[How-To]Apache vor Botnets "sch�tzen"

05/26/2013 00:17 Laymi#1

Hallo Leute,

ich stelle hier mal eine M�glichkeit vor zumindest euren Webserver gegen Angriffe zu sch�tzen und die Logs/Traffic um ca. 20-30% zu reduzieren.

Die Idee ist die folgende: Man sperrt die L�nder, in denen die Bot Pcs stehen - relativ einfach. Das Problem dabei ist, dass die Plugins, welche Apache mitbringt nicht/schlecht funktionieren und de facto nichts bringen.

Das sch�tzen in der �berschrift ist in Anf�hrungszeichen, weil man mit einem deutschen Botnet immernoch zugreifen k�nnte. Da deutsche Botnets aber teuer und selten sind kann man das ganze schon als weitestgehend sicher betrachten.

Ich habe euch die IP Ranges der am meisten verseuchten L�nder mal rausgesucht und hier rein kopiert.

Wenn Zeit und Lust da ist kann ich die Tage auch ein Tool releasen, welches die Verbindungen zu diesen Ips auch g�nzlich sperren kann.

Einbinden der L�ndersperre:
Ihr �ffnet euren htdocs/www Ordner.
[Only registered and activated users can see links. Click Here To Register...]
Hier erstellt ihr eine neue Datei namens .htaccess.
Ganz wichtig! Stellt die Erweiterungen bei bekannten Datentypen ein, sonst ist es eine .htaccess.txt :) Organisieren->Order- und Suchoptionen->Erweiterungen bei bekannten Datentypen ausblenden.
[Only registered and activated users can see links. Click Here To Register...]
Dann kopiert ihr in diese Datei die Inhalte der Textdateien, die im Anhang sind ( welche ihr wollt) und schon k�nnen Computer aus diesen L�ndern nicht mehr auf euren Webservice zugreifen.

Wenn euer Server geddost wird bin ich immer dankbar f�r eure Logs, um neue L�nder der Liste hinzuzuf�gen.

Hier noch eine Auflistung der IPs die ihr sperren w�rdet:
Iran -> 9,611,528
Japan -> 201,653,760
Russland -> 46,057,760
China -> 330,090,748
Albanien -> 369,408

Vielleicht hilft es jemandem.
Weitere L�nder auf Anfrage.
Wenn jemand die Listen als CIDR,Netmask, IP Range, .htaccess Allow,Decimal/CIDR, Cisco ACL, PeerGuardian2
Web.config deny, Web.config allow oder network-object haben will einfach anschreiben.
Kein VT weil .txt.

MfG

05/26/2013 00:20 Icetea#2

Geh�rt nicht in diese Sektion da es "nichts" mit Flyff Servern zu tun hat, auch wenn gerade viele Server davon betroffen sind bin ich der Meinung das dies ein Tutorial f�r die Allgemeinheit ist und nicht in die Flyff Sektion geh�rt.;)

#moverquest

Greetings

05/26/2013 00:22 Laymi#3

Hallo.
Ja das habe ich zuerst auch gedacht, aber gerade wegen der von dir angesprochenen Frequenz von Attacken auf Flyff Server habe ich mich dann doch f�r die Flyff Section entschieden.

MfG

05/26/2013 00:25 Reavern#4

Der Verweis im Flyff-Bereich ist 1 Tag lang da.

#moved

05/26/2013 00:42 �...#5

vielen dank f�r den guide sehr hilfreich, kann man eigendlich auch ne weiterleitung einrichten, sodass die leute dich nicht dossen sondern die seite von Angela merkel. Wer nat�rlich f�r die besitzer des botnetz richtig bitter, die wrden dann auf jeden fall geschnappt

05/26/2013 00:53 Laymi#6

Ja, das ginge aber da die Botnets im Iran sitzen ist die Chance einer erfolgreichen Suche nach einem Schuldigen = 0.

So w�rde ich deine Idee umsetzen.(.htaccess & mod_rewrite)
Die redirect.html k�nnte man dann einfach als Weiterleitung benutzen.

Code:

Get mod_rewrite going
Options -MultiViews +FollowSymLinks
RewriteEngine On

# Weiterleiten
RewriteCond %{REMOTE_ADDR} IP 1 [NC]
RewriteCond %{REMOTE_ADDR} IP 2 [NC]
...
RewriteCond %{REMOTE_ADDR} IP 201,653,760 [NC]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule !redirect.html$ redirect.html [R=307,L]

05/26/2013 01:16 FlyCraft.TobiLap#7

Bringt den Flyff Leuten rein GARNICHTS ... weil 99% ihren server bei Webtropia haben. diese machen di leitung zu, sobald bissl ddos kommt

05/26/2013 01:25 �...#8

wer einen server bei webtropia hat kann eh seinen server vergessen, der hoster ist bescheuert

05/26/2013 01:33 Laymi#9

Es gibt genug Leute, die einen Server bei Hetzner oder Staminus haben. Letzteres ist wie ich meine die beste Wahl.