搜索

[23999] 2015-06-17_如何在Apache中抵御暴力破解和DDos攻击

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-18
2015-06-17_如何在Apache中抵御暴力破解和DDos攻击 如 何 在   A p a c h e   中 抵 御 暴 力 破 解 和   D D o s   攻 击 原 创   w w y - h u s t   L i n u x 中 国   2 0 1 5 - 0 6 - 1 7 对 于 那 些 需 要 在 因 特 网 上 提 供 服 务 或 托 管 主 机 的 人 来 说 ， 保 证 您 的 系 统 在 面 对 攻 击 时 的 安 全 是 一 个 重 要 的 事 情 。 m o d _ s e c u r i t y （ 一 个 开 源 的 用 于 W e b 应 用 入 侵 检 测 及 防 护 的 引 擎 ， 可 以 无 缝 地 集 成 到 W e b 服 务 器 ） 和 m o d _ e v a s i v e 是 两 个 在 服 务 器 端 对 抗 暴 力 破 解 和 ( D ) D o s 攻 击 的 非 常 重 要 的 工 具 。 m o d _ e v a s i v e ， 如 它 的 名 字 一 样 ， 在 受 攻 击 时 提 供 避 实 就 虚 的 功 能 ， 它 像 一 个 雨 伞 一 样 保 护 W e b 服 务 器 免 受 那 些 威 胁 。 在 这 篇 文 章 中 我 们 将 讨 论 如 何 安 装 、 配 置 以 及 在 R H E L / C e n t O S 6 、 7 和 F e d o r a   2 1 - 1 5 上 将 它 们 整 合 到 A p a c h e 。 另 外 ， 我 们 会 模 拟 攻 击 以 便 验 证 服 务 器 做 出 了 正 确 的 反 应 。 以 上 以 您 的 系 统 中 安 装 有 L A M P 服 务 器 为 基 础 ， 所 以 ， 如 果 您 没 有 安 装 ， 请 先 阅 读 下 面 链 接 的 文 章 再 开 始 阅 读 本 文 。 在 R H E L / C e n t O S   7 中 安 装 L A M P （ L C T T   译 注 ： 本 文 有 修 改 。 原 文 为 了 在 R H E L / C e n t O S   7 或 F e d o r a   2 1 中 使 用 同 样 的 工 具 ， 而 删 除 了 它 们 自 带 的   f i r e w a l l d ， 使 用 了 旧 式 的 i p t a b l e s 。 译 者 以 为 这 样 并 不 恰 当 ， 因 此 ， 译 文 中 做 了 相 应 删 节 ， 并 增 加 了 f i r e w a l l d 的 相 应 脚 本 。 ） 步 骤   1 :   安 装 m o d _ s e c u r i t y 和 m o d _ e v a s i v e 另 外 ， 在 安 装 L A M P 后 ， 您 还 需 要 在 R H E L / C e n t O S   7 / 6 中 开 启 E P E L 仓 库 来 安 装 这 两 个 包 。 F e d o r a 用 户 不 需 要 开 启 这 个 仓 库 ， 因 为 e p e l 已 经 是 F e d o r a 项 目 的 一 部 分 了 。 当 安 装 结 束 后 ， 您 会 在 / e t c / h t t p d / c o n f . d 下 找 到 这 两 个 工 具 的 配 置 文 件 。 1 .   #   y u m   u p d a t e   & &   y u m   i n s t a l l   m o d _ s e c u r i t y   m o d _ e v a s i v e 1 .   #   l s   - l   / e t c / h t t p d / c o n f . d
m o d _ s e c u r i t y   +   m o d _ e v a s i v e   配 置 文 件 现 在 ， 为 了 整 合 这 两 个 模 块 到 A p a c h e ， 并 在 启 动 时 加 载 它 们 。 请 确 保 下 面 几 行 出 现 在 m o d _ e v a s i v e . c o n f 和 m o d _ s e c u r i t y . c o n f 的 顶 层 部 分 ， 它 们 分 别 为 ： 请 注 意 m o d u l e s / m o d _ s e c u r i t y 2 . s o 和 m o d u l e s / m o d _ e v a s i v e 2 4 . s o 都 是 从 / e t c / h t t p d 到 模 块 源 文 件 的 相 对 路 径 。 