[HaBo]

Night · 31.07.09, 02:13

Hallo an alle die sich da besser auskennen als ich ( Anungslos)

Ich habe da ein massives Problem mit meinen server ( angemieter)
Ich habe ein kleines aber feines Board ( gehabt), das wird momentan lahmgelegt von DDoS attacken .
habe das Board von der com. domäne geändert in eine org.domäne aber 12stunden später war es erneut lahmgelegt.

Bin also momentan echt ratlos was ich machen kann möchte den Server nicht wechseln wobei mir heute gesagt wurde das das eh nicht viel bringen würde wenn der neue anbieter keinen Hardware Firewall hat wie dervon proserver also doppelt so teuer wie ein server von server4you ca 120? was mit da echt zuteuer währe für mein kleines hobby.

Also ist hier auf dem board jemand wo mir helfen kann währe sehr dankbar .

Das einzige was ich rausbekommen habe das die meisten IPs aus russland gekommen sind wohl ehr aber durch einen proxi aber konnte auch 3 de ips aus deutschland mit t-online nummer sicherstellen.

Biete helft mir möchte mein board nicht schlissen wollen was ich tun müsste wenn ich keine lösung finde die ich bezahlen kann .

**bitmuncher** · 31.07.09, 03:17

Zuerstmal solltest du dies hier mal lesen.
Oder das ganze etwas ausfuehrlicher in meinem Blog. Dann die notwendigen Konsequenzen daraus ziehen und dein Board auf einen Webspace umziehen. Man braucht keinen eigenen Server um ein Forum zu betreiben.

Solltest du dazu nicht bereit sein, solltest du dir die unter http://bitmuncher.blog.de/2009/03/15...under-5757904/ dargestellten Themen aneignen.

Und solltest du tatsaechlich Hilfe wollen, solltest du ein paar Infos mehr zu deinem Server geben. Welches System? Wie an's Netz angebunden? Welcher Dienst steht unter DDoS? Welche Software verwendet dieser Dienst? Wie wirkt sich der DDoS aus? Warum laesst du nicht einfach die Pakete der Angreifer von der Firewall droppen? Hast du Source-Adress-Verification aktiviert? Ist der TCP-SYN-Cookie-Schutz angeschaltet? Ist dein System auf dem aktuellsten Stand? usw. usf.

Anzeige

- Anzeige -

GregorSamsa · 31.07.09, 03:26

Um es schnell zu machen: ist das ein BotNet oder nur einige wenige feste IP's? In letzterem Fall würde ein IP-Ban helfen.

Und wozu brauchst du bei einem Board einen eigenen Server? Zieh auf nen einfachen Webspace um.

Night · 31.07.09, 12:10

@bitmuncher

Ich bin nicht der server admin sondern nur der boardbetreiber.

Ein Paarfragen kann ich aber denoch beantworten .

System Linux mit IPTable Firewall
DoS Deflate ist installiert aber ohne wirkung
Wir Arbeiten mit dem Parallel Plesk Panal 9.2

Hatten versucht Apache ist aber nicht so einfach da wir plask verwenden.
Mehr infos sobald ich heute abend mit dem server Admin gesprochen habe.sorry

Auswirkung von DDoS

Es werden soviele anfragen auf die indexseite unserer domäne abgeschickt das der server Lahm gelegt wird und zusammenbricht.

Das einzige was ich noch hjabe ist der IP auszug aber den kann ich hier nicht posten datenschutz sag ich mal .

edit: Für ein Webspace ist dann doch mein Board etwas zugross benötige einen server

**xeno** · 31.07.09, 12:14

dann würd ich schonmal die index seite durch eine statische ersetzen, nimmt last vom server.

**bitmuncher** · 31.07.09, 12:34

Zitat:

Original von Night
edit: Für ein Webspace ist dann doch mein Board etwas zugross benötige einen server

Du wirst mit einem einzelnen Server ziemlich sicher nicht die Leistung zusammenbekommen, die ein Webspace-Anbieter mit einem Web-Cluster zustande bringt.

