Forum Debian Users Gang

sqrtek · 2014-06-05 21:29:39

Mam następującą konfigurację tego modułu:

Kod:

  LoadModule evasive20_module /usr/lib/apache2/modules/mod_evasive20.so
  
  DOSHashTableSize 3097
  DOSPageCount 5
  DOSSiteCount 50
  DOSPageInterval 3
  DOSSiteInterval 3
  DOSBlockingPeriod 999
  DOSLogDir “/var/log/evasive”
  DOSWhiteList 127.0.0.1/8
  DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --syn --dport -s %s -j DROP"

1. Problem, próbowałem na wszystkie sposoby już chyba ustawiać uprawnienia do folderu /var/log/evasive i ciągle wywala mi następujący log:

Kod:

Jun  5 21:13:04 arm mod_evasive[20754]: Couldn't open logfile “/var/log/evasive”/dos-192.168.0.250: No such file or directory
Jun  5 21:13:04 arm mod_evasive[20755]: Couldn't open logfile “/var/log/evasive”/dos-192.168.0.250: No such file or directory

2. Problem, polecenie które powinno blokować hosta ddosującego serwer w ogóle nie działa.. próbowałem również z poleceniem które doda IP do /etc/hosts.deny.. również nic nie działa..

a do testowania używam skryptu z modułu, którego uruchamiam z maszyny wirtualnej..

Kod:

   #!/usr/bin/perl
  
    # test.pl: small script to test mod_dosevasive's effectiveness
   
     use IO::Socket;
    use strict;
  
     for(0..100) {
      my($response);
      my($SOCKET) = new IO::Socket::INET( Proto   => "tcp",
                                          PeerAddr=> "192.168.0.251:80");
  if (! defined $SOCKET) { die $!; }
  print $SOCKET "GET /?$_ HTTP/1.0\n\n";
  $response = <$SOCKET>;
  print $response;
  close($SOCKET);
  }

Z góry dzięki, za pomoc przy rozwiązaniu tych problemów, bo już nie mam pojęcia jak się za to zabrać..

Ostatnio edytowany przez sqrtek (2014-06-05 21:50:30)

winnetou · 2014-06-05 21:39:36

co to za jakiś dziwny cudzysłów w tej linijce?

Kod:

DOSLogDir “/var/log/evasive”

Jak kopiowałeś z jakiejś stronki to weź to popraw na normalny ' lub "

sqrtek · 2014-06-05 21:43:22

[quote=winnetou]co to za jakiś dziwny cudzysłów w tej linijce?

Kod:

DOSLogDir “/var/log/evasive”

Jak kopiowałeś z jakiejś stronki to weź to popraw na normalny ' lub "[/quote]
Hmm faktycznie, nie zauważyłem tego prędzej, poprawiłem, ale nadal to samo :/

Edit://
Jednak permission było winne oraz te nawiasy, po zmianie nawiasów, oraz zmianie właściciela folderu na tego co jest uruchomiony apache2 wszystko zaczęło działać :).
Najlepsze w tym wszystkim jest to że po rozwiązaniu tego problemu również zaczeła działać komenda na blokowanie hosta. :/

Nie potrzebnie otwierałem ten temat, ale przeważnie jak stworzę temat to po krótkim czasie znajdzie się rozwiązanie. EOT.SOLVED.

Ostatnio edytowany przez sqrtek (2014-06-05 21:50:13)

winnetou · 2014-06-05 21:48:28

pokaż wyniki dla

Kod:

ls -ld /var/log/evasive
ls -l /var/log/evasive

jak w katalogu /var/log/evasive nie masz pliku dos-192.168.0.250 to go po prostu utwórz ;]

Jacekalex · 2014-06-05 21:59:21

Masz drugi problem:

Kod:

DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --syn --dport -s %s -j DROP"

Takie rzeczy robi się Ipsetem, a żeby nie zapchać tablicy ipseta, to się każdy adresik dodaje z okresem przydantości do użycia, czyli opcją timeout.

Poza tym nastepne lamerstwo, to puszczanie Apacha z uprawnieniami użyszkodnika root, co w przypadku jakiegoś exploita może się skończyć czkawką.

Puść Apacha jako zwykłego użyszkodnika, Evasive i Mod Security niech wysyłają komunikaty na kolejkę np /dev/banwatch czy coś podobnego,
na takim sockecie powieś skrypta, który będzie dodawał adresy do ipseta.

Sznurek:
https://wiki.apache.org/httpd/NonRootPortBinding

Tworzymy kolejeczkę fifo:

Kod:

mkfifo /dev/apacheban
chown root:apache /dev/apacheban
chmod 620 /dev/apacheban

Tu masz przykład, jak czytać z takiej kolejki:

Kod:

#!/usr/bin/perl

use strict;

  open(FIFO, "< /dev/apacheban") or die ": unable to open /dev/ips: $!\n";
  
  while (<FIFO>) {

# tutaj akcja z wyczesaniem IP/IP6 i dodaniem do odpowiedniej tablicy  Ipseta, 
# poradzisz sobie.
## względnie xdg-open "http://forum.dug.net.pl/viewtopic.php?id=22977"

}

A tutaj użycie Ipseta, prosto i wygodnie:
http://forum.dug.net.pl/viewtopic.php?pid=268845#p268845

Poza tym zainteresuj się modułami mod_bw i ratelimit od Apacha,
i nieśmiertelną zabawkami Netfiltera, - hashlimitem i connlimitem. :D

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2014-06-05 22:18:27)

Time (s)	Query
0.00017	SET CHARSET latin2
0.00006	SET NAMES latin2
0.00127	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='13.58.188.166' WHERE u.id=1
0.00096	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '13.58.188.166', 1733047329)
0.00046	SELECT * FROM punbb_online WHERE logged<1733047029
0.00085	SELECT topic_id FROM punbb_posts WHERE id=269252
0.00008	SELECT id FROM punbb_posts WHERE topic_id=25943 ORDER BY posted
0.00066	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=25943 AND t.moved_to IS NULL
0.00009	SELECT search_for, replace_with FROM punbb_censoring
0.00123	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=25943 ORDER BY p.id LIMIT 0,25
0.00097	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=25943
Total query time: 0.0068 s

Forum Debian Users Gang

Ogłoszenie

#1 2014-06-05 21:29:39

sqrtek - Użytkownik

[solved] problem z mod_evasive w apache2

Kod:

Kod:

Kod:

#2 2014-06-05 21:39:36

winnetou - złodziej wirków ]:->

Re: [solved] problem z mod_evasive w apache2

Kod:

#3 2014-06-05 21:43:22

sqrtek - Użytkownik

Re: [solved] problem z mod_evasive w apache2

Kod:

#4 2014-06-05 21:48:28

winnetou - złodziej wirków ]:->

Re: [solved] problem z mod_evasive w apache2

Kod:

#5 2014-06-05 21:59:21

Jacekalex - Podobno człowiek...;)

Re: [solved] problem z mod_evasive w apache2

Kod:

Kod:

Kod:

Stopka forum

Informacje debugowania