搜索

[14378] 2019-07-22_企业安全体系架构分析：开发安全架构之防CC攻击脚本编写

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-07-22_企业安全体系架构分析：开发安全架构之防CC攻击脚本编写 企 业 安 全 体 系 架 构 分 析 ： 开 发 安 全 架 构 之 防 C C 攻 击 脚 本 编 写 原 创   煜 阳 y u y a n g   F r e e B u f   2 0 1 9 - 0 7 - 2 2 前 文 链 接 ： 前 文 链 接 ： （ 阅 读 原 文 获 取 链 接 ） （ 阅 读 原 文 获 取 链 接 ） 企 业 安 全 体 系 架 构 分 析 ： 安 全 体 系 架 构 概 述 企 业 安 全 体 系 架 构 分 析 ： 开 发 安 全 架 构 之 可 用 性 架 构 企 业 安 全 体 系 架 构 分 析 ： 开 发 安 全 架 构 之 安 全 性 架 构 企 业 安 全 体 系 架 构 分 析 ： 开 发 安 全 架 构 之 防 C C 攻 击 脚 本 编 写 今 天 想 分 享 一 下 安 全 脚 本 的 编 写 ， 以 防 今 天 想 分 享 一 下 安 全 脚 本 的 编 写 ， 以 防 C C 脚 本 举 个 例 子 。 脚 本 举 个 例 子 。 事 情 是 这 样 发 生 的 ， 由 于 商 业 竞 争 热 烈 ， 不 免 有 些 公 司 会 出 现 恶 意 竞 争 的 现 象 ， 其 实 C C 攻 击 算 是 最 简 单 实 施 的 一 种 D D o S 类 别 攻 击 吧 ， 在 之 前 我 所 在 的 公 司 就 遭 受 了 一 波 商 业 竞 争 者 发 起 的 C C 攻 击 。 具 体 细 节 就 不 多 说 了 ， 这 种 事 情 其 实 见 怪 不 怪 ， 来 分 享 一 下 我 的 解 决 方 案 。 其 实 会 有 很 多 人 说 ， 像 W A F 什 么 的 设 备 都 可 以 有 效 抵 挡 住 C C 攻 击 ， 包 括 开 源 W A F 也 具 备 这 个 功 能 ， 有 必 要 自 己 去 写 一 个 脚 本 来 防 护 吗 ？ 我 的 想 法 其 实 很 简 单 ， 对 于 不 知 道 怎 么 搭 建 开 源 W A F ， 或 者 资 金 投 入 并 不 大 的 公 司 而 言 ， 能 有 一 个 简 单 防 御 解 决 方 案 ， 这 是 我 写 这 篇 文 章 想 实 现 的 一 个 意 义 ， 也 算 是 对 这 个 职 位 的 一 些 回 馈 吧 ， 当 然 其 实 写 防 御 脚 本 基 本 是 每 一 位 安 全 人 员 都 会 而 且 很 熟 练 的 一 个 技 能 ， 在 这 里 我 就 先 抛 砖 引 玉 ， 分 享 一 下 关 于 防 C C 脚 本 的 设 计 思 路 。 首 先 要 给 读 者 普 及 一 下 什 么 是 C C 攻 击 ？ C C ( C h a l l e n g e C o H a p s a r ， 挑 战 黑 洞 ) 攻 击 是 D D o S 攻 击 的 一 种 类 型 ， 使 用 代 理 服 务 器 向 受 害 服 务 器 发 送 大 量 貌 似 合 法 的 请 求 。 C C 根 据 其 工 具 命 名 ， 攻 击 者 使 用 代 理 机 制 ， 利 用 众 多 广 泛 可 用 的 免 费 代 理 服 务 器 发 动 D D o S 攻 击 。 许 多 免 费 代 理 服 务 器 支 持 匿 名 模 式 ， 这 使 追 踪 变 得 非 常 困 难 。
C C 攻 击 的 原 理 是 什 么 ？ C C 攻 击 的 原 理 就 是 攻 击 者 控 制 某 些 主 机 不 停 地 发 大 量 数 据 包 给 对 方 服 务 器 造 成 服 务 器 资 源 耗 尽 ， 一 直 到 宕 机 崩 溃 。 C C 主 要 是 用 来 攻 击 页 面 的 ， 每 个 人 都 有 这 样 的 体 验 ： 当 一 个 网 页 访 问 的 人 数 特 别 多 的 时 候 ， 打 开 网 页 就 慢 了 ， C C 就 是 模 拟 多 个 用 户 （ 多 少 线 程 就 是 多 少 用 户 ） 不 停 地 进 行 访 问 那 些 需 要 大 量 数 据 操 作 （ 就 是 需 要 大 量 C P U 时 间 ） 的 页 面 ， 造 成 服 务 器 资 源 的 浪 费 ， C P U 长 时 间 处 于 1 0 0 % ， 永 远 都 有 处 理 不 完 的 连 接 直 至 就 网 络 拥 塞 ， 正 常 的 访 问 被 中 止 。 