हमने अपने दम पर ddos ​​botnet को मारा

अच्छा दिन, प्रिय हेब्रोसोसिटी, खाबरोवस्क नागरिकों के अनुरोध पर, मैंने अपनी कुछ उपलब्धियों को dDoS के खिलाफ लड़ाई में साझा करने के व्यक्तिगत व्यावहारिक अनुभव के आधार पर साझा करने का निर्णय लिया।
यह लेख एक और नया तरीका नहीं होगा कि डीडीओएस से खुद को कैसे बचाया जाए, इस पर बहुत सारी जानकारी है। हम दूसरी तरफ थोड़े ही जाएंगे।
जैसा कि वे कहते हैं, सबसे अच्छा बचाव हमला है। इसलिए हम dososers के सबसे दर्दनाक जगह पर - बॉट्स में आपके साथ हड़ताल करेंगे। हमारे लिए एक अतिरिक्त सुखद बोनस यह होगा कि हम एक अच्छा काम करेंगे और कम से कम कुछ संक्रमित मशीनों को बुराई बॉटनेट की कैद से मुक्त करेंगे।
यह स्पष्ट है कि हम किसी बोटनेट को नहीं मार सकते हैं, लेकिन कभी-कभी एक बहुत बड़ा झटका दिया जा सकता है, खासकर अगर बॉटनेट का मुख्य हिस्सा रूटफिट वाले दादा से बना होता है, जो कभी-कभी किसी हमले को दोहराते समय मुख्य समस्या पैदा करता है। खैर, कुल्हड़ वासिया अपने सैकड़ों खून के साथ और फिर मिट्टी के बर्तनों को भी अच्छी तरह से कर सकता है। बॉट्स के लिए, विशेष रूप से अच्छे चैनलों पर और अच्छे क्षेत्रों से, पैसा खर्च करना और कभी-कभी काफी। यदि वे ढहते हुए गालियों से साँस लेना शुरू करते हैं, तो यह आपके लिए डोडोडर को जारी रखने के लिए लाभहीन हो सकता है और वे ग्राहक के लिए कीमत बढ़ा सकते हैं या हमला भी रोक सकते हैं। किसी ऐसे व्यक्ति को प्रशिक्षित करना बहुत आसान है जिसे बहुत अधिक शोर नहीं मिलेगा।

बॉट को कैसे मारना है?

तो, हम एक बॉट को कैसे मारते हैं, या कम से कम उसकी आत्मा को बुरी शक्तियों से मुक्त करने की कोशिश करते हैं जिसने हमें प्रभावित किया है?

ऐसा करने के लिए, आपको चाहिए:

1)। हमलावर बॉट के आईपी पते को परिभाषित करें
2)। निर्धारित करें कि आईपी पता डेटा किसका है (मूल संगठन: डीसी, प्रदाता, संस्थान ...), जिनसे संपर्क दुर्व्यवहार ईमेल की सूची मिलती है, जिनसे हम शिकायतें भेजेंगे
3)। हमले के तथ्य की पुष्टि करने वाले लॉग तैयार करें।
4)। दुरुपयोग लॉग सूची ईमेल भेजें

यदि कई बॉट नहीं हैं, तो आप निश्चित रूप से अपने हाथों से यह सब कर सकते हैं, लेकिन हम इस प्रक्रिया को स्वचालित करेंगे।

Ddos अलग है

हमें याद है कि एक अलग DDoS है और दुर्भावनापूर्ण पते निर्धारित करने के लिए कोई सार्वभौमिक तरीके नहीं हैं, प्रत्येक विशेष में एक अलग एल्गोरिथ्म और अन्य स्रोत होंगे।

सामान्य तौर पर, यह एक अलग लेख के लिए एक विषय है, लेकिन मैं सभी के लिए एक सरल और सुलभ विधि की पसंद को समझने की कोशिश करूंगा।
तो, मान लें कि हमारे पास विभिन्न बंदरगाहों पर टीसीपी / यूडीपी बाढ़ है, कुछ डीडीओएस विधियां वापस आ रही हैं, मशीन तक पहुंच है, लेकिन हम हमले की शक्ति को कम करना चाहते हैं और इसकी वृद्धि को रोकना चाहते हैं, या सिर्फ डीडीओर्स को खराब करना चाहते हैं।
कार्य वापस हड़ताल करना है, सबसे सक्रिय बॉट के बॉटनेट को वंचित करना है।

