Новости Joomla

20 лет Joomla: Ринат Кажетов

20 лет Joomla: Ринат Кажетов.В 2025 году Joomla исполнилось 20 лет

В 2025 году Joomla исполнилось 20 лет. Вокруг неё сложилось большое интернациональное русскоязычное сообщество. На сайте нашего сообщества и на Хабре к юбилею были собраны интервью с его видными представителями. Сегодня мы читаем интервью с Ринатом Кажетовым (@rkazhet). Ринат - один из администраторов чата русскоязычного Joomla-сообщества, из Казахстана. Это человек, который всегда знает или найдёт нужную ссылку, пристально следит за новостями в мире Joomla, многое узнаёт первым и просто очень отзывчивый человек. Интервью с Ринатом провёл Евгений Сивоконь.

Читать интервью

0 Пользователей и 1 Гость просматривают эту тему.
  • 24 Ответов
  • 26607 Просмотров
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
POST атака
« : 13.02.2014, 09:01:27 »
Добрый день.

Подскажите как можно бороться с атакой в виде множественных POST запросов вида:
Код
158.181.151.53 - - [11/Feb/2014:00:01:22 +0400] "POST /?option=com_komento HTTP/1.0" 302 13 "http://papa-admin.ru/blog/mikrotik/nastrojka-mikrotik-routerboard-751u-2hnd-dlya-doma.html" "Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/32.0.1700.107 Safari/537.36"
77.108.119.162 - - [11/Feb/2014:00:01:22 +0400] "POST /?option=com_komento HTTP/1.0" 302 33 "http://papa-admin.ru/blog/mikrotik/mikrotik-metarouter-astersik.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/32.0.1700.107 Safari/537.36"
188.242.46.227 - - [11/Feb/2014:00:01:22 +0400] "POST /?option=com_komento HTTP/1.0" 302 33 "http://papa-admin.ru/blog/mikrotik/nastrojka-marshrutizatora-mikrotik-rb951g-2hnd-s-nulya.html" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/32.0.1700.107 Safari/537.36"
83.219.130.179 - - [11/Feb/2014:00:01:22 +0400] "POST /?option=com_komento HTTP/1.0" 302 13 "http://papa-admin.ru/blog/mikrotik/mikrotik-i-dva-kanala-part3.html" "Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.70 Safari/537.36"
195.3.132.238 - - [11/Feb/2014:00:01:23 +0400] "POST /index.php?option=com_komento&lang=none&Itemid=263 HTTP/1.0" 302 13 "http://papa-admin.ru/blog/mikrotik/mikrotik-i-dva-kanala-part3.html" "Opera/9.80 (Windows NT 5.1) Presto/2.12.388 Version/12.16"
1

Количество их безумное, с разных IP адресов, при чем, иногда, даже nginx не спасает.
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #2 : 13.02.2014, 09:25:39 »
http://joomlaforum.ru/index.php/topic,210027.30.html

Пробовал, не помогает.
У меня запросов с одного IP не много (1-2 в секунду), но они идут с большого количества IP адресов
*

wishlight

  • Гуру
  • 5074
  • 319 / 1
  • От 300 руб быстрый хостинг. Сервера.
Re: POST атака
« Ответ #3 : 13.02.2014, 09:28:52 »
Да забить. У меня к примеру мощности хватает.
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #4 : 13.02.2014, 09:56:52 »
Да забить. У меня к примеру мощности хватает.

Ваш ответ, видимо реклама ваших услуг.

У меня не хватает!
Иначе бы я тут не писал

*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: POST атака
« Ответ #5 : 13.02.2014, 09:59:35 »
а что на запрет POST в nginx ?
jHackGuard пробовал тоже ?
Отбиваться от HTTP/1.0"
*

Arkadiy

  • Гуру
  • 5317
  • 463 / 2
  • Крепитесь, други.
Re: POST атака
« Ответ #6 : 13.02.2014, 10:03:42 »
Я из-за таких кренделей купил Акибу Админ Тулз, настроил, теперь проблем не знаю.
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #7 : 13.02.2014, 10:12:49 »
а что на запрет POST в nginx ?
jHackGuard пробовал тоже ?
Отбиваться от HTTP/1.0"

в nginx стоит только лимит на одновременные запросы:

Код
    limit_zone   one  $binary_remote_addr  4m;
    limit_conn   one  5;

jHackGuard не пробовал.
пробовал rsFirewall - не помогает. Он вообще этих атак не видит.

