esse est percipi
Das Weblog eines Grafikdesigners. Seit 2003.

esse est percipi

Einfach gute Mac-Apps.

Von einem unabhängigen Entwickler,
der sie täglich selbst nutzt.

Blog Apps

Impressum/Datenschutz/AGB

Webdesign | Montag, 28. Februar 2005

DoS-Angriffe und logFiler

Heute hat der User c211-30-211-59.rivrw3.nsw.optusnet.com.au (ich kenne ihn nicht, ohnehin kenne ich kaum jemanden in Australien, habe deshalb auch keinerlei Ahnung, was ich dort irgendjemandem getan haben könnte) in der Zeit von 08:49:10 bis 12:02:05 Uhr ca. 97.000 Anfragen an qxm.de gestartet. Das sind 510 pro Minute oder 9 pro Sekunde; und das über einen Zeitraum von über drei Stunden! Das Apache-Access-Logfile war nach neun Stunden bereits drei Mal so groß wie normalerweise nach 24 Stunden.

Der Spuk hörte erst auf, als ich das zufällig bemerkte und die IP-Nummer 211.30.211.59 gesperrt habe. Um der Wahrheit die Ehre zu geben, habe ich sicherheitshalber gleich das gesamte OptusNet.com.au-Netzwerk gesperrt, da es sich um eine dynamisch vergebene IP-Nummer handelte.

Nachdem ich so etwas schon lange nicht mehr erleben durfte, kann man jetzt ein relativ zügiges logFiler-Update erwarten. Die nächste Version wird eine optionale zeitbasierte IP-Sperre enthalten: Alle User mit mehr als einer bestimmten Anzahl von Anfragen pro Minute werden automatisch gesperrt.

Kommentare:

Bei den Kommentaren handelt es sich um fremde Inhalte, die sich „esse est percipi“ nicht zueigen macht. Verantwortlich für den Inhalt eines Kommentars ist der jeweilige Verfasser.

Martin Kautz Montag, 28. Februar 2005, 16:54 Uhr

Das ist ja wirklich ‘ne üble Sache. Aber dem Fakt, dass das von nur einer IP-Adresse kam (und selbige sogar real war), solltest Du eher dankbar (statt vorverurteilend) gegenüberstehen: Vielleicht war der arme Aussi nur eine Drohne und handelte „fremdbestimmt“. Schlimmer wäre gewesen, wenn sich irgendjemand noch die Mühe gemacht hätte, die IP bei jedem Request zu fälschen…

Gerrit Montag, 28. Februar 2005, 17:47 Uhr

Ah Quatsch, das war doch einfach nur ein großer Fan Deiner Texte! Wie sagte noch der nervige Roboter Nummer 5 im Jahre 1985: »Mehr Input!«

Michael Preidel Montag, 28. Februar 2005, 18:47 Uhr

Haha, eigentlich glaube ich weder an Drohne noch Fan, obschon das ganze ziemlich nervig war. Übrigens war bei den Anfragen der User-Agent unterdrückt, das unterstreicht die in meinen Augen nicht ganz koscheren Absichten.

Ich bin mir allerdings keiner Schuld bewusst: Außer, dass ich hier letztens meine Meinung über das grottoide Siemens Service-Center kundgetan habe (die Geschichte ziiieeeeht sich, Fortsetzung in den nächsten Tagen), wüsste ich nicht, wem ich so auf den Schlips getreten haben könnte, dass man hier sozusagen einen Mini-DoS-Attack veranstalten muss.

Wobei 97.000 Anfragen innerhalb von drei Stunden so ganz Mini ja auch nicht mehr sind.

Wahrscheinlich bin ich einfach ein Zufallsopfer irgendeines aus dem Ruder gelaufenen Script Kiddies.

Zuperfly Montag, 28. Februar 2005, 20:01 Uhr

Vielleicht hat der olle Australier ja auch einfach qxm mit gmx verwechselt? ;-)

Zuperfly Montag, 28. Februar 2005, 20:02 Uhr

Vielleicht hat der olle Australier ja auch einfach qxm mit gmx verwechselt? ;-)

Martin Kautz Dienstag, 1. März 2005, 09:31 Uhr

Was ich meine: Auch ein unterdrückter User-Agent sollte nicht die Unschuldsvermutung aushebeln. Ich hab mehr als einen (Windows-) PC gesehen, der den überwiegenden Anteil seiner CPU-Zeit mit Dingen verbringt, die sein „Herrchen“ nicht bemerkte, geschweige denn veranlaßte… Insofern halte ich die „Beweislage“ als für zu dünn, um „loszupoltern“. Zumal ja nichts Schlimmes passiert ist bzw. der „Angreifer“ sich ja nicht mal besonders smart angestellt hat.