C C 攻 击 的 特 征 是 什 么 ？ 1 .   业 务 流 量 激 增 2 .   访 问 日 志 持 续 大 量 增 长 3 .   大 量 相 同 来 源 I P 访 问 同 一 域 名 基 于 以 上 介 绍 ， 我 们 来 思 考 一 下 如 何 限 定 C C 攻 击 。 首 先 不 管 是 开 源 的 W A F 还 是 商 业 的 W A F ， C C 攻 击 的 防 御 大 多 都 是 阻 断 ， 而 非 扔 进 黑 洞 ， 这 两 者 有 什 么 区 别 呢 ？ 阻 断 大 体 是 返 回 4 0 3 响 应 码 ， 使 得 本 应 正 常 返 回 的 包 返 回 4 0 3 页 ， 举 个 例 子 相 当 于 本 应 该 返 回 1 M 大 小 的 包 返 回 1 K ， 这 样 做 能 很 大 程 度 的 减 轻 网 络 压 力 以 及 服 务 器 处 理 压 力 ， 能 够 减 轻 C C 攻 击 所 带 来 的 影 响 。 我 们 是 存 在 W A F 的 ， 但 是 为 什 么 有 W A F 的 防 C C 攻 击 ， 还 要 自 行 开 发 防 C C 脚 本 ， 在 这 里 有 一 个 问 题 需 要 思 考 的 是 ， 如 果 服 务 器 在 云 端 ， 网 络 走 的 是 云 端 的 按 量 计 费 方 式 ， 就 算 你 不 停 的 返 回 4 0 3 ， 一 样 会 计 费 ， 对 于 一 个 攻 击 者 而 言 ， 只 要 你 存 在 损 失 他 就 已 经 成 功 了 ， 即 使 这 个 损 失 对 你 来 说 微 不 足 道 ， 但 是 C C 的 成 本 并 不 高 甚 至 可 以 说 是 没 有 成 本 ， 比 耐 心 的 话 可 能 最 后 你 付 出 的 会 更 多 。 抱 着 这 个 心 态 我 研 究 了 一 下 怎 么 能 直 接 让 他 的 C C 打 不 进 来 。 首 先 来 看 一 下 整 体 的 一 个 思 路 ：
攻 击 者 发 起 C C 攻 击 ， 由 于 域 名 在 云 环 境 ， 所 以 会 走 云 计 费 通 道 进 入 到 代 理 服 务 器 ， 通 过 代 理 服 务 器 转 发 到 应 用 服 务 器 ， 由 应 用 服 务 器 返 回 相 应 请 求 内 容 给 代 理 服 务 器 ， 代 理 服 务 器 通 过 计 费 通 道 给 出 响 应 。 那 么 按 照 这 个 流 程 ， 综 合 考 虑 我 们 的 目 的 ， 就 需 要 在 代 理 服 务 器 上 动 手 让 非 正 常 的 请 求 无 法 通 过 ， 如 下 ： 如 此 出 口 计 费 C C 攻 击 请 求 不 会 返 回 给 攻 击 者 ， 也 就 不 会 扣 除 流 量 费 用 。 那 么 怎 么 判 断 请 求 是 否 为 C C ？ 首 先 N g i n x 有 本 身 的 功 能 参 数 可 以 做 到 防 C C ， 上 面 已 经 叙 述 过 C C 攻 击 的 特 征 ， 根 据 特 征 我 们 可 以 使 用 下 面 这 个 参 数 意 思 是 同 一 I P 每 秒 请 求 限 定 为 3 0 0 次 ， 持 续 3 0 秒 的 请 求 将 被 阻 断 返 回 5 0 3 返 回 5 0 3 和 4 0 3 有 什 么 区 别 呢 ？ 单 从 这 一 点 出 发 是 没 有 任 何 区 别 的 ， 所 以 需 要 用 到 下 面 这 个 模 块 来 帮 助 我 们 继 续 开 发 。 N g i n x 有 很 多 强 大 的 模 块 ， 下 面 为 大 家 介 绍 一 个 模 块 ， 记 得 编 译 安 装 时 加 载 ~ n g x l o g i f 模 块 ， 详 细 信 息 见 h t t p s : / / g i t h u b . c o m / c f s e g o / n g x l o g i f 这 个 模 块 的 功 能 是 筛 选 日 志 ， 用 到 这 个 模 块 的 逻 辑 在 于 将 5 0 3 日 志 中 的 源 I P 筛 选 出 来 ， 加 到 防 火 墙 中 阻 断 。 l i m i t _ r e q _ z o n e   $ b i n a r y _ r e m o t e _ a d d r   z o n e = o n e : 1 0 m   r a t e = 3 0 0 r / s ; l i m i t _ r e q   z o n e = o n e   b u r s t = 3 0 ;