Вообще, у меня подозрения на компонент Komento. После его установки такое пошло.
и 99% POST запросов это:
option=com_komento&lang=none&Itemid=265
или option=com_komento&lang=none&Itemid=263
или option=com_komento

Еще заметил что у мена error.log пустой. Разве это нормально ?
*

Arkadiy

  • Гуру
  • 5317
  • 463 / 2
  • Крепитесь, други.
Re: POST атака
« Ответ #8 : 13.02.2014, 11:21:15 »
Код
Вообще, у меня подозрения на компонент Komento. После его установки такое пошло.
Сам компонент тут не виноват, просто вас нашли злоумышленники, которые знают (или знали) дыру в этом компоненте, позводяющую, скорее всего просто спамить на ваш сайт комментарии. Удаление этого компонента со временем уберет нагрузку этими запросами.
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #9 : 13.02.2014, 11:35:21 »
jHackGuard пробовал тоже ?
Попробовал. За пол часа работы ничего не изменилось и я так и не понял где он создает лог файл.
Должен быть в log, но его там нету.
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #10 : 13.02.2014, 13:04:03 »
Код
Вообще, у меня подозрения на компонент Komento. После его установки такое пошло.
Сам компонент тут не виноват, просто вас нашли злоумышленники, которые знают (или знали) дыру в этом компоненте, позводяющую, скорее всего просто спамить на ваш сайт комментарии. Удаление этого компонента со временем уберет нагрузку этими запросами.


И, всетаки, похоже дело в компоненте.
После того как поставил заново компонент, при просмотре страницы в логе заметил запись с моим IP
Код
[13/Feb/2014:12:54:03 +0400] "POST /?option=com_komento HTTP/1.0" 403 281 "http://papa-admin.ru/blog/elastix/nastrojka-programmiruemykh-knopok-telefonov-cisco-dlya-raboty-s-elastix.html" "Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/32.0.1700.107 Safari/537.36"

Вот и скажите мне, если я только просматриваю страницу что за POST-ы идут ?
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: POST атака
« Ответ #11 : 13.02.2014, 13:33:53 »
Попробуй в nginx
Код
if ($server_protocol ~* "HTTP/1.0") {
    return 403;
}
http://serverfault.com/questions/389132/block-http-1-0-with-nginx
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #12 : 13.02.2014, 14:59:34 »
Попробуй в nginx
Код
if ($server_protocol ~* "HTTP/1.0") {
    return 403;
}
http://serverfault.com/questions/389132/block-http-1-0-with-nginx

