HTTP-GET Request DDoS Problem

der_heinz · Beitrag von **der_heinz** » 30.11.2005 20:07:20

Hi,
weiß nicht genau ob das hier das richtige Forum ist, wenn nicht bitte eifnach verschieben.

Undzwar bekomme ich seid geraumer Zeit einen kleinen DDoS-Angriff auf meinen Webserver. Die größe access.log und error.log steigen von sekunden zu sekunden durch unsinnige HTTP-Request.

Code: Alles auswählen

24.232.72.147 - - [30/Nov/2005:19:41:50 +0100] "GET /board2.0//EN%22%3e%3cHTML%3e%3cHEAD%3e%3cTITLE%3e404%20Not%20Found%3c/TITLE%3e%3c/HEAD%3e%3cBODY%3e%3cH1%3eNot%20Found%3c/H1%3eThe%20requested%20URL%20/board2.0//EN%22><HTML><HEAD><TITLE>404%20Not%20Found</TITLE></HEAD><BODY><H1>Not%20Found</H1>The%20requested%20URL%20/board%20was%20not%20found%20on%20this%20server.<P><HR><ADDRESS>Apache/1.3.33%20Server%20at%20hier.stand.ne.url%20Port%2080</ADDRESS></BODY></HTML>0%20was%20not%20found%20on%20this%20server.%3cP%3e%3cHR%3e%3cADDRESS%3eApache/1.3.33%20Server%20at%20hier.stand.ne.url%20Port%2080%3c/ADDRESS%3e%3c/BODY%3e%3c/HTML%3e0 HTTP/1.1" 404 1056 "-" "-" "-"

und

Code: Alles auswählen

[Wed Nov 30 20:03:42 2005] [error] [client 80.179.114.4] File does not exist: /var/www/phpmyadmin/board"CAO DSP COR CUR ADM DEV TAI PSA PSD IVAi IVDi CONi TELo OTPi OUR DELi SAMi OTRi UNRi PUBi IND PHY ONL UNI PUR FIN COM NAV INT DEM CNT STA POL HEA PRE GOV"
[Wed Nov 30 20:03:42 2005] [error] [client 201.135.187.119] File does not exist: /var/www/phpmyadmin/board
[Wed Nov 30 20:03:42 2005] [error] [client 81.218.222.224] File does not exist: /var/www/phpmyadmin/board
[Wed Nov 30 20:03:42 2005] [error] [client 201.240.21.51] File does not exist: /var/www/phpmyadmin/board
[Wed Nov 30 20:03:42 2005] [error] [client 200.121.122.37] File does not exist: /var/www/phpmyadmin/board
[Wed Nov 30 20:03:42 2005] [error] [client 166.68.134.175] File does not exist: /var/www/phpmyadmin/boardAV INT DEM CNT STA POL HEA PRE GOV"

Dieses verzechnis existierte vorher auch nicht ...

Nunja, nestat zeigt mir folgendes:

Code: Alles auswählen

edit bert: entfernt und nach
http://nopaste.debianforum.de/1713
verschoben. Bitte die Forumsregeln beachten.

Was kann ich nun gegen sowas machen ? Die Performance meines server leidet unter sowas.

MfG
der_heinz

jhr-online · Beitrag von **jhr-online** » 30.11.2005 20:18:28

Ich kann so auf die Schnelle nicht sehen, ob dir das helfen könnte, aber gegen DoS-Angriffe kann sich Apache selber schützen mit "mod_evasive.so" Probier's doch mal aus...

mod_evasive

jhr

der_heinz · Beitrag von **der_heinz** » 30.11.2005 20:27:55

jhr-online hat geschrieben:Ich kann so auf die Schnelle nicht sehen, ob dir das helfen könnte, aber gegen DoS-Angriffe kann sich Apache selber schützen mit "mod_evasive.so" Probier's doch mal aus...

mod_evasive

jhr

Hört sich genau nach dem an wonach ich suche, danke!
Ne Frage, habe den apache ja mit apt-get installiert und in der README von diesme module stand ich soll den source nach src/modules vom apache-source-dir entpacken, wo finde ich diesen nun ? Oder gibts da überhaupt einen ?