**lightsaver** · 31.07.09, 13:09

Zitat:

Original von bitmuncher

Zitat:

Original von Night
edit: Für ein Webspace ist dann doch mein Board etwas zugross benötige einen server

Du wirst mit einem einzelnen Server ziemlich sicher nicht die Leistung zusammenbekommen, die ein Webspace-Anbieter mit einem Web-Cluster zustande bringt.

Ich vermute, er will damit nicht auf Rechenleistung oder die Anbindung ans Internet hinaus, sondern eher auf Speicherplatzbeschränkungen

@Night:

Wieso hast du dich eigentlich noch nicht zu dem Tip geäußert, die Pakete zu droppen?
Du erwähnst zwar Dos-Deflate, aber wenn es immer wieder die gleichen IPs sind, kannst du das ja erstmal per Hand mit iptables machen. Und ich habe mir mal kurz ne Anleitung zu Dos-Deflate angesehen. Da wird erwähnt, dass es APF benötigt, ist das auch korrekt installiert?

Night · 31.07.09, 13:26

Hallo xeno
Werde das mal testen wenn es mein Serveradim noch nicht versucht hatte.

Und das mit dem webspace kann ich mir immer noch überlegen wenn alles ander nichts bringt.
Habe eben mal nach einen webspace geschaut stimmt die sind bedeutend künstiger also ein Rootserver aber momentan nicht mein problem.

Ok mein Board ist ca 7gb gross und der rest ist frei .
Traffik habe ich unbegrenz also nicht wichtig

Der Server ist nicht mir habe nur ein teilstück angemietet , 100gb habe ich davon

@lightsaver

Ich werde alle tips meinen server admin geben , er ist aber erst abends erreichbar und kennt sich da auch besser aus als ich.
Und werde natürlich hier bescheidgeben ob man damit erfolg hatte oder nicht.
Ich habe nur einen Kunden zugriff und kein Admin zugriff so das ich da nichts gross machen kann, muss auch dazusagen das ich nicht mal wissen würde was ich genau mache

Mein techniker wird aber alle eure tips bearbeiten und mitteilen .

**bitmuncher** · 31.07.09, 14:03

Du solltest dringend deinen "Techniker"/Admin wechseln, wenn der noch nichtmal in der Lage ist ein paar IPs auszusperren.

**Chromatin** · 31.07.09, 14:36

Zitat:

Du solltest dringend deinen "Techniker"/Admin wechseln, wenn der noch nichtmal in der Lage ist ein paar IPs auszusperren.

$goldencash.tld

Viel spass beim Blocken

Ausserdem besteht die moeglichkeit eines Angriffs mittels slowloris
Da reicht ein popeliger ADSL Account.

@Night
Du hast keinen Admin, sondern wohl eher einen "Kumpel", der sich um die Kiste kuemmert, nehme ich an.
Es gibt hier sicherlich ein paar Leute die du moeglicherweise telefonisch erreichen kannst und helfen koennen.

**bitmuncher** · 31.07.09, 14:47

Mir ist durchaus klar, dass es Moeglichkeiten gibt, die schwer zu blocken sind, aber so wie das bisher hier klang, koennen ja spezifische IPs ausgemacht werden. Ansonsten schaffen aber auch mod_security und mod_evasive zumeist Abhilfe.

Night · 31.07.09, 18:07

Also es geht hier nicht um einfache IP ausperrung
hatte beim ersten mal mehr als 1000 russische IPs die mein Board lahmgelegt hatten beim 2ten man als ich die Donäne äderte konnte ich 3 de IPs ausfindig machen unter den ganzen andern also geht es nicht um 3 ips die hätten wirbestimmt schon ausgesperrt.

mod_security und mod_evasive haben keine abhilfe gebracht , hatten wir auch zuerst darn gedacht aber die sperren ips die mehrfach vorkommen nicht einzelne die nur 1-3 mal vorkommen, die masse macht es in dem fall.