हम लॉग एकत्र करते हैं

कई विकल्प हैं, फिर से, एक अलग लेख के लिए विषय। यातायात लॉग करने के कई अलग-अलग तरीके हैं, उदाहरण के लिए tcpdump, iptrtaf, netflow ...
किसी तरह, ऐतिहासिक रूप से, अधिकांश लॉग को iptraf का उपयोग करके हटा दिया गया था, जिसका उपयोग हमले की निगरानी के लिए किया गया था और सभी लिपियों को उन्हें पार्स करने के लिए कॉन्फ़िगर किया गया था। समाधान सबसे सुंदर नहीं हो सकता है, लेकिन काफी सार्वभौमिक है। बहुत न्यूनतम संशोधन के साथ, आप किसी भी लॉग का उपयोग कर सकते हैं और वास्तविक समय में नीचे सूचीबद्ध सभी जोड़तोड़ कर सकते हैं।

तो, DDoS शुरू हुआ, हम iptraf शुरू करते हैं, सेटिंग्स में (कॉन्फ़िगर करें) लॉगिंग (लॉगिंग) को सक्षम करें, अब जब हम IP ट्रैफ़िक मॉनिटर शुरू करते हैं, तो यह पूछेगा कि लॉग के लिए कौन सी फ़ाइल को सहेजना है, उदाहरण के लिए
/var/log/iptraf/iptraf.log
अब हमारे लिए iptraf प्रत्येक पैकेज (गिराए गए सहित) के बारे में बुनियादी जानकारी दर्ज करेगा।
व्यक्तिगत अवलोकन के अनुसार, सर्वर इससे खराब नहीं होगा, यह लॉगिंग लगभग उपयोगी सर्वर संसाधनों को खर्च नहीं करता है।

हम गालियाँ भेजते हैं

जब लॉग होता है, तो हम इसके प्रसंस्करण और संक्रमित मशीनों के प्रदाताओं को खुशी के पत्र भेजने के लिए आगे बढ़ सकते हैं, ताकि वे मालिकों के साथ व्यवहार करें।
ऐसा करने के लिए, मैं इसके लिए डिज़ाइन की गई कई स्व-लिखित लिपियों का प्रस्ताव करता हूं।
लिपियों को बहुत मुश्किल समय में लिखा गया था, इसलिए सौंदर्य और अनुकूलन की कोई बात नहीं थी, अब वे थोड़ा संशोधित हैं, टिप्पणियों के साथ अनुभवी हैं।
विशेष रूप से सभी कार्यों को कई मॉड्यूल में तोड़ दिया, जिनमें से प्रत्येक अपने कार्य के लिए जिम्मेदार है। इससे आप उन्हें अपने मामले में अनुकूल बना पाएंगे और हर कदम को नियंत्रित कर पाएंगे।

स्क्रिप्ट

सभी स्क्रिप्ट यहां डाउनलोड की जा सकती हैं: github.com/Ajex/AntiDdosAbuse

नीचे मैं प्रत्येक का वर्णन करूंगा।

1)। show_ips.sh - लॉग से आईपी पते और संग्रह अंतराल के दौरान पारित पैकेट की संख्या प्रदर्शित करता है।

स्टार्टअप पैरामीटर:

./show_ips.sh iptraf.log "Dec 12" > ddos_ips.txt 

उसके बाद, स्क्रिप्ट प्रारंभिक लॉग के रूप में iptraf.log फ़ाइल और दिसम्बर 12 फ़िल्टर का उपयोग करके फ़ाइल को पार्स करती है और अन्य स्क्रिप्ट द्वारा आगे के विश्लेषण के लिए ddos_ips.txt फ़ाइल में परिणाम प्रदर्शित करती है।