Michael Preidel Dienstag, 1. März 2005, 16:25 Uhr

Ich will es mal so sagen: Dafür, dass meine Website für eine ungewisse Zeit nicht erreichbar war, weil eine Logdatei übergelaufen war, und mich dazu mein Hoster angeschrieben hat, weil meine Website Lastprobleme auf dem Server verursacht hat und mir deshalb mit Umzug droht, bin ich erstaunlich ruhig geblieben. Als „nichts Schlimmes passiert“ würde ich das nämlich nicht gerade bezeichnen.

Ob unwissentlich oder nicht: Der Typ (ich bin sicher: Frauen machen so etwas nicht) ist ein gemeingefährlicher Vollzeitdepp, den man nicht in die Nähe von Computern lassen sollte.

Martin Kautz Dienstag, 1. März 2005, 17:08 Uhr

Ummm, okay… Der Typ war ein Depp! :-) So ist das halt mit einer Website, die man ins Netz stellt: Entweder man trägt seiner potentiellen Verwundbarkeit auf Applikationsebene Rechnung oder man sucht sich einen anderen Hoster, der den Webserver hinter eine Firewall mit ‘stateful inspection’ stellt. Dass ein überlaufendes Logfile eine shared-hosting-Umgebung aus dem Tritt bringt, finde ich auch eher bedenklich…

Just my (last) two cents.

Adalbert Duda Dienstag, 1. März 2005, 18:00 Uhr

Naja, aber gleich ganz Optusnet Australien vom Weblog aussperren :-( Kann das eventuell auch nicht entstehen, wenn jemand schnell mit einem entsprechenden Tool die ganze Website runterladen möchte?

Michael Preidel Mittwoch, 2. März 2005, 11:46 Uhr

@ Martin: Das überlaufende Logfile war meine eigene Dämlichkeit. Aber du wirst es mir nachsehen, wenn ich die Dinge ein wenig anders sehe als du: Für mich ist nicht derjenige der Schuldige, der nicht alle Eventualitäten in den Schutz vor Angreifern mit einbezogen hat, sondern der, der mit 96.000 Anfragen innerhalb von drei Stunden eine Website lahmgelegt hat.

@ Adalbert: Ich verstehe ohnehin nicht, warum sich manche Leute ihre Festplatte mit dem Herunterladen kompletter Websites zumüllen müssen. Haben die Angst, dass ich meine Website irgendwann unvermittelt schließe? Oder wollen die vielleicht irgendwas plagiieren? Egal, es gibt jeden Monat zwei oder drei, die ihren User-Agent-String auf irgendwas harmloses umstellen und alles hier herunterladen. Das sind dann allerdings „nur“ irgendwas bei 3000 Anfragen. Bei 96.000 Anfragen hat der Typ meine Website also ziemlich exakt 32 Mal heruntergeladen. Solange ich die zeitbasierte IP-Nummern Sperre noch nicht eingebaut habe, bleibt OptusNet deshalb gesperrt.

Martin Kautz Freitag, 4. März 2005, 21:49 Uhr

Michael, was ich meinte (und an dieser Stelle wirklich zum letzten Mal herausstellen will): Vorausgesetzt, der Aussi war es selber und hat mutwillig gehandelt, dann ist er natürlich ein Arsch. Aber: Liegt es nicht in Deiner Verantwortung, solchen Dingen vorzubeugen? Ist es nicht eine schlechte Architektur, wenn jeder pubertierende DAU sie abschiessen kann? Sicherst Du Deine Wohnung oder Dein Büro mit einem Bartschlüssel? Irgendwie hat mich das ganze an Deinen Aufschrei über ein dickes Sicherheitsloch in PHP bei über die URL parameterisierten (und ungeprüften) Includes erinnert…
Wenn ich etwas salopp kommentierte, dass ja nix passiert sei, dann nicht weil ich die Bedeutung von qxm.de herabsetzen wollte. Was ich meinte, war, dass hier nix läuft, das „mission critical“ ist. Du hast kein Geld verloren, weil Dein Online-Shop down war und nicht verkaufen konnte… Ich will ja nur dafür sensibilisieren, dass sich die Publisher von Webanwendungen nicht nur um das Aussehen und den Content Ihrer Sites kümmern, sondern auch mal über Robustheit und Sicherheit nachdenken… Je mehr Zeit und Wissen alle Webmaster dieser Welt darauf verwenden, um so eher wird der übergroße Teil frustrierter Skript-Kiddies seinen Spass daran verlieren und sich vielleicht produktiveren Dingen zuwenden. Punkt.

Thiemo Montag, 7. März 2005, 19:23 Uhr

@Martin: Verzeihung, aber deine Argumentation ist dämlich. Wenn jemand die Scheiben deines Autos mit Steinen einschmeißt, argumentiert doch auch niemand, dass du selbst schuld bist: schließlich hättest du Panzerglas einbauen können.