подскажите куда этот код вставить.
У меня сервер не запускался когда я добавил после
    limit_zone   one  $binary_remote_addr  4m;
    limit_conn   one  5;
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: POST атака
« Ответ #13 : 13.02.2014, 15:55:15 »
Отдельная секция в nginx.conf
Код
server {
if ($server_protocol ~* "HTTP/1.0") {
    return 403;
}
}
Нарыл еще для отбоя, index.php в корне сайта в самом начале
Код
<?php header("HTTP/1.0 301 Moved Permanently");
header("Location: http://site.ru/");
exit(); ?>
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #14 : 14.02.2014, 09:17:57 »
В общем, если кому интересно, то я поборол данную атаку переделкой скрипта http://usefulscript.ru/avtoban.php с занесением нежелательных адресов в .htaccess
за первых же пол часа в бан попали около 40 адресов, и нагрузка на сервер упала более чем на 90%.
на сегодняшний день в бане:
Код
<Limit POST> 
 order allow,deny
 deny from 5.35.43.87
 deny from 5.45.255.85
 deny from 5.167.212.245
 deny from 5.167.226.140
 deny from 31.47.198.42
 deny from 31.163.58.179
 deny from 31.163.77.240
 deny from 37.8.154.189
 deny from 37.28.190.210
 deny from 37.147.211.146
 deny from 46.32.78.191
 deny from 46.53.195.206
 deny from 46.146.77.210
 deny from 46.148.176.24
 deny from 46.149.225.187
 deny from 46.229.141.14
 deny from 62.33.213.162
 deny from 62.105.139.3
 deny from 78.139.196.7
 deny from 79.111.13.184
 deny from 79.175.34.46
 deny from 81.28.174.78
 deny from 83.69.117.138
 deny from 83.149.45.239
 deny from 83.219.137.87
 deny from 83.220.238.240
 deny from 83.221.194.86
 deny from 87.117.163.68
 deny from 87.255.224.165
 deny from 88.83.200.63
 deny from 89.105.145.26
 deny from 89.209.13.118
 deny from 89.218.50.114
 deny from 91.143.40.66
 deny from 91.222.121.185
 deny from 92.125.157.205
 deny from 92.255.5.18
 deny from 93.123.182.154
 deny from 93.125.34.1
 deny from 93.125.111.199
 deny from 94.24.249.102
 deny from 94.73.234.113
 deny from 94.158.188.13
 deny from 94.181.45.242
 deny from 94.228.255.35
 deny from 94.230.134.102
 deny from 94.243.137.138
 deny from 95.31.192.60
 deny from 95.143.8.230
 deny from 95.153.194.238
 deny from 95.154.88.3
 deny from 95.167.175.181
 deny from 95.182.73.66
 deny from 95.182.111.34
 deny from 109.106.214.82
 deny from 109.188.127.243
 deny from 109.191.80.142
 deny from 109.194.19.240
 deny from 109.195.131.1
 deny from 109.202.10.72
 deny from 109.225.40.191
 deny from 109.248.101.157
 deny from 123.50.88.56
 deny from 171.25.233.177
 deny from 176.56.12.47
 deny from 176.110.20.56
 deny from 178.76.232.138
 deny from 178.88.218.52
 deny from 178.137.208.10
 deny from 188.32.128.198
 deny from 188.65.236.26
 deny from 188.168.30.13
 deny from 193.104.14.66
 deny from 194.187.149.173
 deny from 195.22.131.102
 deny from 195.60.201.35
 deny from 195.222.75.225
 deny from 212.34.245.211
 deny from 213.80.136.82
 deny from 213.234.4.139
 deny from 217.21.50.171
 deny from 217.117.182.55
 deny from 217.144.96.94
 deny from 217.194.245.128
 allow from all
</Limit>

Список продолжает пополняться, но уже не так активно. Самое интересное что основную нагрузку создавали именно первые 40 адресов. Сейчас хоть и есть левые POST запросы, но они совершенно не мешают работе сервера.

Только до сих пор не могу понять кому сдался мой сайт.
*

era

  • Администратор
  • 1588
  • 392 / 5
  • В туалете лучше быть пользователем, чем админом.
Re: POST атака
« Ответ #15 : 14.02.2014, 09:23:09 »
ааа, что-то припоминаю по kommento - выкидывай эту дрянь. Эта шляпа постоянно шлёт запросы на сервер, что-б посмотреть появились-ли новые комментарии. Если появились то подгружает их. На посещаемых ресурсах сервер тупо сдохнет, т.к. получается DDOS атака :)

Загляни в JS-файлы его - там ещё время обновления стоит какое-то маленькое, чуть-ли не 5 секунд.
Так-что это не атака на тебя, а вот такая тупая задумка создателей компонента.
*

wishlight

  • Гуру
  • 5074
  • 319 / 1
  • От 300 руб быстрый хостинг. Сервера.
Re: POST атака
« Ответ #16 : 14.02.2014, 09:28:58 »
Прикольный компонент. Там у Jocomments по моему когда-то миграция с него была.
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: POST атака
« Ответ #17 : 14.02.2014, 10:40:48 »
Эта шляпа постоянно шлёт запросы на сервер, что-б посмотреть появились-ли новые комментарии. Если появились то подгружает их. На посещаемых ресурсах сервер тупо сдохнет, т.к. получается DDOS атака
IP то разные.
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: POST атака
« Ответ #18 : 14.02.2014, 12:51:30 »
IP то разные.
ну так сервера тоже разные могут быть куда проверка идет, или там всего один нагрузку несет из всех
*