MfG
der_heinz

edit:
Ok habs isntalliert udn eingerichtet bekommen, wird auch geladen, aber irgendwie filtert der nix raus, und in die log die ich in der konfigurationsdatei angegeben habe wird auch nix reingeloggt :/

LoadModule evasive_module /usr/lib/apache/1.3/mod_evasive.so
<IfModule mod_evasive.c>
DOSHashTableSize 3097
DOSPageCount 2
DOSSiteCount 50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10
DOSEmailNotify webmaster@ff-newmedia.net
# DOSSystemCommand "su - someuser -c '/sbin/... %s ...'"
DOSLogDir "/var/log/apache/mod_evasive"
# DOSWhitelist 127.0.0.1
</IfModule>

deadeye · Beitrag von **deadeye** » 30.11.2005 20:39:31

Im Linux-Magazin stand in der letzten Ausgabe dieses Modul beschrieben, und wie es der Zufall so will, ist just dieser kurze Artikel online verfügbar:
http://www.linux-magazin.de/Artikel/aus ... adauf.html

Gruß
deadeye

jhr-online · Beitrag von **jhr-online** » 30.11.2005 20:39:51

Lad das runter und entpack's irgendwo hin. Und dann guck mal unter [1]. Da steht noch was über mail-Funktion, was du beachten musst bei Debian.
Falls apxs nicht tut (command not found) hilft ein

Code: Alles auswählen

apt-get install apache-dev

Viel Erfolg!
jhr

[1] http://nodomain.cc/archives/2005/11/10/ ... etzen.html

PS: Bei mir tut's gut; am Ende mal die test.pl ausprobieren, ob's hingehauen hat!

der_heinz · Beitrag von **der_heinz** » 30.11.2005 20:50:55

Ok, ich glaube das klappt soweit, auf jedenfall sagt mir das test.pl script "Forbidden" nach der hälfte der verbindungen. Nur der traffic entsteht ja trotzdem :/
Ich müsste noch bei dem befehl den man da i ndie config einbauen kann nen befehl reinpacken der die IP direkt DROPT (mittels iptables).
Hat da jemand vielleicht nen befehl für mich wie man alle conenction request von der verbindung dann dropt ?

Mfg
der_heinz

edit:
und die access/error logs auch:

Code: Alles auswählen

vs:/var/log/apache# date && ls -alF
Wed Nov 30 20:51:38 CET 2005
total 17449
drwxr-xr-x   2 root root    2048 Nov 30 20:37 ./
drwxr-xr-x  10 root root    2048 Nov 30 18:03 ../
-rw-r--r--   1 root root 9117031 Nov 30 20:51 access.log
-rw-r--r--   1 root root 8707498 Nov 30 20:51 error.log
vs:/var/log/apache# date && ls -alF
Wed Nov 30 20:51:40 CET 2005
total 17500
drwxr-xr-x   2 root root    2048 Nov 30 20:37 ./
drwxr-xr-x  10 root root    2048 Nov 30 18:03 ../
-rw-r--r--   1 root root 9143535 Nov 30 20:51 access.log
-rw-r--r--   1 root root 8732848 Nov 30 20:51 error.log
vs:/var/log/apache# date && ls -alF
Wed Nov 30 20:51:45 CET 2005
total 17602
drwxr-xr-x   2 root root    2048 Nov 30 20:37 ./
drwxr-xr-x  10 root root    2048 Nov 30 18:03 ../
-rw-r--r--   1 root root 9197435 Nov 30 20:51 access.log
-rw-r--r--   1 root root 8784637 Nov 30 20:51 error.log

der_heinz · Beitrag von **der_heinz** » 01.12.2005 15:16:35

ok, mei nserver ist nun down -.- DDoS ging die ganze nacht, logs so groß das disk-quote erreicht wurde und ich nun nicht mehr per ssh zugreifen kann (ich denke mal weil der sshd keine logs mehr schreiben kann). FTP und alles geht auch nedmehr auf einmal.

Schade muss nun erstmal abwarten bis die Support leute mir die logs löschen können, dann schleunigst logs ausschalten und mal gucken ob ich da mit iptables was basteln kann, das module hats wohl nicht so gebracht

der_heinz

JamesG · Beitrag von **JamesG** » 03.02.2006 06:42:12

Hi,

also bei mir geht es irgend wie nicht...
Ich habe Apache2, der installationsbefehl aus der README funktioniert nicht, habe daher den Rat befolgt und: "apache-dev" sowie "apache2-dev" (müsste eher die richtige Version sein) installiert.

