a2s/dos attack saldırı hakkinda

07-05-2017, 19:52:15

Kimlik doğrulama veya yönetimden onay bekliyor.

Merhaba değerli üstadlar,

Uzun yıllardır birçok dc'de Counter-strike sunucuları barındırmaktayız. şuanda cs:go oyunununda turkiyede cok kaliteli sunucular yönetmekteydik. Fakat son haftalar değişik bir saldırı türüyle karşı karşıyayız, siz üstadların hatta dc sahiplerinin bu konuda fikrini almak istiyorum.

Sadecehosting ve DGN dc sinde bulunan sunucularımızda firewall aktif. Fakat bu firewaller bu saldırıyı tespit edememektedirler.

Saldırı şu sekilde gerceklesıyor. Sunucular aslında server tarafında aktif. a2s_info ddos saldırısı gerçekleştiği anda cs:go'nun sunucu listesinde serverlar kapalı olarak gözüküyor. ama server(bizim makine tarafında hepsi aktif gozukuyor.) oyun sunucusunun consoluna baktığımda aşağıdaki şekilde spoof ip'lerde sayısız erişim gozukmektedir.

Alıntı

RejectConnection: 95.12.157.180:52181 - Invalid cross-play platform id

RejectConnection: 88.234.72.49:54156 - Invalid cross-play platform id

RejectConnection: 88.234.72.49:54156 - Invalid cross-play platform id

RejectConnection: 88.234.72.49:54156 - Invalid cross-play platform id

RejectConnection: 212.175.247.213:54770 - Invalid cross-play platform id

RejectConnection: 212.175.247.213:54770 - Invalid cross-play platform id

RejectConnection: 212.175.247.213:54770 - Invalid cross-play platform id

RejectConnection: 78.175.72.197:52419 - Invalid cross-play platform id

RejectConnection: 78.175.72.197:52419 - Invalid cross-play platform id

RejectConnection: 78.175.72.197:52419 - Invalid cross-play platform id

RejectConnection: 78.172.4.116:50429 - Invalid cross-play platform id

RejectConnection: 78.172.4.116:50429 - Invalid cross-play platform id

RejectConnection: 78.172.4.116:50429 - Invalid cross-play platform id

RejectConnection: 78.161.137.115:52763 - Invalid cross-play platform id

RejectConnection: 78.161.137.115:52763 - Invalid cross-play platform id

RejectConnection: 78.161.137.115:52763 - Invalid cross-play platform id

RejectConnection: 78.186.45.220:53088 - Invalid cross-play platform id

RejectConnection: 78.186.45.220:53088 - Invalid cross-play platform id

RejectConnection: 78.186.45.220:53088 - Invalid cross-play platform id

RejectConnection: 88.228.124.107:50020 - Invalid cross-play platform id

RejectConnection: 88.228.124.107:50020 - Invalid cross-play platform id

RejectConnection: 88.228.124.107:50020 - Invalid cross-play platform id

RejectConnection: 78.181.33.1:50580 - Invalid cross-play platform id

RejectConnection: 78.181.33.1:50580 - Invalid cross-play platform id

RejectConnection: 78.181.33.1:50580 - Invalid cross-play platform id

RejectConnection: 78.169.45.234:51709 - Invalid cross-play platform id

RejectConnection: 78.169.45.234:51709 - Invalid cross-play platform id

RejectConnection: 78.169.45.234:51709 - Invalid cross-play platform id

RejectConnection: 88.239.250.220:51354 - Invalid cross-play platform id

RejectConnection: 88.239.250.220:51354 - Invalid cross-play platform id

RejectConnection: 88.239.250.220:51354 - Invalid cross-play platform id

RejectConnection: 88.233.228.202:54971 - Invalid cross-play platform id

RejectConnection: 88.233.228.202:54971 - Invalid cross-play platform id

RejectConnection: 88.233.228.202:54971 - Invalid cross-play platform id

RejectConnection: 81.213.180.177:54334 - Invalid cross-play platform id

RejectConnection: 81.213.180.177:54334 - Invalid cross-play platform id

RejectConnection: 81.213.180.177:54334 - Invalid cross-play platform id

