Sistemlerimizden 7/24 yararlanmaya çalışan Çinli Hacker Botları

Sitelerimiz, IP adreslerinin Çin'e çözümlenerek, sistemlerimizden yararlanmaya çalışan botlardan sürekli saldırı altındadır. Saldırıları başarısız olsa da, sunucu kaynaklarımızı sürekli olarak tüketiyorlar. Saldırıların bir örneği şöyle görünecektir:

2010-07-23 15:56:22 58.223.238.6 48681 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.6.4/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:23 58.223.238.6 48713 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.6.5/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:23 58.223.238.6 48738 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.6.6/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:24 58.223.238.6 48761 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.6.7/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:24 58.223.238.6 48784 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.6.8/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:24 58.223.238.6 48806 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.6.9/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:25 58.223.238.6 48834 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.0-beta1/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:25 58.223.238.6 48857 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.0-pl1/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:25 58.223.238.6 48886 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.0-pl2/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:27 58.223.238.6 48915 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.0-rc1/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:27 58.223.238.6 48997 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.0/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:28 58.223.238.6 49023 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.1/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:28 58.223.238.6 49044 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.2/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:28 58.223.238.6 49072 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.3/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:29 58.223.238.6 49094 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.4/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:29 58.223.238.6 49122 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.5/scripts/setup.php 400 - Hostname -
2010-07-23 15:56:30 58.223.238.6 49152 xxx.xx.xx.xx 80 HTTP/1.1 GET /phpMyAdmin-2.7.6/scripts/setup.php 400 - Hostname -

Bir sömürü bulmak için sunucularımıza 7/24, saniyede birden çok kez vuruyorlar. IP adresleri her zaman farklıdır, bu nedenle bu saldırılar için güvenlik duvarına kural eklemek, yeniden başlamadan önce yalnızca kısa vadeli çözümler olarak hizmet eder.

Web sitesi sunulduğunda bu saldırganları tanımlamak için sağlam bir yaklaşım arıyorum. Bir IP adresi belirledikten sonra IIS'ye kural eklemenin programlı bir yolu veya bu istekleri engellemenin daha iyi bir yolu var mı?

Bu IP adreslerini tanımlamak ve engellemek için herhangi bir fikir veya çözüm memnuniyetle karşılanacaktır. Teşekkürler!

Lütfen tüm ülkeleri , hatta büyük adres bloklarını kara listeye almayın.

Bu eylemlerin sonuçlarını düşünün. Tek bir adresi engellemek bile sitenize olan bağlantıyı önemli sayıda kullanıcı için engelleyebilir . Ana makinelerin meşru sahipleri kutularının olduğunu bilmiyorlar 0wned.

Trafiğin "7/24" geldiğini gösterdiniz ... ama sizden kaynaklarınızdaki giderin gerçekten önemli olup olmadığını değerlendirmenizi rica ediyorum (bu günlük snippet'inden en fazla üç kez ikinci bir isabet görüyorum).

Seçeneklerinizi araştırın. Sunucularınızın gerçekten sağlam olduğundan emin olun, kendi güvenlik açığı değerlendirmenizi yapın ve site kodunuzu inceleyin. İçine bak başına kaynağına oranı-sınırlayıcılarla , web uygulama güvenlik duvarları ve benzerleridir. Sitenizi güvence altına alın, kaynaklarınızı koruyun ve iş ihtiyaçlarınız için anlamlı olanı yapın.

Bunu, hizmetleri Çin Büyük Güvenlik Duvarı tarafından düzenli olarak engellenen biri olarak söylüyorum . Siteniz yeterince iyi olursa, belki de kullanıcılarının size ulaşmasını engellerler !

Bütün ülkeleri engelliyorum. Çinliler SADECE sitelerimin 3000'inden tek bir ürün satın aldılar ve yine de bant genişliğimin% 18'ini oluşturuyorlardı. Bunun% 18'inden% 60'ı sömürülecek scriptler arayan botlardı.

• update - Uzun yıllar sonra Çin'i engellemeyi kapattım. Baidu birkaç anahtar terimler gerçek bot olmayan trafik ile sular altında kaldı. Bir hafta boyunca yaklaşık 400.000 isabet ettikten sonra, yalnızca Basitleştirilmiş Çince'de özel bir sayfa oluşturduktan sonra bir satış yaptım. Bant genişliğine değmez. Onları engellemeye geri dönüyorum.

