Newsgroup: it.comp.os.linux.sys
Titolo: Come lo fermo.. parlasi di pseudo-hacker..

Ciao! Ho un problemino.. Ho un rompiballe che cerca di buttarmi giů il 
server. Il pc in questione risponde all'indirizzo 
www.acquariofilia.biz
. 
Ogni tanto arrivano picchi con qualcosa come 194 richieste al secondo 
(http).
Non so dove girarmi.. pensavo di mettere un limite di richieste al 
secondo oltre al quale apache blocca tutto per un minuto o qualcosa del 
genere.. consigli?
Grazie!
Stefano.

 (http).
Be', innanzitutto potresti fare un "whois 
acquariofilia.biz
" e contattare
i responsabili del dominio.
Attento pero': penso sia possibile "falsificare" il proprio
IP e magari i signori di acquariofilia sono innocenti.
Prova comunque. Forse e' solo un errore in buona fede.
Ciao,
   Marco.

 genere.. consigli?
stoppare l'ip direttamente con /etc/hosts.deny potrebbe essere un idea?

 server.
Abilita i syncookies
Vai di firewall:
iptables -I INPUT -i $if_name -p tcp -m state --state NEW,INVALID \
--dport 80 -s <ip_del rompiballe_se_unico> -m limit --limit 10/m
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 i responsabili del dominio. 
Scusa, mi sono spiegato male. Acquariofilia.biz siamo noi.. :-)

 stoppare l'ip direttamente con /etc/hosts.deny potrebbe essere un idea?
premmetendo che "Il pc in questione" intendevo il server nostro, e che 
mi sono spiegato male,
Stiamo analizzando i log.. Se arrivano sempre dallo stesso ip faremo 
come dici tu ma temo che il presunto hacker usi un dial-up.. A meno che 
non sia tanto cretino da usare un ip fisso per "attaccare"..
Grazie!

 --dport 80 -s <ip_del rompiballe_se_unico> -m limit --limit 10/m
Sperando che usi un ip fisso..
Ma non c'è un sistema per limitare le richieste http a (ad esempio) 10 
al secondo o qualcosa del genere? Perchè temo che non ci sarà un ip 
fisso da poter bannare..

 fisso da poter bannare..
Scusa, ma se non ho capito male il tuo problema, cosi' fai peggio. Se c'e'
un tipo che ti manda 20 richieste al secondo, limitando a 10 le
connessioni http, tutto quello che ottieni e' che se le pappera' tutte lui
e nessun altro riuscira' ad accedere al sito, che non mi sembra la
soluzione al tuo problema: a 'sto punto, fai prima a tirar giu' Apache...
-- 
Booze is the answer.  I don't remember the question.



Whiplash ha detto una cosa sacrosanta.
Cerca anche mod_throttle e installalo.
Fa quello che richiedi tu, e se levi il -s <parametro> dalla riga di
whiplash consideri tutti i clients. Però alza un pò il limite a qualcosa di
maggiore.
Max

On Thu, 21 Oct 2004 21:02:59 +0000, Ste wrote:

Beh, te l'ho scritta. :-)
Basta eliminare il -s <ip_del rompiballe_se_unico>
Poi puoi decidere tu quante richieste accettare nell'unità di tempo:
l'esempio che ti ho mostrato non è adeguato se non mirato ad un singolo
ip perchè consente solo 10 pacchetti NEW o INVALID al minuto.
Per accettare 10 pacchetti al secondo, basta cambiare in 10/s il 10/m
Tieni conto però che ciò può avere delle implicazioni altrettanto
negative: se il cretino in questione ti manda 10 syn in un certo secondo,
nessun altro pacchetto syn potrà essere accettato in quel secondo.
I syncookies potrebbero essere la soluzione migliore; nel frattempo, con
un po' di analisi potete stabilire se i syn sono spoofati o meno e nel
caso in cui abbiate la ragionevole certezza che non lo siano, io andrei
di denuncia, senza pensarci due volte.
Personalmente, sono abbastanza tollerante: me ne frego degli scan ed anzi
quando ho tempo e voglia mi diverto ad osservare cosa sta cercando di fare
il presunto pischello di turno.
Ma i DoS proprio no: quelli mi fanno imbestalire.


 (http).
si suppone che anche se l'ip è dinamico le "raffiche" di richieste 
arrivino tutte dallo stesso ip. si può controllare questo: credo sia 
applicabile (ma nn ne sono certo) l'opzione "limit-burst" di iptables... 
altrimenti si può fare con qualche sistema proattivo snort-like.
saluti
-- 
Davanti a Dio non ha importanza il successo umano, ma l'amore che si 
mette nel lavoro.
--
http://www.misterfloppy.it

Ok. Grazie a tutti di cuore!
Mi faccio una googlata seguendo i vostri consigli e casomai riposto se 
non dovessi trovar soluzione (ma non credo sarà necessario).
Ciao!