* आप अपने किसी भी फ़िल्टर को लागू कर सकते हैं, विशिष्ट घंटे के लिए उदाहरण के लिए डेटा का चयन कर सकते हैं

इसका निष्कर्ष इस प्रकार होगा:

  3 1.1.1.1. 3 1.1.1.2. 3 1.1.2.1. 10 2.3.2.2. 10 2.3.2.2. .... 7833 xxxx 19343 yyyy 58234 zzzz 

यह देखते हुए कि यह लॉग हमले के समय किया जाएगा, सबसे छोटे और सबसे बड़े मूल्यों के बीच बहुत मजबूत अंतर होगा। कभी-कभी हजारों और हजारों बार। यहां, फिर से, ट्रैफ़िक असामान्य पर विचार करने के लिए किस आधार पर कोई सार्वभौमिक एल्गोरिदम नहीं हैं, आपको अपने सिर के साथ देखने और सोचने की आवश्यकता है।
लेकिन एक नियम के रूप में, फ़ाइल बहुत स्पष्ट रूप से दिखाई देगी, क्योंकि एक सामान्य उपयोगकर्ता कुछ ही मिनटों में कई दसियों अनुरोध नहीं भेज सकता है।
इस लॉग के आधार पर, हम उस सीमा को निर्धारित करते हैं जिसके साथ आईपी को बॉट माना जाता है। आप अपाचे / नग्नेक्स और आईपीट्राफ लॉग का उपयोग करके शीर्ष पर से कुछ पते को मैन्युअल रूप से जांच सकते हैं।
उदाहरण के लिए, बीओपी यूडीपी पर दुर्घटनाग्रस्त हो गया, और आपके पास केवल कुछ बाएं पोर्ट पर एक वेबसर्वर या टीसीपी बैंग था, जिसे आपने कसकर बंद कर दिया है।
इस चरण में सिर को शामिल करना बहुत महत्वपूर्ण है, क्योंकि मैं दोहराता हूं कि कोई सार्वभौमिक तरीके नहीं हैं, यह सब इस बात पर निर्भर करता है कि किस तरह के सर्वर पर हमला हो रहा है, कौन सी सेवाएं चल रही हैं, क्या लोड हो रहा है।
आप स्क्रिप्ट को परिष्कृत कर सकते हैं और, उदाहरण के लिए, संख्या के साथ पता क्षेत्र प्रदर्शित करें और बंद पोर्ट की संख्या की गणना करें जिस पर बॉट टूट रहा था, वेब सर्वर लॉग से जानकारी जोड़ें ...
मानसिक गतिविधि के लिए एक संपूर्ण क्षेत्र है जो इस लेख के दायरे से परे है।

2)। get_info.sh - चरण 1 में show_ips.sh स्क्रिप्ट द्वारा प्राप्त प्रत्येक आईपी पते की जानकारी से दुरुपयोग ईमेल निकालता है।
स्टार्टअप पैरामीटर:

 ./get_info.sh ddos_ips.txt > abuse_email.txt 

जहाँ, ddos_ips.txt फ़ाइल चरण 1 में बनाई गई है
उसके बाद, ab_email.txt में पत्र भेजने के लिए ईमेल पतों की एक सूची होगी।

इसका निष्कर्ष इस प्रकार होगा:

 xxxx abuse@aaa.com master@aaa.com yyyy abuse@bbb.com zzzz abuse@ccc.com .... 

यह महत्वपूर्ण है कि स्क्रिप्ट में th_limit कॉन्फ़िगरेशन पैरामीटर है, इसका मतलब है कि कितने कनेक्शन को आईपी बॉट माना जाना चाहिए, यह सीमा पिछले चरण में निर्धारित की गई है।

3)। get_logs.sh - स्क्रिप्ट iptraf लॉग से प्रत्येक आईपी पते की जानकारी निकालती है, इसे एक अलग फाइल में सहेजती है और इसे Gzip में पैक करती है।

स्टार्टअप पैरामीटर:

 ./get_logs.sh ddos_ips.txt iptraf.log "Nov 20" pref 

जहाँ, छँटाई की सुविधा के लिए बनाए गए लॉग्स का उपसर्ग उपसर्ग करें

मापदंडों में th_limit को निर्दिष्ट करना अनिवार्य है, यह फिर से ddos_ips.txt फ़ाइल से कनेक्शन की संख्या है जो बॉट्स से अच्छे आईपी एड्रेस को अलग करती है।
आउटपुट पर, प्रत्येक व्यक्तिगत आईपी के लिए लॉग युक्त Gzip फाइलें वर्तमान फ़ोल्डर में बनाई जाएंगी।

4)। mail_send.sh - स्क्रिप्ट चरण 2 से प्राप्त सूचियों से गालियां भेजना। get_info.sh स्क्रिप्ट

स्टार्टअप पैरामीटर:

 ./mail_send.sh abuse_email.txt pref 

दुरुपयोग की रिपोर्ट करें कहां। चरण 2 में प्राप्त फ़ाइल

स्क्रिप्ट के अंदर एक हेडिंग और लेटर की बॉडी होती है, जिसे आप अपनी जरूरत के हिसाब से फिट करते हैं। आप स्वर्ग से सभी प्रकार के दंडों से डर सकते हैं और पुलिस से संपर्क करने की धमकी देते हैं, आदि, कुछ के लिए यह काम भी करता है।

echo "Hi, today, our server xxxx was attacked from your or your c$ip
Here are the logs yourcompany.com/abuse$pref$ip.txt.gz (TZ - Europe/Moscow) ... bla bla bla ... The Company Name Ltd." | mail -s "[Abuse] ddos attack from your $ip" $email_row
(मैं विशेष रूप से अपना पाठ प्रदान नहीं करता हूं ताकि वे खाके के अनुसार न भेजें और स्पैम फ़िल्टर में न पड़ें)

स्क्रिप्ट भेजने वाले टेम्प्लेट में लॉग फ़ाइल का लिंक होता है। मैंने सीधे पत्र में फाइलें संलग्न करने की कोशिश की, लेकिन, सबसे पहले, वे अक्सर स्वैच्छिक होते हैं, दूसरे वे अक्सर स्पैम फिल्टर द्वारा काट दिए जाते हैं और संदेह का कारण बनते हैं, तीसरा यह कि उन्हें डीडीओएस के तहत मशीन से भेजना मुश्किल है, और एक कॉर्पोरेट वेबसाइट के लिए लिंक अधिक पर्याप्त और सुरक्षित दिखता है।
इसलिए, मैंने लॉग को एक साधारण स्क्रिप्ट के साथ उठाए गए वेब सर्वर के साथ एक अन्य मशीन में कॉपी किया, और बस संदेश के शरीर में लॉग के लिए एक लिंक का संकेत दिया।

do_all.sh - यह स्क्रिप्ट क्रमिक रूप से सभी क्रियाएं करती है, लेकिन प्रदर्शन के लिए और अधिक किया गया है, क्योंकि इसे चलाने से पहले, आपको स्क्रिप्ट पैरामीटर को ट्यून करने की आवश्यकता है, विशेष रूप से आपके मामले के लिए th_limit

यहाँ इसके विकल्प हैं:

parse_date - यदि आप किसी विशिष्ट संख्या या घंटे के लिए प्रविष्टियों का चयन करने की आवश्यकता है, तो इस अभिव्यक्ति पर ग्रेप लॉग किया जाएगा
प्रीफ़ - निर्मित फ़ाइलों के लिए उपसर्ग, उदाहरण के लिए, एक ही तारीख
iptraf_raw_file - जहां iptrafa लॉग प्राप्त करने के लिए

यह स्पष्ट है कि धाराओं के माध्यम से स्क्रिप्ट बनाना संभव था, लेकिन लेख और जो काम मैंने किया, उसे समझने के लिए कल्पना की गुंजाइश अनंत है। आप सभी प्रक्रियाओं को परिष्कृत और स्वचालित कर सकते हैं, उदाहरण के लिए, स्वचालित रूप से एक हमले की शुरुआत के बाद लॉगिंग को सक्षम करें, चरण 1 के लिए अधिक सटीक विश्लेषक बनाएं।

यदि आप समझदारी से काम लेते हैं, तो आप बॉटनेट को काफी महत्वपूर्ण झटका दे सकते हैं, खासकर अगर बॉट्स की संख्या छोटी है, लेकिन अधिकांश भाग के लिए वे रूटकिट पर डेडिक से मिलकर बने हैं। मैं यह व्यक्तिगत अनुभव से कहता हूं।

और परिणाम क्या है? क्या यह वास्तव में काम करेगा?