Und ich denke schon das mein Techadmin ahnung hat wie er was macht

**bitmuncher** · 31.07.09, 18:33

Na so langsam bekommen wir ja ein paar Infos zusammen.

Die meisten DDoS dieser Art kommen erfahrungsgemaess aus einem oder wenigen Netzwerken. Du solltest also erstmal rausbekommen welche(s) Netzwerk(e) das hauptsaechlich sind:

Code:

netstat -lpn|grep :80|awk '{print $5}'|sort

Dann einfach das komplette Netzwerk mittels iptables aussperren. Dann sollte man mal schauen, ob die Rechner, die am DDoS beteiligt sind eine bestimmte Browser-Kennung mitsenden. Bots von Bot-Netzwerken nutzen nur selten echte Browser-Kennungen oder immer die gleiche. Damit kann man dann z.B. mittels Apache die Kennung sperren. Eine gute Default-Grundlage bietet z.B. die folgende Liste:

Code:

        BrowserMatchNoCase ^Accoona blockAccess
        BrowserMatchNoCase ^ActiveAgent blockAccess
        BrowserMatchNoCase ^Attache blockAccess
        BrowserMatchNoCase BecomeBot blockAccess
        BrowserMatchNoCase ^bot blockAccess
        BrowserMatchNoCase Charlotte/ blockAccess
        BrowserMatchNoCase ^ConveraCrawler blockAccess
        BrowserMatchNoCase ^CrownPeak-HttpAgent blockAccess
        BrowserMatchNoCase ^EmailCollector blockAccess
        BrowserMatchNoCase ^EmailSiphon blockAccess
        BrowserMatchNoCase ^e-SocietyRobot blockAccess
        BrowserMatchNoCase ^Exabot blockAccess
        BrowserMatchNoCase ^FAST blockAccess
        BrowserMatchNoCase ^FDM blockAccess
        BrowserMatchNoCase ^GetRight/6.0a blockAccess
        BrowserMatchNoCase ^GetWebPics blockAccess
        BrowserMatchNoCase ^Gigabot blockAccess
        BrowserMatchNoCase ^gonzo1 blockAccess
        BrowserMatchNoCase ^Google\sSpider blockAccess
        BrowserMatchNoCase ^ichiro blockAccess
        BrowserMatchNoCase ^ie_crawler blockAccess
        BrowserMatchNoCase ^iGetter blockAccess
        BrowserMatchNoCase ^IRLbot blockAccess
        BrowserMatchNoCase Jakarta blockAccess
        BrowserMatchNoCase ^Java blockAccess
        BrowserMatchNoCase ^KrakSpider blockAccess
        BrowserMatchNoCase ^larbin blockAccess
        BrowserMatchNoCase ^LeechGet blockAccess
        BrowserMatchNoCase ^LinkWalker blockAccess
        BrowserMatchNoCase ^Lsearch blockAccess
        BrowserMatchNoCase ^Microsoft blockAccess
        BrowserMatchNoCase ^MJ12bot blockAccess
        BrowserMatchNoCase MSIECrawler blockAccess
        BrowserMatchNoCase ^MSRBOT blockAccess
        BrowserMatchNoCase ^noxtrumbot blockAccess
        BrowserMatchNoCase ^NutchCVS blockAccess
        BrowserMatchNoCase ^RealDownload blockAccess
        BrowserMatchNoCase ^Rome blockAccess
        BrowserMatchNoCase ^Roverbot blockAccess
        BrowserMatchNoCase ^schibstedsokbot blockAccess
        BrowserMatchNoCase ^Seekbot blockAccess
        BrowserMatchNoCase ^SiteSnagger blockAccess
        BrowserMatchNoCase ^SiteSucker blockAccess
        BrowserMatchNoCase ^Snapbot blockAccess
        BrowserMatchNoCase ^sogou blockAccess
        BrowserMatchNoCase ^SpiderKU blockAccess
        BrowserMatchNoCase ^SpiderMan blockAccess
        BrowserMatchNoCase ^Squid blockAccess
        BrowserMatchNoCase ^Teleport blockAccess
        BrowserMatchNoCase ^User-Agent\: blockAccess
        BrowserMatchNoCase VoilaBot blockAccess
        BrowserMatchNoCase ^voyager blockAccess
        BrowserMatchNoCase ^W3C blockAccess
        BrowserMatchNoCase ^w3search blockAccess
        BrowserMatchNoCase ^Web\sDownloader blockAccess
        BrowserMatchNoCase ^WebCopier blockAccess
        BrowserMatchNoCase ^WebDevil blockAccess
        BrowserMatchNoCase ^WebSec blockAccess
        BrowserMatchNoCase ^WebVac blockAccess
        BrowserMatchNoCase ^Webwhacker blockAccess
