PhpMyAdmin'i hedef alan bilgisayar korsanlığı girişimlerini nasıl engelleyebilirim?

Web sitem erişmeye çalışan farklı IP'lerden günlük binlerce isabet alıyor:

/php-myadmin/
/myadmin/
/mysql/

... ve binlerce başka çeşitlilik. Bu dizinlerin hiçbiri yok, sunucumda phpmyadmin bile yok.

Bu girişimlerin hiçbirinin başarılı olduğunu sanmıyorum, ancak sunucunun kaynakları üzerinde para harcıyor olmalılar ve bant genişliğini boşa harcamalılar, bu yüzden mümkünse onları durdurmak istiyorum. Bu IP'leri bir avuç engelledim ama yeni IP'lerle geri gelmeye devam ediyorlar, bunu daha kalıcı olarak engellememin bir yolu var mı?

Endişelenme. Bir 404'e hizmet vermek, bir web sunucusunun yapması için küçük, küçücük, küçücük bir iştir. 486 kullanarak saniyede on 404 saniyede bir servis verebilirsiniz. 404 başına bant genişliği göz ardı edilebilirdir; küçük bir GET isteği ve küçük bir 404 yanıtı.

Ciddi anlamda; Endişelenme. Bu sadece internette bir sunucu çalıştırmanın bir parçasıdır.

Ne yazık ki, sizin için internet bu şekilde çalışır. Görmezden gel. Binlerce bot / trojan interneti tarıyor. Kaynak IP her zaman rastgele olacaktır. Tedavisi yoktur.

Bu trafiği ortadan kaldırmak için% 100 çözüm aşağıda gösterilmiştir:

Bir alternatif:
- https / http ile 80/443 numaralı bağlantı noktasından başka bir yere geçmek. Botlar genellikle diğer tüm 65k portlarında http sunucusu aramazlar.
- sunucuya bağlanmak için VPN kullanın (genel bir web sitesine ev sahipliği yaparsanız bu mümkün değildir sanırım).

İstediğiniz şey Fail2ban (bunun bir linux makinesi olduğunu varsayarsınız , demediniz …)

Fail2ban Nedir?

Fail2ban, sistem günlüklerini ayrıştırıp, engellenecek belirli düzenli ifadeleri arar. Bir eşleşme bulduğunda (veya aynı IP’den birkaç eşleşme, onu nasıl yapılandırdığınıza bağlı olarak), genellikle IPTable'lar aracılığıyla engellenir. Genellikle bu, SSH veya web sunucularına karşı başarısız kimlik doğrulama girişimlerini engellemek için kullanılır.

Onları belirli bir süre için yasaklayacak şekilde yapılandırın (dakikalar olabilir, günler olabilir ... ne kadar ısrarcı olduklarına bağlı olarak), daha sonra tekrar denemezlerse yasağı sona erecek.

Bu, phpmyadmin tarama botlarının engellenmesine nasıl yardımcı olur?

Var olmayan phpmyadmin klasörlerine erişmeye çalışmak gibi, bir saldırının genel belirtileriyle eşleştirmek için kolayca kullanılabilir. Bu tür girişimleri karşılayacak doğru düzenli ifadeyi bulmanız ve meşru kullanıcıları engellememenizi sağlamak zorunda kalacaksınız.

Bu blog gönderisinde verilen yapılandırma verbatium olabilir veya kurulumunuz için biraz değişiklik yapmanız gerekebilir.

Onları neden engellemeliyim? 404 hataları çok pahalı değil

Bunları iptables içinde engelleme Bazı kullanımları DOES vardır - olasılıklar phpmyadmin açıklarını kontrol ediyorlarsa, çalışan bir şeye çarpıncaya kadar diğer açıkları da deneyebilirler. Bunları yasaklamak botların / komut dosyalarının çoğunun bir süre sonra vazgeçmesine neden olacak ve daha iyi hedeflere geçecekler.

Taramalar yoluyla bile fazla maliyetli olmuyorlar (aslında bir güvenlik açığı bulamazlarsa), web sunucunuzla başarılı saldırılar ve sorunlar görmeyi zorlaştırarak günlüklerinizi siler.