您 可 以 通 过 列 出 / e t c / h t t p d / m o d u l e s 的 内 容 来 验 证 （ 如 果 需 要 的 话 ， 修 改 它 ） ： 验 证 m o d _ s e c u r i t y   +   m o d _ e v a s i v e 模 块 接 下 来 重 启 A p a c h e 并 且 核 实 它 已 加 载 了 m o d _ e v a s i v e 和 m o d _ s e c u r i t y ： 1 .   L o a d M o d u l e   e v a s i v e 2 0 _ m o d u l e   m o d u l e s / m o d _ e v a s i v e 2 4 . s o 2 .   L o a d M o d u l e   s e c u r i t y 2 _ m o d u l e   m o d u l e s / m o d _ s e c u r i t y 2 . s o 1 .   #   c d   / e t c / h t t p d / m o d u l e s 2 .   #   p w d 3 .   #   l s   - l   |   g r e p   - E i   ' ( e v a s i v e | s e c u r i t y ) ' 1 .   #   s e r v i c e   h t t p d   r e s t a r t                   [ 在 R H E L / C e n t O S   6 和 F e d o r a   2 0 - 1 8 上 ] 2 .   #   s y s t e m c t l   r e s t a r t   h t t p d               [ 在 R H E L / C e n t O S   7 和 F e d o r a   2 1 上 ] 1 .   #   h t t p d   - M   |   g r e p   - E i   ' ( e v a s i v e | s e c u r i t y ) '           [ 输 出 已 加 载 的 静 态 模 块 和 动 态 模 块 列 表 ]
检 查 m o d _ s e c u r i t y   +   m o d _ e v a s i v e 模 块 已 加 载 步 骤   2 :   安 装 一 个 核 心 规 则 集 并 且 配 置 m o d _ s e c u r i t y 简 单 来 说 ， 一 个 核 心 规 则 集 （ 即 C R S ） 为 w e b 服 务 器 提 供 特 定 状 况 下 如 何 反 应 的 指 令 。 m o d _ s e c u r i t y 的 开 发 者 们 提 供 了 一 个 免 费 的 C R S ， 叫 做 O W A S P （ [ 开 放 W e b 应 用 安 全 项 目 ] ） M o d S e c u r i t y   C R S ， 可 以 从 下 面 的 地 址 下 载 和 安 装 。 下 载 O W A S P   C R S 到 为 之 创 建 的 目 录 下 载 m o d _ s e c u r i t y 核 心 规 则 解 压 C R S 文 件 并 修 改 文 件 夹 名 称 解 压 m o d _ s e c u r i t y 核 心 规 则 现 在 ， 是 时 候 配 置 m o d _ s e c u r i t y 了 1 .   #   m k d i r   / e t c / h t t p d / c r s - t e c m i n t 2 .   #   c d   / e t c / h t t p d / c r s - t e c m i n t 3 .   #   w g e t   h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / o w a s p - m o d s e c u r i t y - c r s / t a r b a l l / m a s t e r 1 .   #   t a r   x z f   m a s t e r 2 .   #   m v   S p i d e r L a b s - o w a s p - m o d s e c u r i t y - c r s - e b e 8 7 9 0   o w a s p - m o d s e c u r i t y - c r s