逻 辑 中 涉 及 的 问 题 是 为 何 每 分 钟 只 加 入 第 一 条 5 0 3 日 志 对 应 的 I P ， 而 非 做 出 判 断 后 一 起 加 入 防 火 墙 阻 断 ， 其 实 这 点 是 考 虑 到 并 发 量 大 判 断 逻 辑 会 加 重 服 务 器 负 载 的 问 题 ， 所 以 还 是 一 条 一 条 加 吧 ， 当 然 这 里 也 可 以 优 化 一 下 。 首 先 定 义 的 是 日 志 格 式 ， 我 们 按 照 n g i n x 默 认 的 日 志 格 式 来 ， 如 果 这 里 有 不 了 解 的 朋 友 们 可 以 搜 一 下 n g i n x 日 志 默 认 格 式 。 接 下 来 用 到 的 是 a w k 筛 选 出 日 志 中 的 i p ， 这 里 如 果 有 不 了 解 a w k 的 朋 友 可 以 参 考 h t t p s : / / w w w . c n b l o g s . c o m / x u d o n g - b u p t / p / 3 7 2 1 2 1 0 . h t m l 。 做 出 判 断 添 加 进 防 火 墙 整 体 考 虑 到 5 0 3 日 志 为 空 以 及 非 5 0 3 状 态 的 I P 记 录 ， 做 出 以 下 脚 本 之 后 使 用 c r o n t a b 每 分 钟 运 行 一 遍 或 者 更 短 时 间 运 行 这 个 脚 本 就 可 以 了 。 * 本 文 作 者 ： 本 文 作 者 ： 煜 阳 煜 阳 y u y a n g ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 a c c e s s _ l o g   / v a r / l o g / n g i n x / 5 0 3 / e r r o r t e s t . l o g ; s t a t u s = ` a w k   - v   i = $ i   - F   '   '   ' N R = = i { p r i n t   $ 9 } '   / v a r / l o g / n g i n x / 5 0 3 / e r r o r t e s t . l o g ` i f   [   " $ s t a t u s "   =   ' 5 0 3 '   ] ; t h e n i p _ 5 0 3 = ` a w k   - v   i = $ i   - F   '   '   ' N R = = i { p r i n t   $ 1 } '   / v a r / l o g / n g i n x / 5 0 3 / e r r o r t e s t . l o g ` s e d   - i   " 6   i - A   I N P U T   - s   $ i p _ 5 0 3 / 3 2   - j   D R O P "   / e t c / s y s c o n f i g / i p t a b l e s # ! / b i n / b a s h i = 1 w h i l e   : d o s t a t u s = ` a w k   - v   i = $ i   - F   '   '   ' N R = = i { p r i n t   $ 9 } '   / v a r / l o g / n g i n x / 5 0 3 / e r r o r t e s t . l o g ` i f   [   " $ s t a t u s "   =   ' 5 0 3 '   ] ; t h e n i p _ 5 0 3 = ` a w k   - v   i = $ i   - F   '   '   ' N R = = i { p r i n t   $ 1 } '
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理