款 5724 盟幣
體力 50 點
SMPC 1265 COST
閱讀權限 150
註冊 2007-5-24
MP分 0

#18

發表於 2008-9-28 23:00 資料文集短消息

回復 #17 wang 的帖子

申請另一個啊。

進化し続けなければ生き残れない。

s070413

曹長

UID 47
精華 0
積分 4676
帖子 4687
威望 4676
金錢 3 盟幣
存款 18637 盟幣
體力 47 點
SMPC 6 COST
閱讀權限 90
註冊 2007-4-13
MP分 0

#19

發表於 2008-9-28 23:05 資料短消息

http://gabbly.com/http://forum.gundamhk.in/index.php
不肯定可不可以用(1s

wang

上尉

永久性下潛

UID 1379
精華 0
積分 11750
帖子 9428
威望 11750
金錢 1725 盟幣
存款 19745 盟幣
體力 0 點
SMPC 1559 COST
閱讀權限 150
註冊 2007-8-12
MP分 201

#20

發表於 2008-9-28 23:07 資料文集短消息

QUOTE:

原帖由 尊路．拉斯 於 2008-9-28 23:00 發表
申請另一個啊。

日後公報
記得當年被只有冰婊爆(整個爆掉)
阻力仍然會很大

[事項商討] 防禦DDoS