将 示 例 的 规 则 文 件 （ o w a s p - m o d s e c u r i t y - c r s / m o d s e c u r i t y c r s 1 0 _ s e t u p . c o n f . e x a m p l e ） 拷 贝 为 同 名 的 配 置 文 件 。 并 通 过 将 下 面 的 几 行 插 入 到 w e b 服 务 器 的 主 配 置 文 件 / e t c / h t t p d / c o n f / h t t p d . c o n f 来 告 诉 A p a c h e 将 这 个 文 件 和 该 模 块 放 在 一 起 使 用 。 如 果 您 选 择 解 压 打 包 文 件 到 另 一 个 文 件 夹 ， 那 么 您 需 要 修 改 I n c l u d e 的 路 径 ： 最 后 ， 建 议 您 在 / e t c / h t t p d / m o d s e c u r i t y . d 目 录 下 创 建 自 己 的 配 置 文 件 ， 在 那 里 我 们 可 以 用 我 们 自 定 义 的 文 件 夹 （ 接 下 来 的 示 例 中 ， 我 们 会 将 其 命 名 为 t e c m i n t . c o n f ） 而 无 需 修 改 C R S 文 件 的 目 录 。 这 样 做 能 够 在 C R S 发 布 新 版 本 时 更 加 容 易 的 升 级 。 您 可 以 在 S p i d e r L a b s 的 M o d S e c u r i t y   G i t H u b 仓 库 中 参 考 关 于 m o d _ s e c u r i t y 目 录 的 更 完 整 的 解 释 。 步 骤   3 :   配 置 m o d _ e v a s i v e m o d _ e v a s i v e 被 配 置 为 使 用 / e t c / h t t p d / c o n f . d / m o d _ e v a s i v e . c o n f 中 的 指 令 。 与 m o d _ s e c u r i t y 不 同 ， 由 于 在 包 升 级 时 没 有 规 则 来 更 新 ， 因 此 我 们 不 需 要 独 立 的 文 件 来 添 加 自 定 义 指 令 。 默 认 的 m o d _ e v a s i v e . c o n f 开 启 了 下 列 的 目 录 （ 注 意 这 个 文 件 被 详 细 的 注 释 了 ， 因 此 我 们 剔 掉 了 注 释 以 重 点 显 示 配 置 指 令 ） ： 1 .   #   c p   m o d s e c u r i t y _ c r s _ 1 0 _ s e t u p . c o n f . e x a m p l e   m o d s e c u r i t y _ c r s _ 1 0 _ s e t u p . c o n f 1 .   < I f M o d u l e   s e c u r i t y 2 _ m o d u l e > 2 .           I n c l u d e   c r s - t e c m i n t / o w a s p - m o d s e c u r i t y - c r s / m o d s e c u r i t y _ c r s _ 1 0 _ s e t u p . c o n f 3 .           I n c l u d e   c r s - t e c m i n t / o w a s p - m o d s e c u r i t y - c r s / b a s e _ r u l e s / * . c o n f 4 .   < / I f M o d u l e > 1 .   < I f M o d u l e   m o d _ s e c u r i t y 2 . c > 2 .           S e c R u l e E n g i n e   O n 3 .           S e c R e q u e s t B o d y A c c e s s   O n 4 .           S e c R e s p o n s e B o d y A c c e s s   O n   5 .           S e c R e s p o n s e B o d y M i m e T y p e   t e x t / p l a i n   t e x t / h t m l   t e x t / x m l   a p p l i c a t i o n / o c t e t - s t r e a m   6 .           S e c D a t a D i r   / t m p 7 .   < / I f M o d u l e > 1 .   < I f M o d u l e   m o d _ e v a s i v e 2 4 . c > 2 .           D O S H a s h T a b l e S i z e         3 0 9 7 3 .           D O S P a g e C o u n t                 2 4 .           D O S S i t e C o u n t                 5 0 5 .           D O S P a g e I n t e r v a l           1 6 .           D O S S i t e I n t e r v a l           1