परिणामी दुरुपयोग का क्या होगा? शायद, निश्चित रूप से, वे इसे अनदेखा करेंगे, लेकिन, उदाहरण के लिए, अगले दिन आईपी पते को फिर से ब्लैकलिस्ट किया जाएगा और अबुसा फिर से चला जाएगा, आदि, शायद वे कुछ समय पर प्रतिक्रिया करेंगे।
यदि un किसी प्रकार का वायु-बल / एयर-फोर्स सर्वर है और दुरुपयोग विस्तृत लॉग के साथ डेटा सेंटर में हो जाता है, उदाहरण के लिए, यह सामान्य रूप से जारी किया जाता है, तो इसकी सबसे अधिक संभावना होगी, और यदि लॉग बहुत वजनदार हैं और डेटा सेंटर के आंकड़ों के साथ अभिसरण करते हैं, तो एक ब्लॉक हो सकता है। यह कहीं 50/50 के आसपास है, जो आमतौर पर बुरा नहीं है।
यदि यह प्रदाता के पास आता है, तो वह सबसे अधिक ग्राहक को सूचित करेगा (उसने कुछ परिचितों के साथ बात की, उन्होंने कहा कि वे ऐसा ही करेंगे), और यदि कई शिकायतें फिर से हैं, तो वे तब तक अवरुद्ध कर सकते हैं जब तक कि ग्राहक एक सामान्य एंटीवायरस नहीं डालता।

दुनिया भर में हमारे न्यूज़लेटर के बाद, घटनाओं की एक पूरी श्रृंखला होगी, जिनके बारे में हम कभी नहीं जान सकते हैं, और शायद उनका कोई निर्णायक प्रभाव नहीं होगा, लेकिन किसी भी मामले में यह कुछ भी नहीं करने और कल खत्म होने की उम्मीद से बेहतर है। कोई और होगा और आप नहीं।
अगर इस तरह की कार्रवाई बहुमत से की जाएगी और विभिन्न आईपी से गालियां निकाली जाएंगी, तो प्रदाता उपाय करने के लिए मजबूर होंगे, प्रत्येक ऐसा दुरुपयोग एक बोटनेट के ताबूत में एक कील है।

आपका ध्यान देने के लिए धन्यवाद, यह हब पर मेरा पहला लेख है, कृपया कुछ गलत होने पर मुझे डांटे नहीं। यदि विषय रूचि का है, तो मैं अपना व्यावहारिक अनुभव साझा करूँगा, जैसे कि गंभीर संसाधन न होने पर, आपके शरीर में 3 रूबल होने से आप काफी मजबूत हमलों के खिलाफ अपनी ताकत का सामना कर सकते हैं। कभी-कभी चालाक और सरलता शक्तिशाली लोहे या एक विस्तृत चैनल से अधिक दे सकती है।

UPD: वैसे, ऐसे समय होते हैं जब लेख में वर्णित विधि DDoS से वास्तविक मुक्ति हो सकती है। उदाहरण के लिए, यदि आप व्यापक चैनलों पर अपेक्षाकृत कम संख्या में बॉट्स के साथ पूरे पोर्ट की चौड़ाई को भरते हैं या नेटवर्क अनुरोधों के प्रवाह का सामना नहीं कर सकता है। इस मामले में, या तो अपस्ट्रीम राउटर की तरफ का ब्लॉक मदद करेगा, जो बहुत बार कई डीसी में संभव नहीं है, या गालियों की मदद से लड़ाई। उत्तरार्द्ध, अपनी सादगी और पहुंच के अलावा, डोडर्स के लिए इतना अच्छा करना और उन्हें निरस्त्र करना संभव बनाता है।