Geht immer nicht: "Run $APACHE_ROOT/bin/apxs -i -a -c mod_evasive20.c
-bash: Run: command not found

Dann habe ich den von: "http://nodomain.cc/archives/2005/11/10/ ... etzen.html" ausprobiert: "apxs -iac mod_evasive20.c" und dabei bekomme ich folgende Fehler:

gcc -DLINUX=22 -DEAPI -DTARGET="apache" -DHAVE_SET_DUMPABLE -DDB_DBM_HSEARCH=1 -DDEV_RANDOM=/dev/random -DUSE_HSREGEX -O1 -g -Wall -D_LARGEFILE_SOURCE -D_FILE_OFFSET_BITS=64 -fPIC -DSHARED_MODULE -I/usr/include/apache-1.3 -c mod_evasive20.c
mod_evasive20.c:41: error: syntax error before "evasive20_module"
mod_evasive20.c:41: warning: type defaults to `int' in declaration of `evasive20_module'
mod_evasive20.c:41: warning: data definition has no type or storage class
mod_evasive20.c:113: error: syntax error before '*' token
mod_evasive20.c: In function `access_checker':
mod_evasive20.c:212: warning: long int format, __pid_t arg (arg 3)
mod_evasive20.c:248: warning: passing arg 5 of `ap_log_rerror' from incompatible pointer type
mod_evasive20.c: At top level:
mod_evasive20.c:297: error: syntax error before "destroy_hit_list"
mod_evasive20.c:297: warning: return type defaults to `int'
mod_evasive20.c:651: warning: implicit declaration of function `AP_INIT_TAKE1'
mod_evasive20.c:652: warning: missing braces around initializer
mod_evasive20.c:652: warning: (near initialization for `access_cmds[0]')
mod_evasive20.c:652: error: initializer element is not constant
mod_evasive20.c:652: error: (near initialization for `access_cmds[0].name')
mod_evasive20.c:655: error: initializer element is not constant
mod_evasive20.c:655: error: (near initialization for `access_cmds[0].func')
mod_evasive20.c:658: error: initializer element is not constant
mod_evasive20.c:658: error: (near initialization for `access_cmds[0].cmd_data')
mod_evasive20.c:661: error: initializer element is not constant
mod_evasive20.c:661: error: (near initialization for `access_cmds[0].req_override')
mod_evasive20.c:664: error: initializer element is not constant
mod_evasive20.c:664: error: (near initialization for `access_cmds[0].args_how')
mod_evasive20.c:667: error: initializer element is not constant
mod_evasive20.c:667: error: (near initialization for `access_cmds[0].errmsg')
mod_evasive20.c:670: error: initializer element is not constant
mod_evasive20.c:670: error: (near initialization for `access_cmds[0]')
mod_evasive20.c:670: error: initializer element is not constant
mod_evasive20.c:670: error: (near initialization for `access_cmds[1].name')
mod_evasive20.c:673: error: initializer element is not constant
mod_evasive20.c:673: error: (near initialization for `access_cmds[1].func')
mod_evasive20.c:676: error: initializer element is not constant
mod_evasive20.c:676: error: (near initialization for `access_cmds[1].cmd_data')
mod_evasive20.c:678: warning: implicit declaration of function `AP_INIT_ITERATE'
mod_evasive20.c:679: error: initializer element is not constant
mod_evasive20.c:679: error: (near initialization for `access_cmds[1].req_override')
mod_evasive20.c:681: warning: braces around scalar initializer
mod_evasive20.c:681: warning: (near initialization for `access_cmds[1].args_how')
mod_evasive20.c:681: error: incompatible types in initialization
mod_evasive20.c:681: error: initializer element is not constant
mod_evasive20.c:681: error: (near initialization for `access_cmds[1].args_how')
mod_evasive20.c:681: error: initializer element is not constant
mod_evasive20.c:681: error: (near initialization for `access_cmds[1].args_how')
mod_evasive20.c:682: error: initializer element is not constant
mod_evasive20.c:682: error: (near initialization for `access_cmds[1]')
mod_evasive20.c:684: error: syntax error before '*' token
mod_evasive20.c: In function `register_hooks':
mod_evasive20.c:685: warning: implicit declaration of function `ap_hook_access_checker'
mod_evasive20.c:685: error: `APR_HOOK_MIDDLE' undeclared (first use in this function)
mod_evasive20.c:685: error: (Each undeclared identifier is reported only once
mod_evasive20.c:685: error: for each function it appears in.)
mod_evasive20.c:686: warning: implicit declaration of function `apr_pool_cleanup_register'
mod_evasive20.c:686: error: `p' undeclared (first use in this function)
mod_evasive20.c:686: error: `apr_pool_cleanup_null' undeclared (first use in this function)
mod_evasive20.c: At top level:
mod_evasive20.c:689: error: syntax error before "evasive20_module"
mod_evasive20.c:689: warning: type defaults to `int' in declaration of `evasive20_module'
mod_evasive20.c:691: error: `STANDARD20_MODULE_STUFF' undeclared here (not in a function)
mod_evasive20.c:691: error: initializer element is not constant
mod_evasive20.c:691: error: (near initialization for `evasive20_module')
mod_evasive20.c:692: warning: excess elements in scalar initializer
mod_evasive20.c:692: warning: (near initialization for `evasive20_module')
mod_evasive20.c:693: warning: excess elements in scalar initializer
mod_evasive20.c:693: warning: (near initialization for `evasive20_module')
mod_evasive20.c:694: warning: excess elements in scalar initializer
mod_evasive20.c:694: warning: (near initialization for `evasive20_module')
mod_evasive20.c:695: warning: excess elements in scalar initializer
mod_evasive20.c:695: warning: (near initialization for `evasive20_module')
mod_evasive20.c:696: warning: excess elements in scalar initializer
mod_evasive20.c:696: warning: (near initialization for `evasive20_module')
mod_evasive20.c:698: warning: excess elements in scalar initializer
mod_evasive20.c:698: warning: (near initialization for `evasive20_module')
mod_evasive20.c:698: warning: data definition has no type or storage class
apxs:Break: Command failed with rc=1