Ayrıca, phpmyadmin ile durum olmadan başlayan her şeyi aradıklarında, onları FBI'nın Çince sürümüne yönlendirmek için basit bir htaccess kuralı oluşturabilirsiniz.

Bir Saldırı Tespit Sistemi olan snort'a bakmayı deneyebilirsiniz (birden fazla url'yi bağlayamadığım için wikipedia'da arayın). Güvenlik duvarınızda zaten bir şey olup olmadığını kontrol edin. Bir IDS gelen trafiği tarar ve bir istismar görürse bunun güvenlik duvarında onu engelleyebileceğini bilir.

Bunun dışında gerçekten yapabileceğiniz pek bir şey yok. Tek bir ip adresinden çok fazla saldırı görmedikçe, hiçbir şey bundan kaynaklanmayacağı için ip adresinin kötüye kullanım kişisini bildirmekten rahatsız olmazdım. Diğer bir öneri ise sunucularınızı güncel tutmak ve kullandığınız üçüncü taraf komut dosyalarını güncel tutmaktır, böylece bu saldırılardan birinin kurbanı olmazsınız.

Eh, uygun APNIC sicil IANA'da , IP adresi 58.223.238.6 Çin Telecom atanmış bir bloğun parçası - tüm blok 58.208.0.0 olmak - 58.223.255.255. Tam olarak nasıl yaklaşmak istediğinizden emin değilim. Eğer ben olsaydım, kurallardaki tüm adres aralığını engeller ve onunla yapılırdım. Ama bu sizin rahat olmanız için çok yakılmış bir toprak politikası olabilir.

Ben bir web yöneticisi değilim, bu yüzden bir tuz tanesi ile al, ancak bir dizi IP aralığından (Çin) erişimi izleyen bir şey yapabilir ve daha sonra, sömürü girişimleri.

HTH

İyi bir donanım çözümüne bakmanın zamanı gelmiş olabilir. Bir IPS modülüne sahip bir Cisco ASA, elde edeceğiniz kadar kaya gibi sağlam olacaktır.

http://www.cisco.com/en/US/products/ps6825/index.html

McAfee kurumsal donanım cihazları (eski Güvenli Bilgi İşlem Sidewinder serisinin satın alınması), belirli ülkelere veya bölgelere filtreler uygulamanızı sağlayan bir Coğrafi konum özelliğine sahiptir. Çin'den de çok fazla meşru trafiğiniz varsa, dengeyi doğru yapmak zor olabilir.

IIS kullanıyorsanız, özel bir metin dosyası kullanarak sunucu engelleme listelerinizi IP veya Aralık ile güncelleyecek veya ayrıca Okean dot com'un güncelleştirme listelerini kullanarak Çin veya Kore'yi tamamen engelleyecek olan hdgreetings dot com'dan IISIP adlı iyi bir program vardır.

Bunu durdurma mantığının bir kısmı, sadece engellenmişlerse - engellemek için sunucu kaynaklarını tüketir ve denemeye devam ederler. Bir döngüye yönlendirilirlerse, bunun yerine sunucularını tüketir. Ayrıca - sansürlenmiş malzemelere yönlendirildikleri takdirde - kendi sistemleri tarafından sansürlenecek ve muhtemelen geri dönmeleri engellenecektir.

Phpmyadmin vb çalışırken hacker botlar sorunu için benim çözüm günlük dosyalarımı okumak ve aradıkları wwwroot tüm klasörleri yapmak daha sonra her biri erişmeye çalıştıkları php dosya adları koymak oldu. Her php dosyası daha sonra başka bir yere bir yönlendirme içerir - bu yüzden eriştiklerinde - onları başka bir yere gönderir. Web'lerim ana bilgisayar üstbilgilerini kullandığından bunları etkilemez. Google araması, yeniden yönlendirme için çok basit bir php betiğinin nasıl yazılacağı hakkında bilgi sağlayacaktır. Benim durumumda onları bal küpü projesine gönderiyorum ya da hasat durumunda sonsuz önemsiz e-postalar üreten bir senaryoya gönderiyorum. Başka bir alternatif, onları kendi iplerine veya kendilerini sansür edecekleri bir şeye yönlendirmektir.

