آشنایی با DDoS Deflate + نصب، کانفیگ و رفع مشکلات احتمالی

[Moji.Rider]

[align=right]همانطور که میدانید امروزه حملات DoS/DDoS یکی از مشکلات پیش روی هر وبمستر و در سطح بالاتر، معضل پیش روی مدیران سرورها می باشد.

امروزه هر فردی به راحتی میتواند با استفاده از نرم افزارها و ابزارهای آماده، یک حمله DoS/DDoS را ترتیب دهد. استفاده از این ابزارها حتی برای افراد مبتدی نیز بسیار آسان است.

این ابزارها با ارسال درخواست های متعدد TCP  ، UDP و HTTP باعث Overload سرور و در نهایت خارج شدن سرور از دسترس می شود.

بنابراین ایجاد سدّی در مقابل این حملات، یکی از مهمترین وطایف مدیر یک سرور است که عمل نکردن به آن باعث ایجاد خسارات زیادی خواهد شد.

البته لازم به ذکر است که نرم افزارهایی که در جهت مقابله با حملات DoS/DDoS ارائه می شوند جوابگوی حملات سنگین نخواهند بود و به طور کلی نمی توان استفاده از فایروال نرم افزاری را راه حل مناسبی برای مقابله با حملات سنگین دانست.
به طور کلی، حملات تکذیب سرویس به سه دسته تقسیم می شوند :

• Application Layer DDOS attack
• Protocol DOS attack
• Volume based DOS attack

در این آموزش، شما با اسکریپت DoS Deflate  آشنا خواهید شد. اسکریپتی که در شما را در مقابله با حملات Application Layer یاری می نماید.
 
DoS Deflate اسکریپتی کاربردی بر پایه bash بوده که با استفاده از دستور netstat ، IP هایی که در حال برقراری ارتباط با سرور هستند را رهگیری و نظارت می کند. چنانچه اسکریپت تشخیص دهد که یک IP در حال برقراری کانکشن با سرور، بیش از تعداد کانکشن های مجاز تعریف شده میباشد، به صورت خودکار آن IP را توسط APF و یا IPTables ( که در تنظیمات برنامه قابل تغییر است ) بلاک می کند.

در قسمت بعد مراحل نصب و کانفیگ این اسکریپت را برای شما شرح خواهیم داد.
[/align]

[Moji.Rider]

RE: آشنایی با DDoS Deflate + نصب، کانفیگ و رفع مشکلات احتمالی

[align=center]نصب اسکریپت
[/align][align=right]در ابتدا فایل نصب اسکریپت را از وبسایت آن دریافت می کنیم. برای این کار، در ترمینال سرور خود دستور زیر را وارد کنید :

wget http://www.inetbase.com/scripts/ddos/install.sh

[align=center][/align] 

حال باید دسترسی لازم برای اجرا به فایل نصب داده شود. توسط دستور زیر این کار را انجام دهید :

chmod 0700 install.sh

 
هم اکنون فایل نصب را با دستور زیر اجرا می کنیم :

./install.sh

 
اسکریپت با موفقیت نصب شد. برای اطمینان از این امر، توسط دستور زیر، وجود فایل های ایجاد شده را بررسی نمایید :

ls -la /var/local/ddos

 و یا :

ls -la /usr/local/ddos

 [align=center][/align]

همانطور که می بینید، چهار فایل در دایرکتوری ایجاد شده موجود است. فایل ddos.conf مربوط به تنظیمات اسکریپت، فایل ddos.sh فایل اجرایی اسکریپت و فایل
ignore.ip.list مربوط به ثبت IP های بلاک شده توسط اسکریپت می باشد.[align=center]کانفیگ اسکریپت
[/align]پس از نصب اسکریپت، نوبت به پیکربندی تنظیمات آن می رسد. قبل از شرح این موضوع لازم است بدانید بلافاصله پس از نصب اسکریپت، یک فایل Cron در دایرکتوری /etc/cron.daily ایجاد شده و هر دقیقه اجرا خواهد شد (قابل تغییر) که مربوط به اجرای اسکریپت می باشد.
همانطور که در بالا نیز اشاره شد، فایل ddos.conf حاوی تنظیمات اسکریپت DDoS Deflate می باشد. بنابراین برای تغییر این تنظیمات به شکل مورد نظر، دستور زیر را وارد می کنیم :

nano /usr/local/ddos/ddos.conf

و یا :

nano /var/local/ddos/ddos.conf

 
فایل تنظیمات این اسکریپت به شکل زیر است :[align=center][/align]
در ادامه، با کاربرد تمامی آپشن های موجود در این فایل آشنا خواهید شد.
 
FREQ : این آپشن مربوط به زمان تکرار اجرای این اسکریپت است. به طور مثال اگر مقدار این آپشن برابر 5 قرار داده شود، اسکریپت هر 5 دقیقه یکبار اجرا می شود. مقدار پیشنهادی برای این آپشن، 1 می باشد.
 