thx

JamesG · Beitrag von **JamesG** » 03.02.2006 07:24:31

OK,
ich habe es geschaft-- funktioniert super!

JamesG

Simmel · Beitrag von **Simmel** » 03.02.2006 12:58:45

der_heinz hat geschrieben:ok, mei nserver ist nun down -.- DDoS ging die ganze nacht, logs so groß das disk-quote erreicht wurde und ich nun nicht mehr per ssh zugreifen kann (ich denke mal weil der sshd keine logs mehr schreiben kann). FTP und alles geht auch nedmehr auf einmal.

Schade muss nun erstmal abwarten bis die Support leute mir die logs löschen können, dann schleunigst logs ausschalten und mal gucken ob ich da mit iptables was basteln kann, das module hats wohl nicht so gebracht

der_heinz

Du solltest mal sehen das du noch am logrotate arbeitest! ich meine man kann hier angeben das die logs nicht bestimmte größen erreichen sollen.. ausserdem kann man hier das ding in mehrere stücke schneiden.

ich weiss das das nicht gegen die eigentliche attacke hilft, aber es hilft zumindest deinen service aufrecht zu erhalten. wenn du dem logrotate sagst das es ab einer bestimmten größe nicht mehr mitloggen soll, bleiben zumindest die platten leer.

nepos · Beitrag von **nepos** » 03.02.2006 14:57:33

Die Groesse bei Logrotate sagt ihm, ab wann er ein File rotieren soll. Das Logging wird deswegen nicht eingestellt...

Simmel · Beitrag von **Simmel** » 03.02.2006 15:58:08

nepos hat geschrieben:Die Groesse bei Logrotate sagt ihm, ab wann er ein File rotieren soll. Das Logging wird deswegen nicht eingestellt...

Vielleicht hast du die Funktion selbst noch nicht gefunden, geben tut es sie aber... habe zwar eigentlich keine Zeit aber das postet ich dann doch gerne, wenn jmd. behauptet "DATT GEHT NICH!"

Auszug aus einem meiner eigenen HowTos:

Cd /etc/logrotate.d

Folgende Einstellung eintragen/umändern

var/log/squid/access.log
{
daily
rotate 14
size=2048k
copytruncate
compress
notifempty
missingok

Wenn man die Änderungen gemacht hat, dann <ESC> drücken und :wq! eintippen, die Änderungen sind nun vorgenommen worden.

Viel Spass beim probieren, würde ich einstellen, sobald man erfahrungswerte wie gross die logs werden oder solch eine attacke öfter bekommt..

