saldırı olup olmadığını anlamak ?

Question

sunucu 3-4gündür felaket yavaşladı sanırım saldırı var cpu 64lere kadar çıktı
siteler çok ağır açılıyor tam olarak nasıl anlayabilirim saldırı olup olmadığını
birde ip numarasını nasıl bulabilirim saldırı yapan kişinin?
savcılığa vermek için.

malisert · Answer

cpu 64 lere cıkıorsa kesin saldırı vardır zaten.

osman · Answer

makinen linux'sa
son mesajlarımı incelersen gerekli ssh komutlarını bulursun
ipyi bulmak ve banlamakla ilgili olarak

apf mod_evasive bfd falan kur
whm'in bi ton ayarınıda incelemek lazım
olmazsa özelden gel yardımcı olurum

linux değilse üzgünüm anlamam

SEaL · Answer

osman adlı üyeden alıntı:										makinen linux'sa
son mesajlarımı incelersen gerekli ssh komutlarını bulursun
ipyi bulmak ve banlamakla ilgili olarak

apf mod_evasive bfd falan kur
whm'in bi ton ayarınıda incelemek lazım
olmazsa özelden gel yardımcı olurum

linux değilse üzgünüm anlamam 		Logları incelerse kesin sonucu elde eder, varmı yokmu diye. Ama bişey sorcam Osman Var/Log klasöründe bir sürü log dosyası var. Sadece saldırı olanlar değil de hepsinin topluca yazıldığı log dosyası hamgisi. Yoksa apf,bfd ayrı ayrı var ama topluca tüm ip'leri listeleyen log dosyası hangisi acaba?

osman · Answer

var/log da

apf_log                 apfnin
bfd_log                 bfdnin

mod_evasive tmp klasörüne kaydeder
5-6 bytelık dosyalar halinde
dosya isimleri ip adresleridir

onu haricinde raw loglar var
cpanel ve whmde bulabilirsin
çok büyük olabiliyorlar tabi
günlük 2 gbı gördüğümü biliyorum

bu arada vega'nın servera bakıyorum apf configure 'u falan tam değil
ayrıca bfd mod_evasive falanda yüklü değil onları yüklemem lazım
bakire bi makine

Elazığlı168 · Answer

ilk önce saldırı anında cpu kullanımından çok sunucu loadı daha net bilgi verir
daha sonra şunları yap sshden root olarak giriş yap

netstat -tn --inet 2> /dev/null| grep ":80" | 
awk '/tcp[\ ]*[0-9]+[\ ]*[0-9]+[\ ]+[^\ ]+[\ ]*[^\ ]*/ { print $5; }'
| cut -d":" -f1 | sort | uniq -c | sort -n

komutunu çalıştır bu komutu çalıştırınca sunucudan yoğun talep isteyen ip adresleri ve talep sayıları görünür

çok yüksek değerlerdeki ip leri banlamak için


iptables -I INPUT -j DROP -s IPNumarası

komutunu çalıştır

MeSsO_ · Answer

Elazığlı168 adlı üyeden alıntı:										ilk önce saldırı anında cpu kullanımından çok sunucu loadı daha net bilgi verir
daha sonra şunları yap sshden root olarak giriş yap
 
netstat -tn --inet 2> /dev/null| grep ":80" | 
awk '/tcp[\ ]*[0-9]+[\ ]*[0-9]+[\ ]+[^\ ]+[\ ]*[^\ ]*/ { print $5; }'
| cut -d":" -f1 | sort | uniq -c | sort -n
 
komutunu çalıştır bu komutu çalıştırınca sunucudan yoğun talep isteyen ip adresleri ve talep sayıları görünür
 
çok yüksek değerlerdeki ip leri banlamak için

iptables -I INPUT -j DROP -s IPNumarası
 
komutunu çalıştır 		 
 
hocam teşekkürler

SEaL · Answer

osman adlı üyeden alıntı:										var/log da

apf_log                 apfnin
bfd_log                 bfdnin

mod_evasive tmp klasörüne kaydeder
5-6 bytelık dosyalar halinde
dosya isimleri ip adresleridir

onu haricinde raw loglar var
cpanel ve whmde bulabilirsin
çok büyük olabiliyorlar tabi
günlük 2 gbı gördüğümü biliyorum

bu arada vega'nın servera bakıyorum apf configure 'u falan tam değil
ayrıca bfd mod_evasive falanda yüklü değil onları yüklemem lazım
bakire bi makine 		Demek tüm Logların olduğu logu Cpanelden bakıcaz raw logdan, tamam saol Osman. 

Ya bu arada Mod_evasivenin tmp'ye kaydettiğini bilmiyordum şimdi girip inceledim be garibim bayağı bi çalışmış zuhaha   Yaw yalnız şey yazıyo o logları açtığım zaman içlerinde sadece sayılar var. Örnek :

14394

9250

29405 vs...

