Anti Denial Of Service...in Zsh

[q9c9p 19]

Salve a tutti,

 

questa sera vorrei condividere con voi lo script scritto velocemente da me e un amico per difenderci da piccoli attacchi dos, questo script non vi proteggera da attacchi in grande stile, se vi saturano la banda sarete comunque foxuti.

 

Provatelo e fatemi sapere.

 

[spoiler]

#!/usr/bin/env zsh

# quick antiddos protection by Jaromil and q9c9p
# Aug 2013

connlimit=30
sleep=.3

while `sleep $sleep`; do
conns=`netstat -ntau | tail -n+3 | awk '{print $5}' | cut -d: -f1 | sort | uniq -c`
for c in ${(f)conns}; do
ip=`print $c | awk '{print $2}'`
nc=`print $c | awk '{print $1}'`
{ test "$ip" = "0.0.0.0" } && { continue }
{ test "$ip" = "5.9.153.8" } && { continue }
{ test "$ip" = "127.0.0.1" } && { continue }
#echo "ip: $ip have conns: $nc"

{ test $nc -gt $connlimit } && {
echo "$ip -> blackhole"
echo "ip route blackhole $ip" }
done
done
[/spoiler]

 

Siete liberissimi di usarlo come spunto per i vostri script e liberissimi di modificarlo e migliorarlo, ma entriamo nel dettaglio, cosa fa questo script? ogni 0.3 secondi conta tutte le connessioni per ogni ip, se queste superano le 30 connessioni vieni spostato in una tabella di routing chiamata blackhole ( buco nero )

 

Putroppo se avete svariati servizi sulla stessa macchina potreste avere dei falsi positivi (tipo minecraft+teamspeak+sito+whatever) quindi testate e controllate, personalmente avendo svariati servizi sulla stessa macchina ho impostato il numero di connessioni abbastanza alto ma testando con lo slowfloris e con hping3 ha funzionato ruotando tutto il mio traffico nel buco nero, ripeto, questo script non vi proteggera da attacchi in grande stile e distribuito ( tipo 3gbs ) ma testando fra amici abbiamo mitigato fino a 140mbs.

 

Magari discutendo sulla logica di controllo-funzionamente potremmo migliorarlo molto.

 

Buona notte e buone botte!

 

Ⓐ q9c9p Ⓐ