Dies ist das Archiv für Oktober 2011.

Wie man einem Dos / DDoS mit slowloris Herr wird

Abgelegt unter Allgemein, EDV, IT, Nightshift, Sicherheit am 28.10.2011

So, nach ein paar Stunden Studierens, woher denn der Wind weht, wußte ich endlich, welcher Domain auf dem Server der DoS galt.
(bei Multi-IP-Umgebung kann das schon mal ein Weilchen dauern…)

So, als Allererstes:
wer auf seiner Linux-Büchse kein iptables hat -> sorry, selber schuld

Aber jetzt mal der Reihe nach:
wir suchen uns auf der Konsole mal die IP-Adressen raus, die verdächtig nach slowloris stinken

netstat -ant | grep TIME_WAIT | awk '{ print $5}' | cut -d ":" -f 1 | sort | uniq -c

Soooo, da haben wir ja schon potentielle IP’s, die wir mittels whois mal auf deren Ursprungsland testen.
Die meisten werden irgendwelche Russen, Chinesen, Franzosen, oder ger00tete Amerikaner sein.

Diese sperren wir der Reihe nach mit:
hier.die.ip.0/24
um auch gleich die potentiell benachbarten Leute freundlich aber bestimmt draußen zu halten
iptables -A INPUT -s hier.die.ip.0/24 -j DROP

Und flutsch, schon wird erst mal alles von der IP-Range gedroppt.

Das jetzt erst mal für 5-10 IP’s machen, mehr sind es bei slowloris selten.
(ansonsten ruhig ein paar mehr machen…)

So, jetzt setzen wir aber mal noch ein paar weitere Filter in die Firewall, um das auch für die Zukunft schön schwer zu machen:
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 8 -j DROP
iptables -I INPUT -p tcp -m state --state NEW --dport 80 -m recent --name slowdos --set
iptables -I INPUT -p tcp -m state --state NEW --dport 80 -m recent --name slowdos --update --seconds 15 --hitcount 15 -j DROP
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

So, und ab hier sollte man dann in Verbindung mit mod_evasive sehen, wie sich sein Webserver wieder erholt hat 🙂


Yann Tiersen – Rue des cascades

Abgelegt unter Music, Nightshift am 23.10.2011

Hmmm, Nightshift… 🙂

Click on the button below to load the content of YouTube.
Load content

PGlmcmFtZSB3aWR0aD0iNTAwIiBoZWlnaHQ9IjM3NSIgc3JjPSJodHRwczovL3d3dy55b3V0dWJlLmNvbS9lbWJlZC81T3pfcjZsYmJNcz9mZWF0dXJlPW9lbWJlZCIgZnJhbWVib3JkZXI9IjAiIGFsbG93PSJhdXRvcGxheTsgZW5jcnlwdGVkLW1lZGlhIiBhbGxvd2Z1bGxzY3JlZW4+PC9pZnJhbWU+

Heute wieder herrlich ruhig 😛
(und langsam habe ich alle Lieder von Yann Tiersen durch…)


VMware Appliance Market wird immer grottiger…

Abgelegt unter Allgemein, Aufklärung, Debian, EDV, IT am 23.10.2011

Ich habe schon seit geraumer Zeit das VM-Image von Debian Squeeze rumliegen…

Bisher ist aber Squeeze leider im Backend zur Auswahl des OS nicht verfügbar.

Wir reden hier nicht im Installer von VMware Workstation oder so, sondern auf dem Appliance-Marktplatz.

Auf meine Mail wurde auch ein Ticket eröffnet, jedoch wurde mir mitgeteilt, daß das so lange nicht passieren wird, bis das getestet ist.

WTF testing bei Debian von VMware?
Geben die da jetzt SUPPORT drauf?
Na, DAS wäre ja mal ein Ding, ein kommerzieller Support-Anbieter, den man da löchern kann, wenn was klemmt 😛

Ist aber schon sehr ärgerlich…



blog powered by wordpress
Design by Office and IT - Business Solutions
Optimiert durch suchmaschinen-freundlich

Cookie Preference

Please select an option. You can find more information about the consequences of your choice at Help.

Select an option to continue

Your selection was saved!

Help

Hilfe

Um meine Seite zu besuchen, mußt Du eine Wahl bzgl. der Cookies treffen.

  • Ale Cookies akzeptieren:
    Da kommt der ganze Tracking-Scheiss...
  • Nur first-party Cookies akzeptieren:
    Nur die Cookies meiner Wordpress-Installation.
  • Alle Cookies ablehnen >:-):
    Gar keine Cookies außer vielleicht so Session-Kram (ansonsten deaktiviere bitte Cookies im Webbrowser).

Mein Versprechen: Datenschutz.

Back