        BrowserMatchNoCase ^Webzip blockAccess
        BrowserMatchNoCase ^Wells blockAccess
        BrowserMatchNoCase ^WhoWhere blockAccess
        BrowserMatchNoCase www\.netforex\.org blockAccess
        BrowserMatchNoCase ^WX_mail blockAccess
        BrowserMatchNoCase ^yacybot blockAccess
        BrowserMatchNoCase ^ZIBB blockAccess
        BrowserMatchNoCase ^$ blockAccess
        BrowserMatchNoCase ^Accoona blockAccess
        BrowserMatchNoCase ^ActiveAgent blockAccess
        BrowserMatchNoCase ^Attache blockAccess
        BrowserMatchNoCase BecomeBot blockAccess
        BrowserMatchNoCase ^bot blockAccess
        BrowserMatchNoCase Charlotte/ blockAccess
        BrowserMatchNoCase ^ConveraCrawler blockAccess
        BrowserMatchNoCase ^CrownPeak-HttpAgent blockAccess
        BrowserMatchNoCase ^EmailCollector blockAccess
        BrowserMatchNoCase ^EmailSiphon blockAccess
        BrowserMatchNoCase ^e-SocietyRobot blockAccess
        BrowserMatchNoCase ^Exabot blockAccess
        BrowserMatchNoCase ^FAST blockAccess
        BrowserMatchNoCase ^FDM blockAccess
        BrowserMatchNoCase ^GetRight/6.0a blockAccess
        BrowserMatchNoCase ^GetWebPics blockAccess
        BrowserMatchNoCase ^Gigabot blockAccess
        BrowserMatchNoCase ^gonzo1 blockAccess
        BrowserMatchNoCase ^Google\sSpider blockAccess
        BrowserMatchNoCase ^ichiro blockAccess
        BrowserMatchNoCase ^ie_crawler blockAccess
        BrowserMatchNoCase ^iGetter blockAccess
        BrowserMatchNoCase ^IRLbot blockAccess
        BrowserMatchNoCase Jakarta blockAccess
        BrowserMatchNoCase ^Java blockAccess
        BrowserMatchNoCase ^KrakSpider blockAccess
        BrowserMatchNoCase ^larbin blockAccess
        BrowserMatchNoCase ^LeechGet blockAccess
        BrowserMatchNoCase ^LinkWalker blockAccess
        BrowserMatchNoCase ^Lsearch blockAccess
        BrowserMatchNoCase ^Microsoft blockAccess
        BrowserMatchNoCase ^MJ12bot blockAccess
        BrowserMatchNoCase MSIECrawler blockAccess
        BrowserMatchNoCase ^MSRBOT blockAccess
        BrowserMatchNoCase ^noxtrumbot blockAccess
        BrowserMatchNoCase ^NutchCVS blockAccess
        BrowserMatchNoCase ^RealDownload blockAccess
        BrowserMatchNoCase ^Rome blockAccess
        BrowserMatchNoCase ^Roverbot blockAccess
        BrowserMatchNoCase ^schibstedsokbot blockAccess
        BrowserMatchNoCase ^Seekbot blockAccess
        BrowserMatchNoCase ^SiteSnagger blockAccess
        BrowserMatchNoCase ^SiteSucker blockAccess
        BrowserMatchNoCase ^Snapbot blockAccess
        BrowserMatchNoCase ^sogou blockAccess
        BrowserMatchNoCase ^SpiderKU blockAccess
        BrowserMatchNoCase ^SpiderMan blockAccess
        BrowserMatchNoCase ^Squid blockAccess
        BrowserMatchNoCase ^Teleport blockAccess
        BrowserMatchNoCase ^User-Agent\: blockAccess
        BrowserMatchNoCase VoilaBot blockAccess
        BrowserMatchNoCase ^voyager blockAccess
        BrowserMatchNoCase ^W3C blockAccess
        BrowserMatchNoCase ^w3search blockAccess
        BrowserMatchNoCase ^Web\sDownloader blockAccess
        BrowserMatchNoCase ^WebCopier blockAccess
        BrowserMatchNoCase ^WebDevil blockAccess
        BrowserMatchNoCase ^WebSec blockAccess
        BrowserMatchNoCase ^WebVac blockAccess
        BrowserMatchNoCase ^Webwhacker blockAccess
        BrowserMatchNoCase ^Webzip blockAccess
        BrowserMatchNoCase ^Wells blockAccess
        BrowserMatchNoCase ^WhoWhere blockAccess
        BrowserMatchNoCase www\.netforex\.org blockAccess
        BrowserMatchNoCase ^WX_mail blockAccess
        BrowserMatchNoCase ^yacybot blockAccess
        BrowserMatchNoCase ^ZIBB blockAccess
        BrowserMatchNoCase ^$ blockAccess

