Toggle sidebar Toggle sidebar
РАЗБОР AppSec

Как мы отбивались от ddos-атаки и другой хакерской нечисти! (Заметка)

М
Местный Red Team · 308 сообщений
Подписаться
7,4 тыс.
[ обложка статьи ]
Режим чтения
Автор: @Местный
Специально для codeby.net

Всех приветствую! Решил написать небольшое руководство для пользователей, которые держат свой небольшой блог или форум. Поскольку данный форум индексируется в поисковиках, подумал хорошей идеей будет выложить именно сюда. Мой товарищ решил поднять небольшой wordpress блог duty-free.cc и заодно forum.duty-free.cc на xenforo и столкнулся с множеством проблем.

Конкуренты и другие недоброжелатели не дремлют. Постоянно пытаются вывести ресурс из строя. Поэтому важно было выбрать нормального хостера.

Защита блога wordpress

1. Не рекомендую устанавливать непроверенные плагины, рекомендую вообще плагины не устанавливать. Из-за них 90% проблем с безопасностью.

2. Отключите возможность оставлять комментарии. Мы оставили возможность оставлять комментарии и нас засорили полезными нагрузками для SQLI и XSS, около 160 полезных нагрузок было отправлено=) Даже, если версия не уязвима, зачем вам хранить лишний мусор на сервере и нагружать его.

1738952159909.webp


3. Если регистрация в вашем блоге отключена, то заблокируйте путь к wp-login.php для всех ip, кроме разрешенных. Сделать это можно через cloudflare или веб-сервер. Если даже учетки от админки утекут злоумышленник не сможет авторизоваться, поскольку он не находится в вашей сети. Помимо wp-login.php мы можете блокировать всех, кто обращается к /wp-json/ чтобы никнеймы зарегистрированных пользователей были недоступны. Можно также запретить и другой функционал, чтобы если злоумышленник проник в админку не смог удалить ваши статьи и выложить свою вредоносную рекламу. Также отключите API, xmlrpc, чтобы защититься от брутфорс атак.

Вот вам небольшая шпаргалка. Примерно так можно настроить cloudflare.