这 些 指 令 的 解 释 ： D O S H a s h T a b l e S i z e :   这 个 指 令 指 明 了 哈 希 表 的 大 小 ， 它 用 来 追 踪 基 于 I P 地 址 的 活 动 。 增 加 这 个 数 字 将 使 得 站 点 访 问 历 史 的 查 询 变 得 更 快 ， 但 如 果 被 设 置 的 太 大 则 会 影 响 整 体 性 能 。 D O S P a g e C o u n t :   在 D O S P a g e I n t e r v a l 间 隔 内 可 由 一 个 用 户 发 起 的 针 对 特 定 的 U R I （ 例 如 ， 一 个 A p a c h e   提 供 服 务 的 文 件 ） 的 同 一 个 请 求 的 数 量 。 D O S S i t e C o u n t :   类 似 D O S P a g e C o u n t ， 但 涉 及 到 整 个 站 点 总 共 有 多 少 的 请 求 可 以 在 D O S S i t e I n t e r v a l 间 隔 内 被 发 起 。 D O S B l o c k i n g P e r i o d :   如 果 一 个 用 户 超 过 了 D O S S P a g e C o u n t 的 限 制 或 者 D O S S i t e C o u n t ， 他 的 源 I P 地 址 将 会 在 D O S B l o c k i n g P e r i o d 期 间 内 被 加 入 黑 名 单 。 在 D O S B l o c k i n g P e r i o d 期 间 ， 任 何 从 这 个 I P 地 址 发 起 的 请 求 将 会 遭 遇 一 个 4 0 3 禁 止 错 误 。 尽 可 能 的 试 验 这 些 值 ， 以 使 您 的 w e b 服 务 器 有 能 力 处 理 特 定 大 小 的 负 载 。 一 个 小 警 告 一 个 小 警 告 :   如 果 这 些 值 设 置 的 不 合 适 ， 则 您 会 蒙 受 阻 挡 合 法 用 户 的 风 险 。 您 也 许 还 会 用 到 以 下 其 它 有 用 的 指 令 ： D O S E m a i l N o t i f y 如 果 您 运 行 有 一 个 邮 件 服 务 器 ， 您 可 以 通 过 A p a c h e 发 送 警 告 消 息 。 注 意 ， 如 果 S E L i n u x 已 开 启 ， 您 需 要 授 权 a p a c h e 用 户 S E L i n u x 的 权 限 来 发 送 e m a i l 。 您 可 以 通 过 下 面 的 命 令 来 授 予 权 限 ： 接 下 来 ， 将 这 个 指 令 和 其 他 指 令 一 起 加 入 到 m o d _ e v a s i v e . c o n f 文 件 。 如 果 这 个 指 令 设 置 了 合 适 的 值 ， 并 且 您 的 邮 件 服 务 器 在 正 常 的 运 行 ， 则 当 一 个 I P 地 址 被 加 入 黑 名 单 时 ， 会 有 一 封 邮 件 被 发 送 到 相 应 的 地 址 。 D O S S y s t e m C o m m a n d 它 需 要 一 个 有 效 的 系 统 命 令 作 为 参 数 ， 这 个 指 令 指 定 当 一 个 I P 地 址 被 加 入 黑 名 单 时 执 行 的 命 令 。 它 通 常 结 合 s h e l l 脚 本 来 使 用 ， 比 如 在 脚 本 中 添 加 一 条 防 火 墙 规 则 来 阻 挡 某 个 I P 进 一 步 的 连 接 。 写 一 个 s h e l l 脚 本 在 防 火 墙 阶 段 处 理 I P 黑 名 单 当 一 个 I P 地 址 被 加 入 黑 名 单 ， 我 们 需 要 阻 挡 它 进 一 步 的 连 接 。 我 们 需 要 下 面 的 s h e l l 脚 本 来 执 行 这 个 任 务 。 在 / u s r / l o c a l / b i n 下 创 建 一 个 叫 做 s c r i p t s - t e c m i n t 的 文 件 夹 （ 或 其 他 的 名 字 ） ， 以 及 一 个 叫 做 b a n _ i p . s h 的 文 件 。 用 于 用 于 i p t a b l e s 防 火 墙 防 火 墙 7 .           D O S B l o c k i n g P e r i o d       1 0 8 .   < / I f M o d u l e > 1 .   #   s e t s e b o o l   - P   h t t p d _ c a n _ s e n d m a i l   1 1 .   D O S E m a i l N o t i f y   y o u @ y o u r d o m a i n . c o m 1 .   D O S S y s t e m C o m m a n d   < / c o m m a n d >