RejectConnection: 88.248.230.39:53671 - Invalid cross-play platform id

RejectConnection: 88.248.230.39:53671 - Invalid cross-play platform id

RejectConnection: 88.248.230.39:53671 - Invalid cross-play platform id

RejectConnection: 78.190.209.222:51210 - Invalid cross-play platform id

RejectConnection: 78.190.209.222:51210 - Invalid cross-play platform id

RejectConnection: 78.190.209.222:51210 - Invalid cross-play platform id

RejectConnection: 212.156.44.215:54022 - Invalid cross-play platform id

RejectConnection: 212.156.44.215:54022 - Invalid cross-play platform id

RejectConnection: 212.156.44.215:54022 - Invalid cross-play platform id

RejectConnection: 88.230.67.125:52358 - Invalid cross-play platform id

RejectConnection: 88.230.67.125:52358 - Invalid cross-play platform id

RejectConnection: 88.230.67.125:52358 - Invalid cross-play platform id

RejectConnection: 95.8.89.118:54705 - Invalid cross-play platform id

RejectConnection: 95.8.89.118:54705 - Invalid cross-play platform id

RejectConnection: 95.8.89.118:54705 - Invalid cross-play platform id

RejectConnection: 88.231.201.132:52180 - Invalid cross-play platform id

RejectConnection: 88.231.201.132:52180 - Invalid cross-play platform id

RejectConnection: 88.231.201.132:52180 - Invalid cross-play platform id

RejectConnection: 95.15.126.48:50273 - Invalid cross-play platform id

RejectConnection: 95.15.126.48:50273 - Invalid cross-play platform id

RejectConnection: 95.15.126.48:50273 - Invalid cross-play platform id

RejectConnection: 95.1.16.142:51938 - Invalid cross-play platform id

RejectConnection: 95.1.16.142:51938 - Invalid cross-play platform id

RejectConnection: 95.1.16.142:51938 - Invalid cross-play platform id

RejectConnection: 88.225.103.31:54567 - Invalid cross-play platform id

RejectConnection: 88.225.103.31:54567 - Invalid cross-play platform id

RejectConnection: 88.225.103.31:54567 - Invalid cross-play platform id

RejectConnection: 78.179.183.204:53014 - Invalid cross-play platform id

RejectConnection: 78.179.183.204:53014 - Invalid cross-play platform id

RejectConnection: 78.179.183.204:53014 - Invalid cross-play platform id

RejectConnection: 78.168.83.253:53992 - Invalid cross-play platform id

RejectConnection: 78.168.83.253:53992 - Invalid cross-play platform id

RejectConnection: 78.168.83.253:53992 - Invalid cross-play platform id

RejectConnection: 78.163.13.180:51131 - Invalid cross-play platform id

RejectConnection: 78.163.13.180:51131 - Invalid cross-play platform id

RejectConnection: 78.163.13.180:51131 - Invalid cross-play platform id

IP rate limit under distributed packet load (2392 buckets, 15307 global count), rejecting 85.111.16.250:50531.

Bu saldırıyı DGN firewall tespit edemiyor, sadecehosting tarafındada durum bu şekilde. cs:go sunucuları down olarak gozukmekte. gelen saldırıyı bir log dosyasında biriktiriyorum.

console_output.log dosyasında bu ipleri yazdırıyorum sonra bu dosyadan

cat console_output.log | grep "RejectConnection" | uniq -u komutu ile saldıran ipleri süzüyorum.

acaba bu ipleri bir script ile iptables ile otomatik banlamanın bir yolu yokmudur ? bunları nasıl engelleyebiliriz.

Saygılarımla.

07-05-2017, 20:27:43

#2

Kaan

Bu sorun dün - bugün mü oluştu yoksa uzun süredir var olan bir durum mu?

07-05-2017, 20:28:59

#3

WASPGENTR

kaantukek adlı üyeden alıntı: mesajı görüntüle

Bu sorun dün - bugün mü oluştu yoksa uzun süredir var olan bir durum mu?

Bu sorun son 1 haftadır başladı hocam.

07-05-2017, 20:34:59

#4

Kaan

WASPGENTR adlı üyeden alıntı: mesajı görüntüle

Bu sorun son 1 haftadır başladı hocam.

