Ддос атака с хаба

[HackFresse]

причину проблемы нашли, можно снова заняться ддосом

[flylinkdc]

Часть 2 - обламываем досеров по команде $Search

http://code.google.com/p/flylinkdc/sour ... il?r=16529#

Минут через 40 новый билд появится тут http://www.fly-server.ru/install/r5xx/src-bin/
кто не спит - можете потестить

[Kimbo]

1. FlylinkDC++ 114 (39.9%)
2. StrgDC++ 62 (21.7%)
3. ++ 28 (9.8%)
4. UNKNOWN TAG 22 (7.7%)
5. ApexDC++ 18 (6.3%)
6. gl++ 17 (5.9%)
7. DDD++ 8 (2.8%)
8. EiskaltDC++ 5 (1.7%)
9. pl++ 5 (1.7%)
10. SSQLite++ 2 (0.7%)
11. HubSergDC++ 1 (0.3%)
12. CapitalDC 1 (0.3%)
13. kl++ 1 (0.3%)
14. Peers 1 (0.3%)

но флайлинк же не единственный клиент, хотя его много пользователей используют, а ещё многие на 4 ветке сидят, да и не все обновляются

[KCAHDEP]

Посидел ночку на 250 хабах с русского хаблиста и вот что нападало в файлик ddos.log

Код: Выделить всё

[2014-02-07 21:32:30] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 93.119.26.251 Port: 7777 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 21:40:01] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 85.9.35.179 Port: 80 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 21:42:30] Removed normal-ban10 min ban $ConnectToMy for: 93.119.26.251 Port: 7777
[2014-02-07 21:50:30] Removed normal-ban10 min ban $ConnectToMy for: 85.9.35.179 Port: 80
[2014-02-07 23:03:10] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 88.191.117.211 Port: 8054 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:03:37] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 91.121.192.79 Port: 8054 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:13:30] Removed normal-ban10 min ban $ConnectToMy for: 88.191.117.211 Port: 8044,8054
[2014-02-07 23:13:31] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 88.191.117.211 Port: 8054,8044 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:14:30] Removed normal-ban10 min ban $ConnectToMy for: 91.121.192.79 Port: 8044,8054
[2014-02-07 23:14:31] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 91.121.192.79 Port: 8044,8054 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:24:30] Removed normal-ban10 min ban $ConnectToMy for: 88.191.117.211 Port: 8054,8044
[2014-02-07 23:24:31] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 88.191.117.211 Port: 8054,8044 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:25:30] Removed normal-ban10 min ban $ConnectToMy for: 91.121.192.79 Port: 8044,8054
[2014-02-07 23:25:32] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 91.121.192.79 Port: 8054,8044 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:35:30] Removed normal-ban10 min ban $ConnectToMy for: 88.191.117.211 Port: 8054,8044
[2014-02-07 23:35:31] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 88.191.117.211 Port: 8054,8044 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:36:30] Removed normal-ban10 min ban $ConnectToMy for: 91.121.192.79 Port: 8054,8044
[2014-02-07 23:36:31] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 91.121.192.79 Port: 8044,8054 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:46:30] Removed normal-ban10 min ban $ConnectToMy for: 88.191.117.211 Port: 8054,8044
[2014-02-07 23:46:32] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 88.191.117.211 Port: 8044,8054 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:47:30] Removed normal-ban10 min ban $ConnectToMy for: 91.121.192.79 Port: 8044,8054
[2014-02-07 23:47:31] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 91.121.192.79 Port: 8054,8044 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-07 23:57:30] Removed normal-ban10 min ban $ConnectToMy for: 88.191.117.211 Port: 8044,8054
[2014-02-07 23:58:30] Removed normal-ban10 min ban $ConnectToMy for: 91.121.192.79 Port: 8054,8044
[2014-02-08 06:01:12] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 109.163.227.5 Port: 80 UserInfo: NMDC NIck: Men-Z3pmS Hub: dchub://dchub.wplus.net
[2014-02-08 06:11:30] Removed normal-ban10 min ban $ConnectToMy for: 109.163.227.5 Port: 80

А вы говорите ксандер досер ксандер досер

[KCAHDEP]

Часть 2 - обламываем досеров по команде $Search

http://code.google.com/p/flylinkdc/sour ... l?r=16529#

Минут через 40 новый билд появится тут http://www.fly-server.ru/install/r5xx/src-bin/
кто не спит - можете потестить

скачал воткнул все те же 250 хабов до завтрашнего утра

[flylinkdc]

но флайлинк же не единственный клиент, хотя его много пользователей используют, а ещё многие на 4 ветке сидят, да и не все обновляются

r4xx я тоже поправлю.
ожидаю, что блокировка DDoS $Search должна снизить нагрузку на клиентскую машину если у него много хабов и в шаре очень много файлов. такому юзеру будет выгоднее обновиться и перестать греть свой проц фейковыми поисками.