Her biride böyle değişik şeyler var. Bu şey demek sanırım, ilkini örnek alalım, adam 14394 bağlantı yapmış, ancak 50 atnesin geçmiş oluyor sanırım, ben 50 yapmıştım da. : ) Yanlış mıyım Osman, o herhalde yapmaya çalışıp da yapamadığı bağlantı isteği.

osman · Answer

sanırım onlar bağlantı pid numarası [process id sanırım]
serverın o bağlantıyı izlemek için verdiği bi rakam diye biliyorum

orda şu tarz bilgileri tutmaz
açılan bağlantı sayısı 
izin verilen verilmeyen vs
sanırım ayrı bi yere cacheliyor
incelemedim akşam bitvise ile girip bakayım
edit
sanırım
/proc/
klasöründekilerle ilişkilendiriliyor o kısımlar

bu kodla ilgili olarakta

Alıntı										netstat -tn --inet 2> /dev/null| grep ":80" |
awk '/tcp[\ ]*[0-9]+[\ ]*[0-9]+[\ ]+[^\ ]+[\ ]*[^\ ]*/ { print $5; }'
| cut -d":" -f1 | sort | uniq -c | sort -n 		sadece 80.porta gelen bağlantılar çıkar
						Alıntı										grep ":80" | 		kısmını silerek inceleyin

SLiM_BoY · Answer

Elazığlı168 adlı üyeden alıntı:										çok yüksek değerlerdeki ip leri banlamak için


iptables -I INPUT -j DROP -s IPNumarası

komutunu çalıştır 		Banlanan ip'leri listelemek ve ban'ı kaldırmak için ne yapmamız gerekiyor acaba ?

osman · Answer

ssh da root olduğunu varsayıyorum
kendi makinemden örnek veriyorum
not : apf için geçerli apf zaten iptables'ın kullanıcı dostu versiyonu gibi birşey

pico /etc/apf/deny_hosts.rules yaz

Alıntı										##
# deny_hosts
#
# Trust based rule file to define addresses that are implicitly denied.
#
# Format of this file is line-seperated addresses, IP masking is supported.
# Example:
# 192.168.2.1
# 192.168.5.0/24
# 
# advanced usage
#
# The trust rules can be made in advanced format with 4 options
# (proto:flowort:ip);
# 1) protocol: [packet protocol tcp/udp]
# 2) flow in/out: [packet direction, inbound or outbound]
# 3) s/d=port: [packet source or destination port]
# 4) s/d=ip(/xx) [packet source or destination address, masking supported]
#
# Syntax:
# proto:flow:[s/d]=port:[s/d]=ip(/mask)
# s - source , d - destination , flow - packet flow in/out
#
# Examples:
# inbound to destination port 22 from 192.168.2.1
# tcp:in:d=22:s=192.168.2.1
#
# outbound to destination port 23 to destination host 192.168.2.1
# out:d=23:d=192.168.2.1
#
# inbound to destination port 3306 from 192.168.5.0/24
# d=3306:s=192.168.5.0/24
#
##
# added 88.226.33.146 on 07/26/06 15:37:19
88.226.33.146
# added 88.232.70.99 on 07/26/06 16:39:34
88.232.70.99
# added 222.122.47.31 on 07/27/06 00:00:07 with comment: {bfd.sshd}
222.122.47.31
# added 81.213.250.46 on 07/27/06 09:40:03 with comment: {bfd.pure-ftpd}
81.213.250.46 		bu added yanaları ve alt satırındakiler banlanan şahıslardır

VEGA · Answer

abi müsait zamanda şu bizim makinayıda bi parmaklasana sana zahmet : ) bir kaç ayar daha yapacaktınya.

SLiM_BoY · Answer

@osman, bilgi için teşekkürler.Fakat şuan apf kurulu değil.En iyisi apf'yi kurup devam etmek.

h**p://www.webhostgear.com/61.html buradan kurulum yapacağım.Başka bir kurulum rehberi var mı acaba ?

radmin · Answer

ip banlama:
iptables -I INPUT -s 213.247.251.91  -j DROP

ip blogu banlama: ( bu özellikle uzakdoğu ip blocklamak için gerekli )

iptables -I INPUT -s 25.55.55.55 -j DROP (for one IP)
iptables -I INPUT -s 80.58.0.0/16  -j DROP (for a class C - that's X.X.X.(0-255) )
iptables -I INPUT -s 61.218.0.0/24 -j DROP (for a class B - that's X.X.(0-255).(0-255) )
iptables -I INPUT -s 221.0.0.0/8 -j  DROP (for a class A - that's X.(0-255).(0-255) )

iptable ban kaldırma:

iptables -D INPUT -s 25.55.55.55 -j DROP

SLiM_BoY · Answer

Teşekkürler radmin.Peki banladığımız ip'leri nasıl listeleriz ?