Bu tarz paketleri DGN veya Sadecehosting standart firewall ile çözümlemeyemezsiniz. Bu firmalar standart ve güncel büyük atakları bloklayabilir ancak size özel / oyununuza veya yaptığınız işe özel hazırlanmış exploit vb atakları kendinizin bir alt yapı kurarak güncel / gelen ataklar göre bloklamanız gerekmektedir. Bu konuda araştırma yabancı forumlarda araştırma yapmanızı öneririm. Çözümü elbet vardır.

Bizde bu tarz bir sorun yaşadık. Sunucuya bağlanılan paketin birebir aynısı taklit edilerek sunucu işlemcisine yönelik bir atak mevcuttu. Mikrotik ile bu aşamada bir engelleme ile çözümledik. Sizin de bu tarz bir sorun olduğu görünüyor.

Geçmiş olsun

07-05-2017, 20:36:39

#5

WASPGENTR

kaantukek adlı üyeden alıntı: mesajı görüntüle

Bu tarz paketleri DGN veya Sadecehosting standart firewall ile çözümlemeyemezsiniz. Bu firmalar standart ve güncel büyük atakları bloklayabilir ancak size özel / oyununuza veya yaptığınız işe özel hazırlanmış exploit vb atakları kendinizin bir alt yapı kurarak güncel / gelen ataklar göre bloklamanız gerekmektedir. Bu konuda araştırma yabancı forumlarda araştırma yapmanızı öneririm. Çözümü elbet vardır.

Bizde bu tarz bir sorun yaşadık. Sunucuya bağlanılan paketin birebir aynısı taklit edilerek sunucu işlemcisine yönelik bir atak mevcuttu. Mikrotik ile bu aşamada bir engelleme ile çözümledik. Sizin de bu tarz bir sorun olduğu görünüyor.

Geçmiş olsun

1 haftadır gece gündüz yabancı forumlarda bu konu ile denemediğimiz kalmadı. hepsini tek tek gerek windows sunucularda gerek linux sunucularda test ettik ama fayda etmedi, o yuzden son cagre olarak buraya konuyu açtık..

07-05-2017, 23:10:09

#6

Daghan

WASPGENTR adlı üyeden alıntı: mesajı görüntüle

1 haftadır gece gündüz yabancı forumlarda bu konu ile denemediğimiz kalmadı. hepsini tek tek gerek windows sunucularda gerek linux sunucularda test ettik ama fayda etmedi, o yuzden son cagre olarak buraya konuyu açtık..

Saldırı gelen IP adresini özelden alabilirsem bir loglara bakalım.

07-05-2017, 23:23:29

#7

WASPGENTR

Daghan adlı üyeden alıntı: mesajı görüntüle

Saldırı gelen IP adresini özelden alabilirsem bir loglara bakalım.

daghan bey ipleri özelden gönderdim.

08-05-2017, 01:11:14

#8

~~LaRoVV~~

Daghan adlı üyeden alıntı: mesajı görüntüle

Saldırı gelen IP adresini özelden alabilirsem bir loglara bakalım.

daghan bey ayni sorunu bizde yasiyoruz, alt yapinizdaki bir firmada sunucumuz bizimde ve ayni sorunlari yasiyoruz, buna tam bir cözüm nedir acaba? ipler spoof geliyor milyonlarca ip gelmekde ve 1 kez giris yapiyor her seferinde 1 ipden

saygilarimla

08-05-2017, 09:49:45

#9

Daghan

WASPGENTR adlı üyeden alıntı: mesajı görüntüle

daghan bey ipleri özelden gönderdim.

Teknik detayları özelden gönderdim.

LaRoVV adlı üyeden alıntı: mesajı görüntüle

daghan bey ayni sorunu bizde yasiyoruz, alt yapinizdaki bir firmada sunucumuz bizimde ve ayni sorunlari yasiyoruz, buna tam bir cözüm nedir acaba? ipler spoof geliyor milyonlarca ip gelmekde ve 1 kez giris yapiyor her seferinde 1 ipden

27015 portunu hedefleyen saldırı ile ilgili düzenlemeler Mayıs ayı başında yapıldı. Sunucuda ekli olan tüm IP'lerde DGN firewall yok ise sorun bundan da kaynaklanıyor olabilir.

Sorun devam ediyor ise aynı şekilde özelden IP alırsam inceletebiliriz.