ANTICHAT.XYZ    VIDEO.ANTICHAT.XYZ    НОВЫЕ СООБЩЕНИЯ    ФОРУМ  
Баннер 1   Баннер 2
Antichat снова доступен.
Форум Antichat (Античат) возвращается и снова открыт для пользователей. Здесь обсуждаются безопасность, программирование, технологии и многое другое. Сообщество снова собирается вместе.
Новый адрес: forum.antichat.xyz
Вернуться   Форум АНТИЧАТ > Безопасность и Уязвимости > Администрирование > AntiDDos - АнтиДДОС
Перезагрузить страницу Syn Attack
   
Ответ
 
Опции темы Поиск в этой теме Опции просмотра

Syn Attack
  #1  
Старый 25.12.2009, 22:01
Аватар для Serzh CS
Serzh CS
Новичок
Регистрация: 13.12.2009
Сообщений: 7
Провел на форуме:
22570

Репутация: 0
По умолчанию Syn Attack
Ребят как защититься от Syn Attack на Ubuntu 9.04 ?
 
Ответить с цитированием

  #2  
Старый 25.12.2009, 23:21
Аватар для svesve
svesve
Постоянный
Регистрация: 15.06.2007
Сообщений: 527
Провел на форуме:
1734541

Репутация: 214


По умолчанию
Цитата:
Сообщение от Serzh CS  
Ребят как защититься от Syn Attack на Ubuntu 9.04 ?

в консоле из под рута
Код:
#Уменьшаем возможность DoS при уменьшении таймаутов
echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
echo 1800 > /proc/sys/net/ipv4/tcp_keepalive_time
echo 1 > /proc/sys/net/ipv4/tcp_window_scaling
echo 0 > /proc/sys/net/ipv4/tcp_sack
echo 1280 > /proc/sys/net/ipv4/tcp_max_syn_backlog

# Включаем SYN COOKIES
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

echo "65535" > /proc/sys/net/ipv4/ip_conntrack_max
через iptables

Код:
### Цепь для сброса (DROP) флуд пакетов SYN-s ######
/sbin/iptables -N syn-flood
/sbin/iptables -A syn-flood -m limit --limit 100/second --limit-burst 150 -j RETURN
/sbin/iptables -A syn-flood -j LOG --log-prefix "SYN flood: "
/sbin/iptables -A syn-flood -j DROP
 
Ответить с цитированием

  #3  
Старый 26.12.2009, 14:50
Аватар для Serzh CS
Serzh CS
Новичок
Регистрация: 13.12.2009
Сообщений: 7
Провел на форуме:
22570

Репутация: 0
По умолчанию
Атака попрежнему прокатывает ...
Если даже открыт 80 порт а вебсервера нету то атака всеравно идёт!
 
Ответить с цитированием

  #4  
Старый 26.12.2009, 15:18
Аватар для MAQUEEN
MAQUEEN
Moderator - Level 7
Регистрация: 27.09.2008
Сообщений: 469
Провел на форуме:
784549

Репутация: 309
Отправить сообщение для MAQUEEN с помощью ICQ Отправить сообщение для MAQUEEN с помощью AIM Отправить сообщение для MAQUEEN с помощью Yahoo
По умолчанию
Заходим под рут:

Код HTML:
1. cd /root/downloads или другая директория где вы храните файлы. 
 
2. wget http://www.r-fx.ca/downloads/apf-current.tar.gz
 
3. tar -xvzf apf-current.tar.gz 
 
4. cd apf-0.9.3_3/ или какая у вас там версия. 
 
5. ./install.sh 
Получите сообщение 
 
.: APF installed 
Install path: /etc/apf 
Config path: /etc/apf/conf.apf 
Executable path: /usr/local/sbin/apf 
 
6. Редактируем конфиг: vi /etc/apf/conf.apf 
Базовые настройки, читайте README  для полных настроек 
 
Находим: DEVEL_MODE="1" 
Заменяем на: DEVEL_MODE="0"

Удостоверяемся:

SYSCTL_SYN ="1"
SYSCTL_SYNCOOKIES="1"

 
7. Настраиваем порты 
 
Приблизительно:
(Все это на ваше усмотрение)
 
Common ingress (inbound) ports (Входящие порты)
# Common ingress (inbound) TCP ports 
IG_TCP_CPORTS="21,22,25,53,80,110,143,443,6000_7000" 
# 
# Common ingress (inbound) UDP ports 
IG_UDP_CPORTS="53" 
 
Common egress (outbound) ports (исходящие порты)
# Common egress (outbound) TCP ports 
EG_TCP_CPORTS="21,25,80,443,43" 
# 
# Common egress (outbound) UDP ports 
EG_UDP_CPORTS="20,21,53" 
 
8. Запускаем 
/usr/local/sbin/apf -s 
 
Другием команды: 
usage /usr/local/sbin/apf [OPTION] 
-s|--start ............. загрузить правила файрвола
-r|--restart ........... перезагрузить 
-f|--flush|--stop ...... остановить 
-l|--list .............. показать правила 
-st|--status ........... статус 
-a HOST|--allow HOST ... добавить host (IP/FQDN) в allow_hosts.rules 
-d HOST|--deny HOST .... добавить host (IP/FQDN) to deny_hosts.rules
или :
(iptables и apf должны быть установлены)
Загружаем (D)DoS-Deflate
Код HTML:
wget http://www.inetbase.com/scripts/ddos/install.sh
chmod 0700 install.sh
./install.sh
 
Ответить с цитированием

  #5  
Старый 26.12.2009, 16:31
Аватар для svesve
svesve
Постоянный
Регистрация: 15.06.2007
Сообщений: 527
Провел на форуме:
1734541

Репутация: 214


По умолчанию
2 MAQUEEN вообщето тоже самое я описал выше, без использования apf.