IIS kullanan Çin ftp sözlük hacker botları için, başarısız denemelerde saldırganların IP'sini otomatik olarak yasak listesine ekleyecek banftpips adında güzel bir komut dosyası var. Çalışmak biraz zor ama olağanüstü iyi çalışıyor. Çalışmasını sağlamanın en iyi yolu, komut dosyasının bir dizi yerine yalnızca bir adı kabul ettiği anlaşıldığı için, ilk denenen adı kullanarak komut dosyasının birden çok kopyasını kullanmaktır. Örnek: Yönetici, yönetici, abby vb. Google tarafından da bulunabilir.

Bu çözümler IIS5 Win2K ve muhtemelen yeni IIS üzerinde de çalışır.

Config Server Güvenlik Duvarı'nı (CSF) yükleyin ve güvenliği çarpanları engelleyecek şekilde ayarlayın.

TÜM sunucularımızda çalıştırıyoruz.

Her şeyden önce her şeyin güncel olduğundan emin olun. (!!!) phpmyadmin (!!!) gibi hizmetleri gizle . Bu ip adreslerinde whois yapmak ve bu etkinliği kötüye kullanım e-posta adreslerine bildirmek de iyi bir fikir olacaktır . Ama muhtemelen Çin hükümeti bu yüzden onlara gülecekleri bir şeyler vereceksiniz. İşte FBI sorunu raporlama hakkında bilgiler.

Tüm gerçeklikte meseleleri kendi ellerinize almanız gerekir. Sunucunuzu bulmadan önce güvenlik açıklarını test etmeniz gerekir.

Web Uygulaması testi:

1. NTOSpier ($$$) - Çok iyi ve bu muhtemelen sahip olduklarından daha iyi bir teknolojidir.
2. Acunetix ($) - İyi, ama harika değil. Sorunlar bulacak.
3. Wapiti ve w3af (açık kaynak), ikisini de çalıştırmalısınız. Mevcut her w3af saldırı modülünü çalıştırmalısınız. Acuentix veya ntospider ile gitseniz bile w3af çalıştırmalısınız, daha fazla sorun bulma şansı var.

Ağ Hizmetleri Testi:

1. TÜM eklentilerle OpenVAS'ı çalıştırın .

2. Tam TCP / UDP taramasıyla NMAP'yi çalıştırın . Güvenlik duvarı ihtiyacınız olmayan her şey.

Sorunlardan herhangi birini düzeltemiyorsanız, daha yüksek bir profesyonel.

"Lütfen tüm ülkeleri, hatta büyük adres bloklarını kara listeye almayın. Bu işlemlerin sonuçlarını düşünün. Tek bir adresi engellemek bile sitenize olan bağlantıyı önemli sayıda kullanıcı için engelleyebilir. Ana makinelerin yasal sahipleri tamamen mümkündür. kutularının 0wned olduğunu bilmiyorum. "

Bunun tamamen web sitesinin türüne ve tüm ülkeleri engellemesine veya engellememesine yönelik olarak hedef kitleye bağlı olduğunu düşünüyorum. Elbette, Şangay'daki bir ev sahibinin meşru sahibi, bilgisayarının şirketinize ait bir web sitesini araştırdığını bilmiyor olabilir. Ancak şirketinizin yerel bir kitleye sahip olduğunu varsayalım veya web sitesinin çalışanlarınız için Outlook Web Access portalı olduğunu varsayalım - bu, web sitesini Şangay'daki kullanıcılar için engelleme sorunu mu var?

Elbette net tarafsızlık iyi bir şeydir, ancak tüm web sitelerinin mutlaka küresel bir kitleye hizmet etmesi gerekmez ve meşru web sitesi ziyaretçileri sağlamayan ülkelerden erişimi engelleyerek sorunları önleyebiliyorsanız - neden bunu yapmıyorsunuz?

Çin'deki istismar temasının bildirilmesi imkansızdır.

Sıklıkla bu kötüye kullanım e-posta adresleri bile bulunmuyor.

Tüm Çin ip adreslerini engelliyorum, ya da en azından onları kapılıyorum ve erişimini en aza indiriyorum.