Arkadiy

  • Гуру
  • 5317
  • 463 / 2
  • Крепитесь, други.
Re: POST атака
« Ответ #19 : 14.02.2014, 14:00:55 »
Подождите, если мы смотрим access.log, то туда пишутся входящие запросы, значит исходящие нам не видны. Или я не прав?
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #20 : 14.02.2014, 16:43:26 »
ааа, что-то припоминаю по kommento - выкидывай эту дрянь. Эта шляпа постоянно шлёт запросы на сервер, что-б посмотреть появились-ли новые комментарии. Если появились то подгружает их. На посещаемых ресурсах сервер тупо сдохнет, т.к. получается DDOS атака :)
Вот и я про это подумал. Но тут все вместе и атака и проверка. Сама по себе проверка не ест много ресурсов, у меня не тот объем посетителей.

По любому, на данный момент komento деинсталирован.
Поэтому как таковых запросов к нему не может быть, следовательно все что есть я считаю спамом, и если их более 2 за 180 секунд, то заношу в черный список IP адрес.

На счет jComments, я его раньше использовал, но коменто, даже бесплатный мне больше понравился.
« Последнее редактирование: 14.02.2014, 16:49:23 от alexandro »
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #21 : 14.02.2014, 16:47:24 »
Подождите, если мы смотрим access.log, то туда пишутся входящие запросы, значит исходящие нам не видны. Или я не прав?
Так, в данном случае и получается входящий запрос с уже открытой странички на проверку новых комментариев.

Когда верну коменто. посмотрю, может в настройках есть возможность отключить автоматическую проверку.
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #22 : 14.02.2014, 16:52:30 »
Я из-за таких кренделей купил Акибу Админ Тулз, настроил, теперь проблем не знаю.

Посмотрел я этот компонент. На сколько я разобрался, в моем случае он совершенно бесполезен, т.к. по странам банить я не собираюсь, и атака у меня не на уязвимости Joomla, в просто ddos.
*

Arkadiy

  • Гуру
  • 5317
  • 463 / 2
  • Крепитесь, други.
Re: POST атака
« Ответ #23 : 14.02.2014, 18:29:09 »
Значит вы в чем-то не разобрались, я блокировал запросы по фрагментам uri
*

alexandro

  • Осваиваюсь на форуме
  • 43
  • 1 / 2
Re: POST атака
« Ответ #24 : 14.02.2014, 21:55:21 »
Значит вы в чем-то не разобрались, я блокировал запросы по фрагментам uri

по url банить нельзя, т.к. в атаке используются рабочие url.
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Спам-атака на форму обратной связи и нагрузка на сервер - как побороть?

Автор Antonio Racter

Ответов: 11
Просмотров: 6092
Последний ответ 07.07.2017, 15:24:40
от Antonio Racter
Атака на сайт?

Автор yura88851

Ответов: 7
Просмотров: 1769
Последний ответ 30.03.2017, 22:40:00
от yura88851
Безопасность Joomla 3.0 Как блокировать запросы POST?

Автор BuzCrysl

Ответов: 19
Просмотров: 3805
Последний ответ 31.01.2017, 13:12:23
от sterveo
Продолжительная DDoS атака. Шел 16-й день DDoS атаки. Мы отбивались, как могли

Автор natalyaegorova

Ответов: 28
Просмотров: 6339
Последний ответ 09.12.2016, 23:20:31
от dimasan57
Атака на сайт, как правильно обеспечить защиту и методы контратаки

Автор sergeyfromirkutsk

Ответов: 6
Просмотров: 1613
Последний ответ 09.06.2014, 19:46:49
от sergeyfromirkutsk