Da sind noch ein paar Spider dabei. Kannst du ja aussortieren.

Unter http://www.rfxn.com/projects/ findest du auch noch ein paar Projekte, die bei der Analyse und der Unterbindung des Angriffs helfen koennen. Speziell APF ist da einen Blick wert. Und natuerlich die oben bereits erwaehnten Standards einschalten...Source Address Verification, TCP SYN Cookie Protection, RST-Pakete senden und die Anzahl der erlaubten SYN-Retries runtersetzen:

Code:

echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo 1 > /proc/sys/net/ipv4/tcp_abort_on_overflow
echo 3 > /proc/sys/net/ipv4/tcp_syn_retries

Night · 01.08.09, 20:14

Hallo da bin ich wieder,
Hatten die IPs einzelgespert und alle stämme .
Danach das Board wieder online gestellt ist auch sehr gut gelaufen 12stunden lang heute im laufe des nachmittags ist es wieder zusammen gebrochen .
Alle versuche sind nur von kurzer dauer , bannen wir eine Ip kommen 5 neue nach die server anfragen sind immer andere ob aus DE oder Ru immer wieder werden wir lahmgelegt .
Mein Techadmin ( auch mein Provider / hat einen eigenen server zuhaus )ist langsam ratlos was er noch tun kann.

Habe meinen techniker den rat gegeben hier um hilfe über meinen Nick zuhollen habe die hoffnung das er euch besser sagen kann was er genau gemacht hat und was er alles für software hardwera usw hat genauso was er genau festgestellt hat .

Die ganze nacht um die ohrengeschlagen um 12 stunden später wir down zusein ist echt sehr hart

update

es wird diese datei "Domaine/wbb2/index.php" von so vielen anfragen überschüttet das der server diese nicht mehr verarbeiten kann und die dienste dadurch versagen...mysql und der apache

wenn die domaine in plesk gesperrt wird ist wieder alles in ordnung mit dem server...

mod_avasive lässt sich nicht richtig nutzen weil die dienste alle von plesk installt sind und da dort noch einige andere boards drauf laufen die nicht verlegt werden können ist es schlecht wenn die dienste gänzlich versagen....

der server wurde in punkto performens der dienste mysql und apache ein wenig eingestellt

diese abfrage

Code:

netstat -lpn|grep :80|awk '{print $5}'|sort

brachte diese antwort

Code:

0.0.0.0:*

hier mal ein beispiel vom logauszug aus plesk

Code:

88.76.154.*** - - [30/Jul/2009:12:27:53 +0200] "GET /wbb2/index.php HTTP/1.1" 200 32614 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.1.1) Gecko/20061204 Firefox/2.0.0.1"

**bitmuncher** · 01.08.09, 20:41

Admin-Alltag ist nunmal nicht immer leicht. Aber waere schon wichtig mal genauer zu hoeren, was nun alles schon versucht wurde und was nicht und mit welchen Mitteln, um spezifischer helfen zu koennen. Erfahrungsgemaess zeigt fast jeder DDoS-Angriff eine spezifische Eigenheit, anhand der man ihn dann zumeist unter Kontrolle bekommt. Wenn sich da aber jemand soviel Muehe macht ein einziges Forum anzugreifen, muss es entweder sehr wichtig sein, oder ihr seid dem Falschen auf die Fuesse getreten.

Anzeige

- Anzeige -

31.07.09, 02:13	#1 (permalink)
Night Registriert seit: 31.07.09 Likes: 0	Brauche Hilfe bei DDOs Attacken Anzeige Hallo an alle die sich da besser auskennen als ich ( Anungslos) Ich habe da ein massives Problem mit meinen server ( angemieter) Ich habe ein kleines aber feines Board ( gehabt), das wird momentan lahmgelegt von DDoS attacken . habe das Board von der com. domäne geändert in eine org.domäne aber 12stunden später war es erneut lahmgelegt. Bin also momentan echt ratlos was ich machen kann möchte den Server nicht wechseln wobei mir heute gesagt wurde das das eh nicht viel bringen würde wenn der neue anbieter keinen Hardware Firewall hat wie dervon proserver also doppelt so teuer wie ein server von server4you ca 120? was mit da echt zuteuer währe für mein kleines hobby. Also ist hier auf dem board jemand wo mir helfen kann währe sehr dankbar . Das einzige was ich rausbekommen habe das die meisten IPs aus russland gekommen sind wohl ehr aber durch einen proxi aber konnte auch 3 de ips aus deutschland mit t-online nummer sicherstellen. Biete helft mir möchte mein board nicht schlissen wollen was ich tun müsste wenn ich keine lösung finde die ich bezahlen kann .

31.07.09, 03:17	#2 (permalink)
bitmuncher Moderator Registriert seit: 30.09.06 Likes: 443	Zuerstmal solltest du dies hier mal lesen. Oder das ganze etwas ausfuehrlicher in meinem Blog. Dann die notwendigen Konsequenzen daraus ziehen und dein Board auf einen Webspace umziehen. Man braucht keinen eigenen Server um ein Forum zu betreiben. Solltest du dazu nicht bereit sein, solltest du dir die unter http://bitmuncher.blog.de/2009/03/15...under-5757904/ dargestellten Themen aneignen. Und solltest du tatsaechlich Hilfe wollen, solltest du ein paar Infos mehr zu deinem Server geben. Welches System? Wie an's Netz angebunden? Welcher Dienst steht unter DDoS? Welche Software verwendet dieser Dienst? Wie wirkt sich der DDoS aus? Warum laesst du nicht einfach die Pakete der Angreifer von der Firewall droppen? Hast du Source-Adress-Verification aktiviert? Ist der TCP-SYN-Cookie-Schutz angeschaltet? Ist dein System auf dem aktuellsten Stand? usw. usf. __________________ Mein Blog - Mein Job - Diaspora Der Ring uns zu knechten besteht aus 12 Sternen auf blauem Grund. Neue Beiträge im Habo via Twitter - Das HaBo auf FB - Das HaBo bei G+

31.07.09, 12:14	#5 (permalink)
xeno Moderator Registriert seit: 09.09.04 Likes: 76	dann würd ich schonmal die index seite durch eine statische ersetzen, nimmt last vom server. __________________ http://www.thehappy.de/~xeno/ http://www.blogthon.de/