Остальные живые клиенты если следят за репкой флая - может тоже заберут код или напишут свою реализацию...

[HackFresse]

А вы говорите ксандер досер ксандер досер

ты так говоришь, словно fizkultira освободилась прям на следующий день после того, как я про неё скрин с ддосом выложил

[KCAHDEP]

это же dyndns удалили с учетки и все он свободен, забирай не хочу.

[flylinkdc]

Вчера ночью неверно сделал логирование параметра поиска - всегда выводилась константа Search
исправил http://code.google.com/p/flylinkdc/sour ... il?r=16530#

Но в логе подозрительно много записей

http://yadi.sk/d/omnKVAPWHWrrm

Вот думаю может там есть полезные...
через 30 минут будет новая бетка тут

http://www.fly-server.ru/install/r5xx/src-bin/

в ней уже будет хорошее логирование параметров $Search
тогда можно будет определять фейковый запрос это или нет...

[KCAHDEP]

Вчера ночью неверно сделал логирование параметра поиска - всегда выводилась константа Search
исправил http://code.google.com/p/flylinkdc/sour ... l?r=16530#

Но в логе подозрительно много записей

http://yadi.sk/d/omnKVAPWHWrrm

Вот думаю может там есть полезные...

Код: Выделить всё

[2014-02-08 12:15:24] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 195.225.158.250 Port: 411 UserInfo: Ban for DDoS $Search: Search
[2014-02-08 12:11:58] Blocked potencial ddos connections! Count limit: 10 connections per minute, target IP = 93.193.212.79 Port: 411 UserInfo: Ban for DDoS $Search: Search

вот эти точно полезные

[HackFresse]

В лог надо писать еще и данные о самом хабе, на котором произошло срабатывание

hub_url + hub_ip + hub_port , затем данные о жертве, dst_ip + dst_port , потом подробности, почему произошло срабатывание. что-то вроде

Код: Выделить всё

[2014-02-07 23:25:32] [Hub: dchub://dchub.wplus.net , 195.131.1.200:411] [Target :  91.121.192.79:8054] [Info: $Search Limit: 10 connections/IP per minute, RAW data: "$Search 91.121.192.79:8054 F?F?0?1?a$e$o$i$1$а$о$е$и$у$134" ]
[2014-02-07 23:25:32] [Hub: dchub://dchub.wplus.net , 195.131.1.200:411] [Target :  91.121.192.79:8054] [Info: $ConnectToMe Limit: 10 connections/IP per minute]

Нужно привести такие записи к одному виду, чтобы можно было обработать большой лог-файл. на данном этапе непонятно, откуда пришел флуд командами, и нельзя проверить всё вручную через CMD-отладчик

[Kimbo]

А вы говорите ксандер досер ксандер досер

ну, после того как ты распространил дропбоксовскую ссыль на сие гавнище, появилось много верликов-ддосеров. Не порали закрыть ссыль?
P.S. Кстати, не знаю где ты там увидел, что в верлике 1 типа нельзя уже ддосить, но
[12:58:11] <Barabashka> Running Verlihub 1.0.0 build Fri Mar 30 2012 - сей хаб удачно шлёт ктмы юзерам

[Kimbo]

flylinkdc, стронг тоже обновляться будет?

[flylinkdc]

flylinkdc, стронг тоже обновляться будет?

мой strongdc-sqlite обновлю.

Текущий алгоритм плохой - в логе много локов хороших запросов, например по TTH
то что они идут чаще чем 20 раз в минуту - это вероятно результат одного запроса нормальным юзером через разные хабы...