用 于 用 于 f i r e w a l l d 防 火 墙 防 火 墙 我 们 的 D O S S y s t e m C o m m a n d 指 令 应 该 是 这 样 的 ： 上 面 一 行 的 % s 代 表 了 由 m o d _ e v a s i v e 检 测 到 的 攻 击 I P 地 址 。 将 a p a c h e 用 户 添 加 到 s u d o e r s 文 件 请 注 意 ， 如 果 您 不 给 予 a p a c h e 用 户 以 无 需 终 端 和 密 码 的 方 式 运 行 我 们 脚 本 （ 关 键 就 是 这 个 脚 本 ） 的 权 限 ， 则 这 一 切 都 不 起 作 用 。 通 常 ， 您 只 需 要 以 r o o t 权 限 键 入 v i s u d o 来 存 取 / e t c / s u d o e r s 文 件 ， 接 下 来 添 加 下 面 的 两 行 即 可 ： 1 .   # ! / b i n / s h 2 .   #   由 m o d _ e v a s i v e 检 测 出 ， 将 被 阻 挡 的 I P 地 址 3 .   I P = $ 1 4 .   #   i p t a b l e s 的 完 整 路 径 5 .   I P T A B L E S = " / s b i n / i p t a b l e s " 6 .   #   m o d _ e v a s i v e 锁 文 件 夹 7 .   m o d _ e v a s i v e _ L O G D I R = / v a r / l o g / m o d _ e v a s i v e 8 .   #   添 加 下 面 的 防 火 墙 规 则   ( 阻 止 所 有 从 $ I P 流 入 的 流 量 ) 9 .   $ I P T A B L E S   - I   I N P U T   - s   $ I P   - j   D R O P 1 0 .   #   为 了 未 来 的 检 测 ， 移 除 锁 文 件 1 1 .   r m   - f   " $ m o d _ e v a s i v e _ L O G D I R " / d o s - " $ I P " 1 .   # ! / b i n / s h 2 .   #   由 m o d _ e v a s i v e 检 测 出 ， 将 被 阻 挡 的 I P 地 址 3 .   I P = $ 1 4 .   #   f i r e w a l l d - c m d 的 完 整 路 径 5 .   F I R E W A L L _ C M D = " / u s r / b i n / f i r e w a l l - c m d " 6 .   #   m o d _ e v a s i v e 锁 文 件 夹 7 .   m o d _ e v a s i v e _ L O G D I R = / v a r / l o g / m o d _ e v a s i v e 8 .   #   添 加 下 面 的 防 火 墙 规 则   ( 阻 止 所 有 从 $ I P 流 入 的 流 量 ) 9 .   $ F I R E W A L L _ C M D   - - z o n e = d r o p   - - a d d - s o u r c e   $ I P 1 0 .   #   为 了 未 来 的 检 测 ， 移 除 锁 文 件 1 1 .   r m   - f   " $ m o d _ e v a s i v e _ L O G D I R " / d o s - " $ I P " 1 .   D O S S y s t e m C o m m a n d   " s u d o   / u s r / l o c a l / b i n / s c r i p t s - t e c m i n t / b a n _ i p . s h   % s "