31.07.09, 14:03	#9 (permalink)
bitmuncher Moderator Registriert seit: 30.09.06 Likes: 443	Du solltest dringend deinen "Techniker"/Admin wechseln, wenn der noch nichtmal in der Lage ist ein paar IPs auszusperren. __________________ Mein Blog - Mein Job - Diaspora Der Ring uns zu knechten besteht aus 12 Sternen auf blauem Grund. Neue Beiträge im Habo via Twitter - Das HaBo auf FB - Das HaBo bei G+

31.07.09, 14:47	#11 (permalink)
bitmuncher Moderator Registriert seit: 30.09.06 Likes: 443	Mir ist durchaus klar, dass es Moeglichkeiten gibt, die schwer zu blocken sind, aber so wie das bisher hier klang, koennen ja spezifische IPs ausgemacht werden. Ansonsten schaffen aber auch mod_security und mod_evasive zumeist Abhilfe. __________________ Mein Blog - Mein Job - Diaspora Der Ring uns zu knechten besteht aus 12 Sternen auf blauem Grund. Neue Beiträge im Habo via Twitter - Das HaBo auf FB - Das HaBo bei G+

31.07.09, 03:26	#3 (permalink)
GregorSamsa Registriert seit: 19.07.09 Likes: 0	Um es schnell zu machen: ist das ein BotNet oder nur einige wenige feste IP's? In letzterem Fall würde ein IP-Ban helfen. Und wozu brauchst du bei einem Board einen eigenen Server? Zieh auf nen einfachen Webspace um.

31.07.09, 12:10	#4 (permalink)
Night Themenstarter Registriert seit: 31.07.09 Likes: 0	@bitmuncher Ich bin nicht der server admin sondern nur der boardbetreiber. Ein Paarfragen kann ich aber denoch beantworten . System Linux mit IPTable Firewall DoS Deflate ist installiert aber ohne wirkung Wir Arbeiten mit dem Parallel Plesk Panal 9.2 Hatten versucht Apache ist aber nicht so einfach da wir plask verwenden. Mehr infos sobald ich heute abend mit dem server Admin gesprochen habe.sorry Auswirkung von DDoS Es werden soviele anfragen auf die indexseite unserer domäne abgeschickt das der server Lahm gelegt wird und zusammenbricht. Das einzige was ich noch hjabe ist der IP auszug aber den kann ich hier nicht posten datenschutz sag ich mal . edit: Für ein Webspace ist dann doch mein Board etwas zugross benötige einen server

31.07.09, 13:26	#8 (permalink)
Night Themenstarter Registriert seit: 31.07.09 Likes: 0	Hallo xeno Werde das mal testen wenn es mein Serveradim noch nicht versucht hatte. Und das mit dem webspace kann ich mir immer noch überlegen wenn alles ander nichts bringt. Habe eben mal nach einen webspace geschaut stimmt die sind bedeutend künstiger also ein Rootserver aber momentan nicht mein problem. Ok mein Board ist ca 7gb gross und der rest ist frei . Traffik habe ich unbegrenz also nicht wichtig Der Server ist nicht mir habe nur ein teilstück angemietet , 100gb habe ich davon @lightsaver Ich werde alle tips meinen server admin geben , er ist aber erst abends erreichbar und kennt sich da auch besser aus als ich. Und werde natürlich hier bescheidgeben ob man damit erfolg hatte oder nicht. Ich habe nur einen Kunden zugriff und kein Admin zugriff so das ich da nichts gross machen kann, muss auch dazusagen das ich nicht mal wissen würde was ich genau mache Mein techniker wird aber alle eure tips bearbeiten und mitteilen .

