วันนี้เจอประสบการณ์โดนโจมตีผ่าน port 80 แบบ DDOS ที่ hosting แน๊กซ่าเองเลยครับ โดยมี connection attempt ประมาณ 700 connection ตลอดเวลาครับ ก็นั่งหาวิธีแก้ไขอยู่พักนึง เพราะ hosting ก็เข้าไม่ได้ ลูกค้าก็เริ่มติดต่อกันเขามา จนในที่สุดก็หาวิธีได้ครับ โดยทำดังนี้ครับ

ให้สร้างไฟล์ เพื่อใช้ตรวจสอบขึ้นมาก่อนครับ ตั้งชื่อว่า chkcon.sh ก็ได้ครับ (อ่อ hosting ของผมเป็น freeBSD นะครับ)

#!/bin/sh
MYIP=`ifconfig | grep "broadcast" | awk '{ print $2 }'` ;
netstat -an | grep "$MYIP.80" | grep "ESTABLISH" | awk '{print $5"."$NF}' | awk -F. '{print $6"   \t"$1"."$2"."$3"."$4}' | sort | uniq -c

จากนั้นลอง run ดูจะพบว่ามี connection ติดต่อเข้ามาเยอะมาก หาก hosting โดน DDOS จะดูได้ง่าย ๆ เลยครับ

1 ESTABLISHED xxx.xxx.xxx.xxx

อย่างกรณีแบบนี้ ก็ถือว่าเป็นเรื่องปกติครับ ในระดับ 1 ESTABLISHED หรือ 2 ESTABLISHED หรือ 3 ESTABLISHED แต่ถ้ามากกว่านี้ก็อาจจะเป็น IP ต้นเหตุได้ครับ สำหรับ IPFW ที่ผมใช้ผมเขียนเป็น include file แยกสำหรับการ block IP ครับ ผมก็ list เอาพวก connection ที่มากกว่า 3 ขึ้นไปออกมา และนำไป add ลงใน IPFW ครับ

DENYHOST="/etc/ipfw.denyhosts"

### Deny Attacker List ###
# SSH FTP ...
RULE=10000;
for DENYIP in `cat $DENYHOST`; do
{
REM=`echo $DENYIP | awk '{print substr(\$1,1,1)}'`;
if [ $REM != "#" ]; then
  RULE=$(($RULE+10));
  ${fwcmd} add $RULE set 1 deny all from $DENYIP to any in via $pif
fi
}
done;

ในไฟล์ /etc/ipfw.denyhosts ก็ใส่ ip เข้าไปได้เลยครับ ซึ่งก็จะสามารถป้องกัน hosting ของเราจากการโจมตีได้ครับ แต่ถึงอย่างไร หากผู้ประสงค์ร้้ายเขานึกสนุก เขาก็อาจจะเปลี่ยน IP มาโจมตีได้อีกเช่นกันครับ สำหรับประเทศที่มีกฏหมายด้านนี้รุนแรง เขาก็อาจจะเลิกยิงไปก็ได้ครับ เนื่องจากว่าเขาอาจจะระแวงว่าเราทราบ IP ของเขาแล้ว แต่หากเป็นประเทศที่กฏหมายด้านนี้อ่อนแอ hosting เราก็อาจจะโดนโจมตีได้อีกเช่นกันครับ