添 加 A p a c h e 用 户 到 S u d o e r s 重 要 重 要 :   在 默 认 的 安 全 策 略 下 您 只 能 在 终 端 中 运 行 s u d o 。 由 于 这 个 时 候 我 们 需 要 在 没 有 t t y 的 时 候 运 行 s u d o ， 我 们 必 须 像 下 图 中 那 样 注 释 掉 下 面 这 一 行 ： 为 S u d o 禁 用 t t y 最 后 ， 重 启 w e b 服 务 器 ： 步 骤 4 :   在 A p a c h e 上 模 拟 D D o s 攻 击 有 许 多 工 具 可 以 在 您 的 服 务 器 上 模 拟 外 部 的 攻 击 。 您 可 以 g o o g l e 下 “ t o o l s   f o r   s i m u l a t i n g   d d o s   a t t a c k s ” 来 找 一 找 相 关 的 工 具 。 注 意 ， 您 （ 也 只 有 您 ） 将 负 责 您 模 拟 所 造 成 的 结 果 。 请 不 要 考 虑 向 不 在 您 自 己 网 络 中 的 服 务 器 发 起 模 拟 攻 击 。 假 如 您 想 对 一 个 由 别 人 托 管 的 V P S 做 这 些 事 情 ， 您 需 要 向 您 的 托 管 商 发 送 适 当 的 警 告 或 就 那 样 的 流 量 通 过 他 们 的 网 络 获 得 允 许 。 T e c m i n t . c o m 不 会 为 您 的 行 为 负 责 ！ 另 外 ， 仅 从 一 个 主 机 发 起 一 个 D o s 攻 击 的 模 拟 无 法 代 表 真 实 的 攻 击 。 为 了 模 拟 真 实 的 攻 击 ， 您 需 要 使 用 许 多 客 户 端 在 同 一 时 间 将 您 的 服 务 器 作 为 目 标 。 我 们 的 测 试 环 境 由 一 个 C e n t O S   7 服 务 器 [ I P   1 9 2 . 1 6 8 . 0 . 1 7 ] 和 一 个 W i n d o w s 组 成 ， 在 W i n d o w s [ I P   1 9 2 . 1 6 8 . 0 . 1 0 3 ] 上 我 们 发 起 攻 击 ： 1 .   a p a c h e   A L L = N O P A S S W D :   / u s r / l o c a l / b i n / s c r i p t s - t e c m i n t / b a n _ i p . s h 2 .   D e f a u l t s : a p a c h e   ! r e q u i r e t t y 1 .   # D e f a u l t s   r e q u i r e t t y 1 .   #   s e r v i c e   h t t p d   r e s t a r t                   [ 在 R H E L / C e n t O S   6 和 F e d o r a   2 0 - 1 8 上 ] 2 .   #   s y s t e m c t l   r e s t a r t   h t t p d               [ 在 R H E L / C e n t O S   7 和 F e d o r a   2 1 上 ]
确 认 主 机 I P 地 址 请 播 放 下 面 的 视 频 （ Y T   视 频 ， 请 自 备 梯 子 ：   h t t p s : / / w w w . y o u t u b e . c o m / - U _ m d e t 0 6 J k   ） ， 并 跟 从 列 出 的 步 骤 来 模 拟 一 个 D o s 攻 击 ： 然 后 攻 击 者 的 I P 将 被 防 火 墙 阻 挡 : 阻 挡 攻 击 者 的 I P 地 址 结 论 在 开 启 m o d _ s e c u r i t y 和 m o d _ e v a s i v e 的 情 况 下 ， 模 拟 攻 击 会 导 致 C P U 和 R A M 用 量 在 源 I P 地 址 被 加 入 黑 名 单 之 前 出 现 短 暂 几 秒 的 使 用 峰 值 。 如 果 没 有 这 些 模 块 ， 模 拟 攻 击 绝 对 会 很 快 将 服 务 器 击 溃 ， 并 使 服 务 器 在 攻 击 期 间 无 法 提 供 服 务 。 我 们 很 高 兴 听 见 您 打 算 使 用 （ 或 已 经 使 用 过 ） 这 些 工 具 。 我 们 期 望 得 到 您 的 反 馈 ， 所 以 ， 请 在 留 言 处 留 下 您 的 评 价 和 问 题 ， 谢 谢 ！ 参 考 链 接 h t t p s : / / w w w . m o d s e c u r i t y . o r g / h t t p : / / w w w . z d z i a r s k i . c o m / b l o g / ? p a g e _ i d = 4 4 2 v i a :   h t t p : / / w w w . t e c m i n t . c o m / p r o t e c t - a p a c h e - u s i n g - m o d _ s e c u r i t y - a n d - m o d _ e v a s i v e - o n - r h e l - c e n t o s - f e d o r a / 作 者 ： G a b r i e l   C á n e p a   译 者 ： w w y - h u s t   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理