Код: Выделить всё

[2014-02-08 15:47:19] Count limit: 10 connections per minute, target IP = 109.86.195.214 Port: 65016 UserInfo: Ban for DDoS $Search: 109.86.195.214:65016 F?T?0?9?TTH:EUAHVNNH6XOMUPT7TMNXUIOZO6S6YQAEXYUPJYQ
[2014-02-08 15:47:19] Count limit: 10 connections per minute, target IP = 37.147.132.202 Port: 20538 UserInfo: Ban for DDoS $Search: 37.147.132.202:20538 F?T?0?1?2013
[2014-02-08 15:47:20] Count limit: 10 connections per minute, target IP = 37.110.63.235 Port: 54397 UserInfo: Ban for DDoS $Search: 37.110.63.235:54397 F?T?0?9?TTH:JDFYK2AID2O2FGB3MSOZTTNOXNR5BUESJ4LSYWI
[2014-02-08 15:47:21] Count limit: 10 connections per minute, target IP = 89.178.236.179 Port: 19067 UserInfo: Ban for DDoS $Search: 89.178.236.179:19067 F?T?0?9?TTH:U4XBWPDMU5AQA5WCSFKRGAKN7SA36Y6ZVD2Q6RY
[2014-02-08 15:47:21] Count limit: 10 connections per minute, target IP = 46.187.7.222 Port: 30487 UserInfo: Ban for DDoS $Search: 46.187.7.222:30487 F?T?0?9?TTH:OPKHMAXFXW7ZIOHISPPB435BCCJLXY23VZWWKEI
[2014-02-08 15:47:23] Count limit: 10 connections per minute, target IP = 5.15.38.111 Port: 49916 UserInfo: Ban for DDoS $Search: 5.15.38.111:49916 F?T?0?9?TTH:LCRBBXGTMWR3WEK4NZXLZUBGGSRZJDHA76QWN6Q
[2014-02-08 15:47:24] Count limit: 10 connections per minute, target IP = 176.46.235.142 Port: 55682 UserInfo: Ban for DDoS $Search: 176.46.235.142:55682 F?T?0?6?201402$jpg
[2014-02-08 15:47:25] Count limit: 10 connections per minute, target IP = 93.81.200.77 Port: 19842 UserInfo: Ban for DDoS $Search: 93.81.200.77:19842 F?T?0?9?TTH:AM3MRW6HU62H6YSL3LTRNK2UKTA36LAGMUAH5PA
[2014-02-08 15:47:25] Count limit: 10 connections per minute, target IP = 93.116.231.140 Port: 35000 UserInfo: Ban for DDoS $Search: 93.116.231.140:35000 F?T?0?9?TTH:DCD3FWNREIF3J55WHFRQR6PSEAYDCZC5Y3GZMZY
[2014-02-08 15:47:28] Count limit: 10 connections per minute, target IP = 93.100.16.185 Port: 7722 UserInfo: Ban for DDoS $Search: 93.100.16.185:7722 F?T?0?1?Ржавчина
[2014-02-08 15:47:29] Count limit: 10 connections per minute, target IP = 176.117.139.19 Port: 23723 UserInfo: Ban for DDoS $Search: 176.117.139.19:23723 F?T?0?9?TTH:ZIDZUGQIHVS3LCC44R77RNNDWQE7WFKHU6W3JYQ
[2014-02-08 15:47:30] Count limit: 10 connections per minute, target IP = 77.66.181.107 Port: 3000 UserInfo: Ban for DDoS $Search: 77.66.181.107:3000 F?T?0?9?TTH:VWQALBQ2HVSTVB7DHQOR7GICC65OEF77NUALAIA
[2014-02-08 15:47:30] Count limit: 10 connections per minute, target IP = 176.51.162.227 Port: 24573 UserInfo: Ban for DDoS $Search: 176.51.162.227:24573 F?T?0?9?TTH:7H2MWIH4N6IKTSRNBAYGV6LOM4XS3Q2GDOJ2WNI
[2014-02-08 15:47:30] Count limit: 10 connections per minute, target IP = 37.229.183.241 Port: 5004 UserInfo: Ban for DDoS $Search: 37.229.183.241:5004 F?T?0?9?TTH:UYNTRMBNAWG2HMBYIMHYWANGNOITWXHNQ4477ZA

[HackFresse]

Смотреть надо каждый отдельный хаб, проверяя команды, только полученные из сокета конкретного хаба.
Если логирование всех запросов сразу с 200 хабов, и клиент сидит хотя бы на 30-ти, то да, конечно, один его честный поисковый запрос по 1 штуке на каждом из 30-ти хабов выберет минутный лимит в 20 запросов за несколько секунд

[flylinkdc]

У меня фильтр ddos пока в одном экземпляре в виде hash_map... с ключем по IP
если добавить к ключу еще и IP хаба - решится, но тогда мапа будет очень пухленькая...

Создавать на каждый хаб по отдельной мапе...

в общем счас подумаю как лучше
бетки удалил с сайта - они плохие и прячут вашу шару от поиска.

[HackFresse]

размер в пару-тройку мегабайт не критичен. сколько памяти займут все юзеры всех хабов?