1738953383107.webp


4. Обрывать все соединения напрямую по ip адресу. Если вы этого не сделаете школьники будут заниматься примерно подобным=))
45.84.107.172 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-favicongH9Atp96vHnISBsOqUZHdoBMVx33I88j0OshdBJ9Ondf2JhwBzD0SEIs6Fuu04TtIbmnfifBRPEAQ6c8GtxsOp6C7GxGL20dBGEhXivZaWyKwwfvSr71ZgdQnZqXlM5dC.ico HTTP/1.1" 404 7095 "Яндекс" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:124.0) Gecko/20100101 Firefox/124.0 TO-Browser/TOB7.124.0.305_01"
185.220.101.96 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconxNuDWxvSEf3wCFV3llcZm6Wj6W1aWkf5WqslxKi450DDE4peDXFKY3FVXhKCtJa31qTWAeD4RPrwXW2vid7qr0uJcFVB84rKJs7Df0AM9sbOccF1WOUtOdhMIGSqiPbi3.ico HTTP/1.1" 404 7097 "Яндекс" "Mozilla/5.0 (iPhone; CPU iPhone OS 16_7_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/16.6 Mobile/15E148 Safari/604.1"
104.244.73.193 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconAoHOMMhD4801Lh06VTFYnjZoYG3Au5ZrDLdCBEW0HxMUtPQKIqMK3fwlGqKT36ytQCCvrbiYsJLGv7rW.ico HTTP/1.1" 404 7054 "Яндекс" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/117.0.5938.0 Safari/537.36"
185.129.61.10 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconNVQ3YisoETOoOqK8XSC7utsgtzr619O40akV2ZKwsbup8WXoTOBPVJSETyHrJF4Yuir2IuJHoQOVsUSly.ico HTTP/1.1" 404 7050 "Яндекс" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/103.0.5060.114 Safari/537.36"
193.189.100.202 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconMhnD3FUjYyeqFGhazbNaXhBbtNDYn7XZ8jCBKJxosoe3vW.ico HTTP/1.1" 404 7014 "Яндекс" "Mozilla/5.0 (iPhone; CPU iPhone OS 16_1_2 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/16.1 Mobile/15E148 Safari/604.1"
185.220.101.12 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconkiHdGVdVnQUybIx0pQQzYyDR2D9kJBJaDcjRHD8jIVG2Io41FpnI.ico HTTP/1.1" 404 7023 "Яндекс" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) HeadlessChrome/123.0.6312.123 Safari/537.36"
109.70.100.3 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconpvOiviIr94vX44CJIz2wZWISunwh8o01q2txtm4VHnYjBIPz2ykZQ3FQfCZDfu.ico HTTP/1.1" 404 7029 "Яндекс" "Mozilla/5.0 (iPhone; CPU iPhone OS 17_3 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) GSA/308.0.615969171 Mobile/15E148 Safari/604.1"
185.220.100.252 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconTa7p7gLqRYlLoBCpgJz2usI666IiO7w8XmdTlyVtyOZvfdq4jN0xQwYKrKXzhQz4YICRjq9x1emkhHWUGKFMxAHhbpsTT0Gz.ico HTTP/1.1" 404 7067 "Яндекс" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.0.0 Safari/537.36"
185.220.101.102 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconnN16o0OHfhUBpdx8WgAEBERAMt3lM.ico HTTP/1.1" 404 6997 "Яндекс" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_6) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/14.0.3 Safari/605.1.15"
109.70.100.69 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconuFF9tD5bCgGj90xrh3FITUYhYg08fQde9zbu9R0iEP7wUvXYRF1RGv88IO0Hd4j8x5qtj.ico HTTP/1.1" 404 7039 "Яндекс" "Mozilla/5.0 (iPad; CPU OS 15_7 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.6,2 Mobile/15E148 Safari/604.1"
185.220.101.31 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconjIJ2lasPylgvcvrjpHERV4Nnqzp5IGA4lSx7zi7WcnCWdVXJuGt4yGY5tqg531SCGVUTAzWjIWYF9kr48h4AFv6VV.ico HTTP/1.1" 404 7059 "Яндекс" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:109.0) Gecko/20100101 Firefox/115.0"
109.70.100.70 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconT3AcBfQvdnLbW08azhOgke0yq1jHR8q0fISjutOZvgtXadz8obIURp2aQSSZ0q1CfiyHnuYqI8rmmoBdd.ico HTTP/1.1" 404 7045 "Яндекс" "Mozilla/5.0 (iPhone; CPU iPhone OS 17_0_2 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.0 Mobile/15E148 Safari/604.1"
194.26.192.142 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-faviconzoW1w07ZoUqxmBkEIHJv5jzCgbFOWKJTUTpZS4W5CY1oqgdfojNZu1zudHDnOsHxnAXxNp7M0f3f1sNhR2KSooOe0Qj.ico HTTP/1.1" 404 7058 "Яндекс" "Mozilla/5.0 (iPhone; CPU iPhone OS 17_1_2 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.1.2 Mobile/15E148 Safari/604.1"
185.220.101.8 - - [07/Feb/2025:07:49:55 +0100] "GET /styles/default/xenforo/xenforo-favicon8STVAnwGxmx7VW4rUJkV9IoC2jD4x9ltMpBj0RZ8IKBnc9BRBTmo4aTpj.ico HTTP/1.1" 404 7024 "Яндекс" "Mozilla/5.0 (Linux; Android 7.0; Moto G (4)) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4695.0 Mobile Safari/537.36 Chrome-Lighthouse"

Идем в /var/log/nginx посмотрим сколько бомжик отправил запросов на наш сервер.

cat access.log | wc -l
11165004

Неудивительно, что наш ресурс был недоступен.

logrotate -f /etc/logrotate.d/nginx

Очистим логи. Зачем нам 11 миллионов бесполезной информации. Перед выполнением этой операции не забудьте отключить nginx, если вы под атакой. Теперь осталось запретить ему стучать напрямую по нашему ip.

Код: 
ufw allow from 103.21.244.0/22 to any port 443
ufw allow from 103.21.244.0/22 to any port 80

Добавляем сюда пулл айпи адресов вашего CDN, я использую CF: https://www.cloudflare.com/ru-ru/ips/

После этого мой сайт заработал и злоумышленник перестал vCPU нагружать=)

5. Убедитесь, что у вас не торчат наружу порты или файлы в которых конфиденциальная информация например .env или .git.
6. Поставьте MFA на аккаунт администратора.