Aşağıdaki açıklamanın dediği gibi, Fail2ban bazı sistem kaynaklarını gerektiriyor. Ama çok değil. En azından, Fail2ban’a atfedilebileceğim bir performans problemim olmadığını söyleyebilirim. Bununla birlikte, sunucumda saniyede binlerce SQL enjeksiyon girişimi ve diğer istismarlar atmaya çalışan veya zor şifreler kullanmaya çalışan çok agresif betiklerin performans sorunları var. Bunları güvenlik duvarı düzeyinde engellemek, FAR'ı sunucu / uygulama düzeyinde engellemekten daha az kaynak alır. Ayrıca, IP adreslerini yasaklamak için özel komut dosyaları çalıştırmak için de genişletilebilir; bu nedenle, IPtables’da yasaklamak yerine, bir donanım güvenlik duvarında yasaklamalarını ya da aynı kişi size saldırmaya çalışıyorsa birisine e-posta göndermelerini isteyebilirsiniz; ISS’lerine veya veri merkezinizin güvenlik duvarlarında onları engellemesini sağlayın.

Başka ipucu var mı?

ÇOK TAVSİYE EDİLDİ, kontrol ettiğiniz bazı IP adreslerini beyaz listeye almanız, böylece yanlışlıkla kendinizi kilitlememenizi sağlar.

Yaptığım şey küçük bir betiği ilgili dizine koymak, bu yüzden birisi / phpmyadmin / dosyasına erişirse çalışır. Bu komut dosyası, başka bir şey yapmaz, iptables (Linux altında) olan ve IP adresini komut dosyasına erişen 30 dakika boyunca engelleyen (bundan sonra bir cron işi IP adresinin eklendiği iptables zincirini temizler) ipotekleri çağırmaktan başka bir şey yapmaz.

Fail2ban'a göre avantaj, syslog / access-log dosyasını ayrıştırmak için herhangi bir kaynak kullanmamanızdır. Dezavantajı, elbette, bu çok özel adrese erişmek dışında başka hiçbir şeyi kontrol etmemenizdir.

Bunu neden yapıyorum? Tabii ki, bir 404 hizmet vermek sunucu için kolay olurdu, ama onların alay etmesini istemiyorum, bu kadar basit. Araçlarının zamanını boşa harcamak, sunucunun cevap vermesini beklemek, sonunda vazgeçene kadar yeniden denemek istiyorum. Ayrıca, onları engellemezseniz, en geç devam etmeden önce bir çok farklı URL’yi deneyeceklerdir - bazen binin üzerinde. Araca bağlı olarak, bu "hoş" olabilir ve birkaç saat içinde kalanları boşaltabilir veya sunucunuzu dakikalar içinde hepsiyle birlikte umursamayabilir ya da çarpıtmayabilir.

Neden geçerli bir sayfa sunmuyorum? Onların araçları sizi taramayı bırakabilir ve onu çalıştıran skiddie'yi uyarabilir; bu durumda manuel olarak kontrol etmek zorundadır. Bunun asıl amacı, eğer taraması sizi sonuçlarına getirmediyse, sunucunuza sahip olduklarından daha yakın bir görünüm vermeleridir. Belki biraz daha dürteceklerdir, belki birkaç port taraması, belki onları kızdırırsınız ve bir şey yapıp yapamadıklarını görmek için bir DoS başlatırlar. Onları basitçe engellemek - ki bu onların bakış açısına göre, sunucu phpmyadmin komut dosyasına eriştiği anda sunucuyu zaman aşımına uğratır - istenmeyen dikkatlerden kaçınırken araçlarının zamanını boşa harcar.

Sunucuda phpMyAdmin varsa DO, etkili bir çözüm ayrı bir dizine koyuyor olabilir ve herhangi bir şeye erişmeden erişimi engellemek için web sunucunuzun parola kontrolünü (.htpasswd).

FWIW / phpmyadmin / 'e yalnızca beyaz listeye alınmış IP Adreslerine erişimi kısıtlıyoruz.

Ayrıca DOS / zayıf davranışlı komut dosyasıyla yapılan saldırıları engellemek için mod_evasive (apache2'de) kullanıyoruz.

mysql admin aracını makine geri dönüş adresinize bağlayın 127.0.0.1

daha sonra yönetici arka ucuna erişmek için ssh ile port yönlendirmeyi kullanın.

oldukça saydam olabilen ekstra bir güvenlik katmanı ekleyin.

Bulduğumuz en iyi yol, şifreyi phpmyadmin'in bulunduğu klasörü korumaktır. Ayrıca, phpmyadmin ile bir klasör adı olarak ilgili hiçbir şey kullanmayın: pma, phpmy, etc ...