поисковые запросы для ддос - текстовые, потому что угадать TTH в файл-листе нереально (чтобы клиент ответил и отправил этот самый UDP-пакет).
в запросе "$Search 91.121.192.79:8054 F?F?0?1?a$e$o$i$1$а$о$е$и$у$134" забиты самые популярные буквы, последнее число просто рандом для уникальности

Считать все запросы, кроме запросов по ттх -- это тип 9 , длина параметра 39 символов - их будет на несколько порядков меньше

[flylinkdc]

Считать все запросы, кроме запросов по ттх -- это тип 9 , длина параметра 39 символов - их будет на несколько порядков меньше

Это сейчас и делаю...

Есть опасения - ошибочный алгоритм может сломать поиск.

может лучше детектить именно явно фейковые запросы типа ?a$e$o$i$1$а$о$е$и$у$
Правило - запрос одно буквенный и содержит между буквами пробелы - сразу в 100% бан без поиска IP и обращения к таблице блокировки
проверить 5 символов в строке это намного дешевле чем регистрировать IP в таблице и считать сколько она там раз была...

Следующим шагом - будет выпуск новой версии доссера
посмотрим что они там придумают и снова в бан...

[Kimbo]

может лучше детектить именно явно фейковые запросы типа ?a$e$o$i$1$а$о$е$и$у$

его переписать в ддосе пару секунд дела.

[flylinkdc]

его переписать в ддосе пару секунд дела.

Приведи пример - на что его могут переписать?

Также его перепишут только явно живые и продвинутые доссеры - вам ведь интересно узнать кто они?)
может сейчас много хабов у кого скрипт висит по ошибке и админ даже не знает что он у него есть.

[HackFresse]

ну будут очень-очень частые запросы типа

"avi txt jpg video down"

или поштучно

"avi"
"txt"
"jpg"

количество совпадений в шарах юзеров всё так же огромно, смысла от какой-то комбинации "одна буква, один пробел, одна буква" вообще нету.всё равно что

[Kimbo]

Приведи пример - на что его могут переписать?

да хоть местами буквы между $ переставить

может сейчас много хабов у кого скрипт висит по ошибке и админ даже не знает что он у него есть.

случайно не может висеть.

[HackFresse]

а как мы узнаем, что они переписали? считать-то надо частоту (т.е. количество на время), и знать, с какого хаба запросы валятся, чего на данном этапе нету

[flylinkdc]

Убрал из детекта запросы по TTH

Код: Выделить всё

		if (!isPassive)
		{
			const auto i = seeker.rfind(':');
			if (i != string::npos)
			{
				const auto k = param.find("?9?TTH:",i); // Если идет запрос по TTH - пропускаем без проверки
				if(k == string::npos )
				{
				  if (ConnectionManager::getInstance()->checkIpFlood(seeker.substr(0, i), Util::toInt(seeker.substr(i + 1)), param, getHubUrlAndIP()))
				  {
					return; // http://dchublist.ru/forum/viewtopic.php?f=6&t=1028&start=150
				  }
				}
			}
		}

