4

質問があります。この小さなスクリプトを作成して、特定の IP が Web サイトにフラッディングしているかどうかを確認しました。その場合、.htaccess ファイルで IP を拒否します。私の質問は、このスクリプトがまったく役に立たないか、試してみる価値があるかどうか誰か教えてもらえますか...スクリプトは構成ファイルで呼び出されるため、すべてのページロードで実行されます。

<?php
#get the visitor ip
$ip = $_SERVER["REMOTE_ADDR"];

#start the session
@session_start();

#check if the ip is banned
if( $_SESSION['~b'] ){

#check if we can open htaccess
$fp = @fopen('./.htaccess','a'); 
    if($fp){
        #add the ip to htaccess
        @fwrite($fp,"\r\ndeny from $ip"); 
        #close
        @fclose($fp);
        #destroy the session
        @session_destroy();
        @mail("my-email","IP Banned","Ip: $ip");
    }
    #let the user know why we deny him or her access
    die('To many requests.');
    }
#get the filename and location
$f = './log/'.@ip2long($ip);

#check if the file exists
if ( @is_file($f) ) {
        #get the last filetime
        $a = @filemtime($f);
        #touch the file, give a new filetime
        @touch($f,time());
        #the ip is not banned
        $_SESSION['~b']  = false;
        #add the time diff
        $_SESSION['~r'] += @time()-$a;
        #add the latest hit
        $_SESSION['~h'] += 1;
    }else{
        #create the file if it doesn't exist
        @file_put_contents($f,''); #size: 0kb
        #if touch() doesn't work
        #chmod($ipfile,0755); 
    }

#calculate the diff after 10 hits, and ban when the avg is smaller than 0.25 seconds
if( $_SESSION['~h'] > 10 && ($_SESSION['~r']/$_SESSION['~h']) < 0.25 ) $_SESSION['~b'] = true;
?>

セッションを回避するためのアドバイスに従っただけなので、Cookie とセッションに依存することなく、ファイル ベースにしました。

<?php
# get the visitor ip
$i = $_SERVER["REMOTE_ADDR"];
# get the filename and location
$f = './log/'.ip2long($i).'.dat';
# check if the file exists and we can write
if ( is_file($f) ) {
    # get the last filetime
    $a = filemtime($f);
    # get the file content
    $b = file_get_contents($f);
    # create array from hits & seconds
    $d = explode(':',$b);
    # calculate the new result
    $h = (int)$d[0] + 1;
    $s = (int)$d[1] + (time()-$a);  
    # add the new data tot text file
    file_put_contents($f,"$h:$s",LOCK_EX);
    unset($d);
}else{
    # create the file if it doesn't exist hits:seconds
    file_put_contents($f,"1:1",LOCK_EX); #size: 3kb
    # to make sure we can write
    # chmod($f,0755); 
    # set the hits to zero
    $h = 0;
}
# create a result var
$r = $h > 10 ? (float)$s/$h : (float)1;
# calculate the diff after 10 hits, and ban when the avg is smaller than 0.20 seconds (5 hits per second)
if( $r < 0.20 ) {
    # check if we can open htaccess
    $fp = @fopen('./.htaccess','a'); 
    if($fp){
        # add the ip to htaccess
        @fwrite($fp,"\r\ndeny from $i"); 
        # close
        @fclose($fp);
        # mail the admin
        @mail("email","IP Banned","Ip: $i with $r sbh (Seconds Between Hits)");
    }
    # let the user know why we deny him or her access
    die('To many requests.');
    # remove the file
    unlink($f);
}
# if the user leaves, reset
if( $r > 30 ) {
    unlink($f);
}
echo 'Result: '.$r.'sbh (Seconds Between Hits)';
?>
4

4 に答える 4

3

カジュアルなユーザーが一定時間内にあまりにも多くのリクエストを送信するのを止めたい場合は、はい、スクリプトが機能する可能性があります. キャッチチャ画面を表示すれば、あなたは商売です。

しかし

本当の答えはノーです。

このコードの主な間違いは、ユーザーのアクティビティの頻度を決定するためにセッションに依存していることです。「善良な」攻撃者は、Cookie を無効にしたリクエストでサーバーをあふれさせたり、自分の IP をスプーフィングしたりできます。

攻撃を阻止する 1 つの方法は、サーバー レベルに移動して iptables をインストールすることです。実際、iptables はほとんどの Linux ディストリビューションに同梱されています。構成はほとんど必要なく、すぐに使用できます。

サーバーへの root アクセス権がある場合、別の方法は、セッション処理を Memcached に移動することです。かなりBOSSなフラッドコントロールという機能を持っています。

DDOS を防ぐもう 1 つのルートは、blockdos http://www.blockdos.net/などのサードパーティ サービスからのものです 。

ちょっと高価ですが、それはあなたのために働くことができます.

しかし、PHP 自体は、DDOS 攻撃を処理するように構成することはできません。PHP スクリプトに進む前に、すべてのリクエストの前にある種のアプライアンスまたはファイアウォールを配置して、精査する必要があります。

于 2012-12-30T01:36:12.903 に答える
0

私の2セント。ただし、正当なユーザーがWebサイトにアクセスするのを阻止してしまう可能性があるのは良い考えです。また、Googleボットなどのボットでも問題が発生します。そういうものとして、私は注意するでしょう。おそらく、ユーザーエージェントも確認し、それがGoogleとして表示された場合は、他の条件に関係なく許可します。もちろん、これは悪意のあるユーザーに新しい穴を開きます。通常、このようなことは、PHPコードではなくWebサーバーで行われます。別のアプローチはトークンシステムです。とは言うものの、さらに洗練されれば、あなたは自分のアプローチで何かに取り組むことができると思います。

また、複数の迅速なリクエストに対する.htaccessまたはPHP保護コードを見たことがありますか?これは、あなたが設計しているものが以前に試されたことがあることを示唆しています。これは、おそらく正しい方向に向かっていることを示しています。

于 2012-12-30T00:20:29.450 に答える
0

リクエスト レート ベースの IP ブロッキング ルールを設定して DDoS を軽減すると、次の理由により、常にうまくいきません。

  1. そのようなルールは正当なユーザーに影響を与えます (誤検知)
  2. IP スプーフィングの場合、これがすべてではないにしてもほとんどの攻撃者に対して機能しないことは非常に一般的です。

これは、IPTables にも当てはまります。詳細については、こちらをご覧ください: http://www.incapsula.com/ddos/ddos-protection-service#iptables-ddos-protection

于 2012-12-30T13:13:38.043 に答える