31.07.09, 18:07	#12 (permalink)
Night Themenstarter Registriert seit: 31.07.09 Likes: 0	Also es geht hier nicht um einfache IP ausperrung hatte beim ersten mal mehr als 1000 russische IPs die mein Board lahmgelegt hatten beim 2ten man als ich die Donäne äderte konnte ich 3 de IPs ausfindig machen unter den ganzen andern also geht es nicht um 3 ips die hätten wirbestimmt schon ausgesperrt. mod_security und mod_evasive haben keine abhilfe gebracht , hatten wir auch zuerst darn gedacht aber die sperren ips die mehrfach vorkommen nicht einzelne die nur 1-3 mal vorkommen, die masse macht es in dem fall. Und ich denke schon das mein Techadmin ahnung hat wie er was macht

01.08.09, 20:14	#14 (permalink)
Night Themenstarter Registriert seit: 31.07.09 Likes: 0	Hallo da bin ich wieder, Hatten die IPs einzelgespert und alle stämme . Danach das Board wieder online gestellt ist auch sehr gut gelaufen 12stunden lang heute im laufe des nachmittags ist es wieder zusammen gebrochen . Alle versuche sind nur von kurzer dauer , bannen wir eine Ip kommen 5 neue nach die server anfragen sind immer andere ob aus DE oder Ru immer wieder werden wir lahmgelegt . Mein Techadmin ( auch mein Provider / hat einen eigenen server zuhaus )ist langsam ratlos was er noch tun kann. Habe meinen techniker den rat gegeben hier um hilfe über meinen Nick zuhollen habe die hoffnung das er euch besser sagen kann was er genau gemacht hat und was er alles für software hardwera usw hat genauso was er genau festgestellt hat . Die ganze nacht um die ohrengeschlagen um 12 stunden später wir down zusein ist echt sehr hart update es wird diese datei "Domaine/wbb2/index.php" von so vielen anfragen überschüttet das der server diese nicht mehr verarbeiten kann und die dienste dadurch versagen...mysql und der apache wenn die domaine in plesk gesperrt wird ist wieder alles in ordnung mit dem server... mod_avasive lässt sich nicht richtig nutzen weil die dienste alle von plesk installt sind und da dort noch einige andere boards drauf laufen die nicht verlegt werden können ist es schlecht wenn die dienste gänzlich versagen.... der server wurde in punkto performens der dienste mysql und apache ein wenig eingestellt diese abfrage Code: netstat -lpn\|grep :80\|awk '{print $5}'\|sort brachte diese antwort Code: 0.0.0.0:* hier mal ein beispiel vom logauszug aus plesk Code: 88.76.154.*** - - [30/Jul/2009:12:27:53 +0200] "GET /wbb2/index.php HTTP/1.1" 200 32614 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.1.1) Gecko/20061204 Firefox/2.0.0.1"

01.08.09, 20:41	#15 (permalink)
bitmuncher Moderator Registriert seit: 30.09.06 Likes: 443	Admin-Alltag ist nunmal nicht immer leicht. Aber waere schon wichtig mal genauer zu hoeren, was nun alles schon versucht wurde und was nicht und mit welchen Mitteln, um spezifischer helfen zu koennen. Erfahrungsgemaess zeigt fast jeder DDoS-Angriff eine spezifische Eigenheit, anhand der man ihn dann zumeist unter Kontrolle bekommt. Wenn sich da aber jemand soviel Muehe macht ein einziges Forum anzugreifen, muss es entweder sehr wichtig sein, oder ihr seid dem Falschen auf die Fuesse getreten. __________________ Mein Blog - Mein Job - Diaspora Der Ring uns zu knechten besteht aus 12 Sternen auf blauem Grund. Neue Beiträge im Habo via Twitter - Das HaBo auf FB - Das HaBo bei G+

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
brauche hilfe	you511	WLAN-Zone	7	01.02.09 23:56
Brauche Hilfe	Lami12	(In)security allgemein	2	16.05.05 12:24
CLI.exe, DDoS attacken und andere Probs!	ImMoRtaL	Die Problemzone	2	05.02.05 16:08
C#?? Brauche Hilfe!	Grille	(In)security allgemein	15	20.02.04 17:54

[HaBo]

Brauche Hilfe bei DDOs Attacken