NO_OF_CONNECTIONS : توسط این آپشن شما می توانید تعداد کانکشن های مجاز برای هر IP را تعریف کنید. مقدار پیش فرض این گزینه 150 می باشد. چنانچه یک IP از این مقدار تعیین شده تعداد کانکشن بیشتری برقرار کند، توسط APF و یا IPTables و به واسطه این اسکریپت ( DDOS Deflate ) بلاک خواهد شد.
 
APF_BAN : چنانچه از فایروال APF بر روی سرور خود استفاده می کنید، مقدار این آپشن را برابر 1 قرار دهید و در غیر اینصورت، جهت بلاک نمودن IP های خاطی توسط IPTables، مقدار 0 را قرار دهید.
 
KILL : چنانچه از سرور قدرتمندی بهره مند بوده و از اسکریپت DDoS Deflate تنها به منظور نظارت بر حملات استفاده می کنید، مقدار 0 را برای این آپشن قرار دهید. در صورتی که تمایل به مقابله با حملات و بلاک شدن IP های خاطی را دارید، مقدار 1 را قرار دهید. ( مهم ترین آپشن )
 
EMAIL_TO : چنانچه تمایل دارید پس از بلاک شدن هر IP به شما اطلاع رسانی شود، ایمیل خود را بین دو Double کوتیشن ( " ) در این آپشن قرار دهید.
 
BAN_PERIOD : توسط این آپشن میتوانید مدت زمانی ( بر حسب ثانیه ) که IP خاطی توسط سرور بلاک می شود را وارد کنید. مقدار پیش فرض این آپشن برابر 600 می باشد که به معنای آن است که IP خاطی تنها برای 5 دقیقه بلاک خواهد شد! . پیشنهاد می شود مقدار آن را افزایش دهید.
پس از انجام تنظیمات، اسکریپت و Cron آن را توسط دستور زیر اجرا نمایید ( توجه داشته باشید که در دایرکتوری پیش فرض اسکریپت قرار داشته باشید ) :

./ddos.sh -c

[align=center]
[/align]
 در ادامه ی این تاپیک، با رفع مشکلات احتمالی این اسکریپت و تست عملی آن آشنا خواهید شد.[/align]

[Moji.Rider]

RE: آشنایی با DDoS Deflate + نصب، کانفیگ و رفع مشکلات احتمالی

[align=right][align=center]رفع مشکلات احتمالی[/align]

 یکی از مشکلاتی که به وُفور در اسکریپت دیده شده، آن است که به جای IP، اعداد را بلاک می کند!! شاید در نگاه اول به این جمله تعجب کنید اما زمانی که به ایمیل های ارسال شده و فایل ignore.ip.list که IP های خاطی در آن ثبت می شود  نگاهی بیندازید به حقیقت این امر پی خواهید برد :[align=center]

[/align]


جهت رفع این مشکل، به شکل زیر اقدام نمایید :
فایل ddos.sh را جهت تغییرات باز نمایید.
خط شماره 117 را پیدا نموده[align=center]


[/align]
آن را به طور کامل پاک نموده و با دستور زیر جایگزین نمایید :

netstat -ntu | grep ':' | awk '{print $5}' | sed 's/::ffff://' | cut -f1 -d ':' | sort | uniq -c | sort -nr > $BAD_IP_LIST

[align=center]



[/align]سپس فایل را ذخیره نموده و با دستور اجرا که در بالا اشاره شد، آن را اجرا نمایید.
 
در ادامه، با انجام یک تست، کارایی این اسکریپت را خواهیم سنجید.[align=center]تست اسکریپت

[/align]اسکریپت های عمده ای که برای انجام حملات DoS/DDoS استفاده می شوند شامل موارد زیر است :

1. HOIC (High Orbit Ion Canon)
2. LOIC ( Low Orbit Ion Canon)
3. XOIC
4. R-U-DEAD-Yet
5. Pyloris
6. OWASP DOS HTTP Post
7. GoldenEye HTTP Denial of Service Tool
8. Slowloris HTTP Dos
9. HULK

ما میخواهیم توسط ابزار Hulk، کارایی اسکریپت DDoS Deflate را مورد سنجش قرار دهیم.
اسکریپت Hulk را اجرا نموده و حمله را آغاز می نماییم :[align=center]
[/align]

سپس ایمیل خود را که در قسمت تنظیمات وارد نموده بودیم را بررسی می کنیم :[align=center]





[/align]
گزارش بلاک شدن IP خاطی برای ما ایمیل شده است.
برای اطمینان از این امر، با دستور زیر، می توانیم IP مورد نظر را در بلاک لیست IPTables نیز پیدا کنیم :

iptables –L -n

 [align=center]
[/align]


شما دوستان عزیز میتوانید جهت دسترسی داشتن به این مطلب در قالب یک فایل، از فایل pdf زیر استفاده نمایید :

http://iranhack.com/dl/dos_deflate.pdf

با آرزوی موفقیت
گروه تحقیقاتی و امنیتی ایران هک[/align]