MfG,
Simmel

unix-k · Beitrag von **unix-k** » 09.02.2006 01:16:49

Hallo leute,

könnte ihr mich weiter helfen ich komme nicht weiter bin hängen gebliben

ich habe versucht das auch auf meine server zu instliern aber es kommt dieser fehler meldung...
"bash: apxs: command not found"

was sol ich tun ? ich weiss das ich apxs nicht installiert habe aber wie installiere ich das ??

Helft mir bitte

danke in voraus

info:

Apache 2.0.

jhr-online · Beitrag von **jhr-online** » 09.02.2006 08:50:20

Ich zitiere mich nur ungern selbst, aber...

jhr-online hat geschrieben:Falls apxs nicht tut (command not found) hilft ein
Code: Alles auswählen
apt-get install apache-dev

und bei dir heißt es dann wohl

Code: Alles auswählen

apt-get install apache2-dev

.

jhr

Simmel · Beitrag von **Simmel** » 09.02.2006 10:43:22

unix-k hat geschrieben:Hallo leute,

könnte ihr mich weiter helfen ich komme nicht weiter bin hängen gebliben

ich habe versucht das auch auf meine server zu instliern aber es kommt dieser fehler meldung...
"bash: apxs: command not found"

was sol ich tun ? ich weiss das ich apxs nicht installiert habe aber wie installiere ich das ??

Helft mir bitte
danke in voraus

info:

Apache 2.0.

Ich lasse dich nicht dumm sterben, installiere wie erwähnt das Developer-Kit und dann versuche es mit apxs2!!!!!

unix-k · Beitrag von **unix-k** » 09.02.2006 17:18:20

danke leute jetzt sind wie einschrit weiter :d danke sehr aber jetzt wenn ich versuche den
apxs2 -iac mod_evasive20.c bekomme ich folgende fehler meldung.
apxs:Error: Command failed with rc=65536

also ich glaube das ist die paket rc=65536 aber bei merine debian system kann nicht mehr als 65507 gross sein glaub es ligt daran aber helft mir wie sol ich es machen

unix-k · Beitrag von **unix-k** » 09.02.2006 19:49:23

und noch eine problem....

nach dem meine server lam gelegt wurde habe ich apache gestopt

und danach wollte ich wieder hochladen kam das fehler

Syntax error on line 396 of /etc/apache2/apache2.conf:
Invalid command 'php_admin_value', perhaps mis-spelled or defined by a module not included in the server configuration

also ich habe dort an line 396 kontrolliert aber es ist ok stimt alles

Bitte antwortet mir schnell ich brauche eure hilfe..

Simmel · Beitrag von **Simmel** » 10.02.2006 12:21:54

unix-k hat geschrieben:und noch eine problem....

nach dem meine server lam gelegt wurde habe ich apache gestopt

und danach wollte ich wieder hochladen kam das fehler

Syntax error on line 396 of /etc/apache2/apache2.conf:
Invalid command 'php_admin_value', perhaps mis-spelled or defined by a module not included in the server configuration

also ich habe dort an line 396 kontrolliert aber es ist ok stimt alles

Bitte antwortet mir schnell ich brauche eure hilfe..

Da hört sich nicht gut an. Wenn es geht nimm diesen Server vom Netz und kontrolliere die syslogs...................... ich vermute jmd. hat einen Zugriff auf dein System erlangt über das PHP-Modul. Hast du denn die php.ini nicht konfiguriert? Dort gibt es einige wichtige Einträge die vorgenommen werden müssen. Ich weiss diese jetzt nicht auswendig, aber normalerweise findest du ja Hilfen zu den Einträgen in der .ini Datei selbst.

Sei mir nicht böse, aber ich habe momentan selbst genug zu tun und kann leider nicht zeitgerecht antworten.

Was dein Fehler bzgl. des apxs2 angeht kann ich dir leider nicht weiterhelfen, der Befehl den du versucht hast, ist auf jeden Fall korrekt.

$APACHE_ROOT/bin/apxs -i -a -c mod_evasive20.c

Bei mir hat das auf Anhieb geklappt.

Sorry das ich dir auch nicht eine bessere Hilfe sein kann.

Neo_0815 · Beitrag von **Neo_0815** » 01.03.2006 16:38:17

http://fachschaft.imn.htwk-leipzig.de/~ ... 1_i386.deb

Ein 32 Bit Paket - viel Spass beim ausprobieren und testen.
Fehler und Kommentare per PM oder Mail an mich.

Gruß