И лог немного причесал

Код: Выделить всё

[2014-02-08 17:24:10] [Hub: dchub://dc.unionbest.org, 188.134.29.92:411][Count limit: 10]	[Target: 128.73.46.116 Port: 51315]	[UserInfo: 128.73.46.116:51315 F?T?0?7?хоббит.$пустошь$смауга.]	
[2014-02-08 17:24:28] [Hub: dchub://favorite-hub.ru, 178.130.0.203:411][Count limit: 10]	[Target: 213.113.7.249 Port: 51937]	[UserInfo: 213.113.7.249:51937 F?T?0?2?flippycat]	
[2014-02-08 17:24:28] [Hub: dchub://favorite-hub.ru, 178.130.0.203:411][Count limit: 10]	[Target: 188.26.150.105 Port: 56739]	[UserInfo: 188.26.150.105:56739 F?T?0?1?stacie$orrico$ft]	
[2014-02-08 17:24:34] [Hub: dchub://allavtovo.ru, 188.134.15.173:411][Count limit: 10]	[Target: 89.238.222.19 Port: 4240]	[UserInfo: 89.238.222.19:4240 T?T?104857600?5?.cam.]	
[2014-02-08 17:24:49] [Hub: dchub://allavtovo.ru, 188.134.15.173:411][Count limit: 10]	[Target: 94.103.193.71 Port: 57619]	[UserInfo: 94.103.193.71:57619 T?F?104857600?7?sexy]	
[2014-02-08 17:24:59] [Hub: dchub://dc.dcmagnets.ru, 178.130.0.205:411][Count limit: 10]	[Target: 79.112.18.232 Port: 20127]	[UserInfo: 79.112.18.232:20127 F?T?0?1?emotions$xxx]	
[2014-02-08 17:24:59] [Hub: dchub://artcool.org, 188.134.15.217:411][Count limit: 10]	[Target: 178.150.89.122 Port: 27968]	[UserInfo: 178.150.89.122:27968 F?T?0?1?ученик$авиценны]	
[2014-02-08 17:25:09] [Hub: dchub://piknik-dc.ru, 80.93.188.135:411][Count limit: 10]	[Target: 95.70.27.245 Port: 29180]	[UserInfo: 95.70.27.245:29180 F?T?0?1?пока$станица$спит$90$серия]	
[2014-02-08 17:25:12] [Hub: dchub://dc.filimania.com, 94.242.222.18:411][Count limit: 10]	[Target: 178.165.50.216 Port: 1218]	[UserInfo: 178.165.50.216:1218 F?T?0?1?SL.EXE]	
[2014-02-08 17:25:30] [Hub: dchub://dc.a-galaxy.com, 94.242.221.159:411][Count limit: 10]	[Target: 93.100.85.234 Port: 62393]	[UserInfo: 93.100.85.234:62393 F?T?0?7?отец]	
[2014-02-08 17:25:37] [Hub: dchub://dc.cifracom.ru, 178.130.0.214:411][Count limit: 10]	[Target: 109.161.104.254 Port: 7037]	[UserInfo: 109.161.104.254:7037 F?T?0?1?знаки$зодиака]	
[2014-02-08 17:25:43] [Hub: dchub://hub.magnet.211.ru, 80.64.175.3:411][Count limit: 10]	[Target: 77.121.64.197 Port: 50141]	[UserInfo: 77.121.64.197:50141 T?F?1048576?6?море]	
[2014-02-08 17:25:44] [Hub: dchub://artcool.org, 188.134.15.217:411][Count limit: 10]	[Target: 85.230.96.60 Port: 62246]	[UserInfo: 85.230.96.60:62246 F?T?0?6?2014]	
[2014-02-08 17:25:45] [Hub: dchub://allavtovo.ru, 188.134.15.173:411][Count limit: 10]	[Target: 93.125.45.53 Port: 61813]	[UserInfo: 93.125.45.53:61813 F?T?0?7?я$франкенштеин]	
[2014-02-08 17:25:49] [Hub: dchub://allavtovo.ru, 188.134.15.173:411][Count limit: 10]	[Target: 37.232.158.237 Port: 10161]	[UserInfo: 37.232.158.237:10161 F?T?0?1?что$творят$мужчны]	
[2014-02-08 17:25:49] [Hub: dchub://dc.filimania.com, 94.242.222.18:411][Count limit: 10]	[Target: 95.78.12.152 Port: 2720]	[UserInfo: 95.78.12.152:2720 F?T?0?7?Star$Academy]	
[2014-02-08 17:25:58] [Hub: dchub://favorite-hub.ru, 178.130.0.203:411][Count limit: 10]	[Target: 85.229.93.57 Port: 1412]	[UserInfo: 85.229.93.57:1412 F?T?0?7?reteen]	
[2014-02-08 17:26:21] [Hub: dchub://dc.filimania.com, 94.242.222.18:411][Count limit: 10]	[Target: 176.124.167.61 Port: 29527]	[UserInfo: 176.124.167.61:29527 F?T?0?1?порево]	
[2014-02-08 17:26:24] [Hub: dchub://dc.rutrack.net, 188.134.5.208:411][Count limit: 10]	[Target: 31.172.209.99 Port: 1307]	[UserInfo: 31.172.209.99:1307 F?T?0?7?Р.$В.$С.]	
[2014-02-08 17:26:32] [Hub: dchub://dc.filimania.com, 94.242.222.18:411][Count limit: 10]	[Target: 5.165.199.150 Port: 22045]	[UserInfo: 5.165.199.150:22045 F?T?0?2?РОЖДЕСТВО]	
[2014-02-08 17:26:40] [Hub: dchub://artcool.org, 188.134.15.217:411][Count limit: 10]	[Target: 46.72.65.12 Port: 53565]	[UserInfo: 46.72.65.12:53565 F?T?0?1?Холодное$сердце]	
[2014-02-08 17:26:59] [Hub: dchub://dc.a-galaxy.com, 94.242.221.159:411][Count limit: 10]	[Target: 178.165.1.136 Port: 2587]	[UserInfo: 178.165.1.136:2587 T?F?1073741824?7?Смерть$в$сети]	

но ловится тоже мого пока

[flylinkdc]

да хоть местами буквы между $ переставить

я ведь в коде могу зашить проверку - не важно какая буква. главное что одна (или две)
если уже будет много, то меньше вероятность ответа...