После проделанных действий атака частично остановилась. Теперь вместо миллионов запросов он отправлял пару штучек, поскольку средств на пркоси у него нет, мы просто взяли заблокировали айпи злоумышленника.

ufw deny from 45.148.10.111
Код: 
ufw deny from 172.70.57.196
ufw deny from 45.84.107.33

Также в дополнение хотелось бы рассказать, что в качестве CDN ранее мы использовали stormwall.pro. Хороший вещь, поддержка отвечает частенько. Но пришлось отказаться из-за стоимости, пока такая защита не нужна=)

Продолжение выйдет, когда нас продолжат атаковать.
Полезно · 4
#ddos #wordpress #xenforo #анти-ddos #безопасность форума #защита сети #кибербезопасность

Комментарии

4
#2
Добрый день! Если даже вы отключили комментарии к статье, то пользователи могут оставлять комменты к отдельным картинкам просто добавив к url /image-1/ вместо "1" id картинки.

1739559308563.webp


Вот какой подарок вы получите

1739559343460.webp


Решить проблемы: Как удалить страницы вложений Attachment WordPress

или через cloudflare

1739560096219.webp


1739560110403.webp


Теперь злоумышленник не будет флудить комментариями и раздражать вас, а также поисковой робот не будет индексировать вложения.
 
  • Нравится
Реакции: NoName037 и Gustavo Fring
2
#3
Владислав Хорохорин под ником BadB, решил вновь положить duty-free.cc, forum.duty-free.cc. Мне написал верстальщик что форум не доступен. Я сразу понял что это типичный ддос от badB по L7. Наш технарь выключил сервер, сменил A записи на гугла (отключил clear net) и снова включил сервер, который был ранее нагружен ботнетом. То есть он отключил clear, но TOR по-прежнему работает. Тяжело одновременно досить тор вместе с clear, уж больно много ресурсов надо на это тратить.

Ребята установили тор и продолжили верстать форум.

Вывод такой, устанавливайте на свои проекты tor, это еще одна возможность подключиться в случае ddos, истекшего сертификата, домена и т.д. Проще говоря тор как VNC хостера спасает, когда поломал ssh на сервере=)
 
#4
Еще добавлю одну фишку о которой некоторые могли не знать. Если вас ddos`ят и tor завершается по ошибке или просто завершается и onion линк не доступен вам стоит отредактировать конфиг.

systemctl edit tor@default

Код: 
[Service]
Restart=always
RestartSec=5

sudo systemctl daemon-reload
sudo systemctl restart tor@default

Если будет tor завершаться, то спустя 5 секунд автоматически перезапустится. Пользуйтесь!
 
#5
Это был хороший опыт, но к сожалению мне надоели ддосы, вечные атаки, спам. Я не справился и проект у меня забрали. Вот что сделал админ:

  • Купил физический сервер
  • Грамотно все настроил
  • Натянул ddos-guard

По сути в первую очередь решают все связи и деньги. Если этого нет заддосить все еще легко, как бы ты не старался.

Спасибо тем, кто следил, подсказывал мне. Но увы есть человек который выполняет свою работу лучше меня.
 
  • Нравится
Реакции: NoName037
1
Для ответа нужно войти/зарегистрироваться
Продолжить чтение
Следующий разбор Обход ACL через парсинг URL на реверс-прокси

Ещё по теме

3
Сергей Попов СтатьяDDoS-атаки на DNS: water torture, NXDOMAIN flood и защита серверов Сергей Попов·20.06.2026·Сетевая безопасность и беспроводные атаки 0 918 20.06.2026 samhainhf СтатьяDDOS-атаки: Как защититься? samhainhf·27.01.2026·Hardware Hacking / Аппаратный хакинг 7 6 тыс. 05.03.2026 Luxkerr СтатьяЗащита от DDoS атак в 2025: Полное руководство для бизнеса с пошаговыми инструкциями Luxkerr·04.09.2025·Codeby Academy: курсы и сертификации 0 11 тыс. 04.09.2025
  • Ширина
  • Запросы
    146
  • Время
    0.2292s
  • Память
    17.63MB
Верх Низ
Назад