Войти в систему

Home
    - Создать дневник
    - Написать в дневник
       - Подробный режим

LJ.Rossia.org
    - Новости сайта
    - Общие настройки
    - Sitemap
    - Оплата
    - ljr-fif

Редактировать...
    - Настройки
    - Список друзей
    - Дневник
    - Картинки
    - Пароль
    - Вид дневника

Сообщества

Настроить S2

Помощь
    - Забыли пароль?
    - FAQ
    - Тех. поддержка



Пишет Misha Verbitsky ([info]tiphareth)
@ 2009-12-04 21:05:00


Previous Entry  Add to memories!  Tell a Friend!  Next Entry
Настроение: sick
Музыка:Legendary Pink Dots - Chemical Playschool 3
Entry tags:ddos, kuklachev, ljr, spam

Попал под лошадь
LJR подвергся атаке Куклачева
кровавой гебни президента Путина
неизвестных недоброжелателей.

В общей сложности за сутки мы получили
чуть больше 50 миллионов запросов от вражеской
ботсети, где-то 20,000 зомбированных Куклачевым
кровавой гебней неизвестными недоброжелателями
компутеров (не иначе как под воздействием электричества).

Один из прокси-серверов лег сразу, другой
пока держится, и даже что-то показывает, но медленно.

В секунду получается около 600-1000 запросов,
в минуту тысяч 50.

Для развлечения почтенной публики, вот
кусок ботнета, выловленный из логов.
http://verbit.ru/LJR/botnet.txt
Там тысяч 5 хостов.

Масштаб акции потрясающий: нас атакуют из
всего мира, от Таиланда до Туниса.
Промышленное производство. Некоторые
из таких доменов, которые я вообще ни разу
не видел, типа .gh (Гана, что ли), .do
(Доминиканская Республика, очевидно) и
.tt (наверное, Тринидад и Тобаго).
Зимбабве тоже было. А что такое .vn
я даже догадаться не могу.

Логи я тоже хотел выложить, но там их
гигабайты уже, так что обломится.

Некоторые страницы LJR уже отключены
(ботнет умеет атаковать только одну или две).
Потом включим.

Атака такого масштаба стоит, кстати, недешево,
ну, думаю, Куклачев кровавая гебня не обеднеет.

Ботнетами реально торгуют, в основном для рассылки
спама, но часто и для ddos-атак. Виндоз это зло большое,
кстати.

А вот иллюстрация: по слухам, Куклачев
дрессирует кошек электричеством.


[info]l_u_f_t@lj, по ссылке от [info]mancunian@lj.

Привет



(Читать комментарии) - (Добавить комментарий)


[info]rafail.livejournal.com
2009-12-05 22:26 (ссылка)
Правда, жабаскриптовскую задачу надо на более низком уровне отсылать чем веб-сервер. Иначе шило на мыло получается, только трафика в два раза больше :-)

Опять же не вижу особой проблемы "хакерской программе" подключить жабаскриптовскую библиотеку на том же компе.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pzz
2009-12-05 22:38 (ссылка)
если ее отсылать из cgi-скрипта, то это, конечно, будет узким местом. но я не вижу причин, почему высокопроизводительный сервер, типа nginx'а, haproxy и т.п. не справился бы с этой задачей

конечно, хакерская программа может включать в себя жаваскрипт. но если последовательно двигаться этим путем, им придется переписать половину настоящего веб-бровсера. мне кажется, есть хороший шанс, что в какой-то момент они отстанут и пойдут ломать сайты попроще, благо что их навалом

и вторая вещь: задачки, которые мы подкидываем клиентам, должны быть по возможности вычислительно сложными, но чтобы проверить правильность ответа было легко. ну например, "к заданной последовательности байт подобрать продолжение такое, что sha1 от их конкатенации имеет последние 20 бит, равные 0". бот, который все время жрет процессор, гораздо заметнее пользователю, чем бот, который тихо шарится по интернету

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]rafail.livejournal.com
2009-12-05 22:45 (ссылка)
Я не знаю как в виндовсе устроено, но в линухе же можно те же самые библиотеки/плагины подключать, что каким-либо браузером используются. Ничего там не надо переписывать, интерфейсы библиотек открытые.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]pzz
2009-12-05 23:56 (ссылка)
ну, задача "написать веб-бровсер из готовых компонентов" безусловно имеет решение. но я хочу сказать, это достаточно трудоемкая задача, несмотря на доступность готовых компонентов. и существует вероятность, что злобные хакеры не станут ее решать, или не справятся

(Ответить) (Уровень выше)


[info]tiphareth
2009-12-05 22:53 (ссылка)
Ну, данная конкретная фигня, в принципе, убивается на раз, если
просто банить через IP-tables все хосты, которые запрашивают
слишком много или слишком часто одно и то же. В теории, это
можно делать в Apache модулем mod-evasive, но на практике почему-то
mod-evasive не сработал. Сейчас оно, кажется, глобально побеждено,
но скорее всего ненадолго

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]ksenija.livejournal.com
2009-12-06 10:35 (ссылка)
Eto pravil'no. Nuzhno ispol'zovat' modul' "recent" iz iptables, kak opisano zdes':

http://www.debian-administration.org/articles/187

prosto nuzhno podobrat' parametry, harakterizujuschie etot botnet.
Udachi!

(Ответить) (Уровень выше)


(Читать комментарии) -