2 TC

tcpdump что показывает?
ботнет большой?? мжет проще перекрыть подсть?
 
Ответить с цитированием

  #6  
Старый 26.12.2009, 22:50
Аватар для Serzh CS
Serzh CS
Новичок
Регистрация: 13.12.2009
Сообщений: 7
Провел на форуме:
22570

Репутация: 0
По умолчанию
Атакуют из нескольких подсетей ...
 
Ответить с цитированием

  #7  
Старый 05.01.2010, 17:58
Аватар для svesve
svesve
Постоянный
Регистрация: 15.06.2007
Сообщений: 527
Провел на форуме:
1734541

Репутация: 214


По умолчанию
Режь подсети и не парься
 
Ответить с цитированием

  #8  
Старый 28.02.2010, 23:47
Аватар для ntldr
ntldr
Постоянный
Регистрация: 04.12.2007
Сообщений: 424
Провел на форуме:
2364957

Репутация: 479
По умолчанию
Вот мой фаер собственного сочинения. Долго мучался с защитой от флуда сырыми SYN пакетами, вроде как получилось. Не претендую на правильность, мой опыт в дебиане - 3 месяца.
Буду рад если кто-то дополнит

PHP код:
iptables -F #очищаем правила
iptables -X syn-flood #удаляем цепочку если она есть
iptables -A FORWARD -j DROP #запрещаем форвард пакетов, мы же не роутер
iptables -A INPUT -i lo -j ACCEPT # разрешаем все внутренние коннекты
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #Сразу же принимаем все пакеты по установленным соединениям (не секурно, но для производительности гуд)

iptables -N syn-flood # цепочка по обработке входящих соединений на 80 порт
iptables -A INPUT -p tcp --syn --dport 80 -m state --state NEW -j syn-flood # Если установлен только флаг SYN (обычно такими пакетами и флудят, они же являются первыми при "трехразовом рукопожатии"). В обработку идут только новые соединения
iptables -A syn-flood -p tcp -m connlimit --connlimit-above 10 -j DROP # запрещаем одновременный коннект с 1 айпи не более 10 раз
iptables -A syn-flood -p tcp -m limit --limit 5/s --limit-burst 10 -j RETURN # если этот пакет приходит не чаще 5 раз за секунду, то проверка пройдена.
iptables -A syn-flood -j DROP # иначе дропаем

iptables -A INPUT -p tcp --dport 80 ! --syn -m state --state NEW -j DROP # если новый пакет пришел в обход рукопожатия, то дропаем его

iptables -A INPUT -p tcp --dport 80 -j ACCEPT # теперь разрешаем вход на 80 порт

iptables -A INPUT --source 123.45.67.89 -j ACCEPT # Разрешаем себе любые соединения (123.45.67.89 - свой айпи) например чтобы управлять по ssh
iptables -A INPUT -j DROP # все остальные пакеты не проходят 
 
Ответить с цитированием

  #9  
Старый 01.03.2010, 02:01
Аватар для ntldr
ntldr
Постоянный
Регистрация: 04.12.2007
Сообщений: 424
Провел на форуме:
2364957

Репутация: 479
По умолчанию
PHP код:
iptables -F
iptables -X syn-flood
iptables -A FORWARD -j DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -N syn-flood
iptables -A INPUT -p tcp --syn --dport 80 -m state --state NEW -j syn-flood
iptables -A syn-flood -p tcp -m limit --limit 3/second --limit-burst 10 -j RETURN
iptables -A syn-flood -j DROP


iptables -A INPUT -p tcp --dport 80 ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j DROP

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT --source айпи.админа.оло.ло -j ACCEPT

iptables -A INPUT -j DROP 
p.s. вот эти правила правильнее. То есть, если идет более 10 SYN/секунду, то ограничиваемся 3 syn+ack от сервера, таким образом можно установить не более 10 соединений.
Тестил, пашет. Жаль, в iptables не предусмотрено автобанилки
 
Ответить с цитированием
Ответ



« Предыдущая тема | Следующая тема »
Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Dedic risk attack neo23 Windows 3 07.12.2008 19:27
Firewall: принцип работы D=P=CH= MOD= Защита ОС: вирусы, антивирусы, файрволы. 0 02.10.2006 22:36
Криптографический Словарь bobob Чужие Статьи 5 15.08.2006 00:51
Microsoft warns of Excel 0-day attack Dracula4ever Forum for discussion of ANTICHAT 0 17.06.2006 15:03
Real Time Cryptanalysis of A5/1 on a PC novichok Forum for discussion of ANTICHAT 3 21.04.2006 20:04



Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT.XYZ