服务器, 未分类, 运营维护

巧用Nginx的日志功能配合IPTABLES实现防范基础CC攻击(2013年11月24日8:24:13更新)

相信不少人都被CC过，我也不例外，因此一直以来想尽各种办法降低PHP所占的资源。

PHP所耗的资源算压下去了，带宽却满了……

之前也看过有人使用Nginx的第三方模块limit req2实现防CC攻击，自己也弄过，但效果没想象中的好，只用了几十分钟我就抛弃了……

昨天其中考试结束后，突然灵机一动，想到一个新的防CC方法。回家后经过多次调试，几经完善，已经基本能正常使用了。

这其中利用了Nginx的日志功能，还有自己写的一个Shell Script。本文出自微宇宙(http://zhensheng.im)，转载者死一户口本。

Apache的请移步这里：Apache:只有访客IP的日志格式

首先给Nginx添加一个只有访客IP的日志格式，在nginx.conf的http层加入以下代码：

    log_format  iponly  '$remote_addr';

1	log_format iponly '$remote_addr';

重启nginx，就会多一个名为iponly的日志格式。本文出自微宇宙(http://zhensheng.im)，转载者死一户口本。

顺便提一下：$remote_addr是HTTP请求头，此变量包含访客真实IP地址。更详细的介绍请移步：多重代理时如何防止伪造X-Forwarded-For且获取真实IP

然后修改需要开启防CC的网站配置文件，在server层加入以下代码：

        access_log             /var/log/nginx/iponly.log              iponly;

1	access_log /var/log/nginx/iponly.log iponly;

除非nginx对日志目录有写入权限，否则要把这一步也执行了：

touch /var/log/nginx/iponly.log

1	touch /var/log/nginx/iponly.log

然后重启nginx，这样该站点就会多一个只记录访客IP的日志。其中的/var/log/nginx/iponly.log是日志的路径，可以自行更改。

刷新一下网站，看看日志文件里面有没有出现真实IP地址。有的话就代表一切正常。

接下来是最关键的一步，写监控该日志文件的Shell Script。本文出自微宇宙(http://zhensheng.im)，转载者死一户口本。

2013年11月24日修改，可同时封禁多个IP：

#!/bin/bash
#函数ban_now
ban_now() {
#输出IP的内容
echo $1
#执行iptables对该IP封禁
iptables -I INPUT -s $1 -p all -j DROP
#封禁后执行mail命令，给指定邮箱发一封邮件
echo -e "IP:$1 was banned at $(date).\n\niptables filter tables:\n\n$(iptables -L -n -t filter)" | mail -s "IP:$1 was banned at $(date)" your@email.com
}
#循环的开始
while [ "$loop" = "" ]
do
#清空日志文件
cat>/var/log/nginx/iponly.log<<EOF
EOF
#延迟五秒
ping -c 5 127.0.0.1 >/dev/null 2>&1
#合并，排序IP，输出获取请求数最大的IP及其请求数，请求数与IP之间使用英文逗号隔开，然后赋值给connections
connections=$(cat /var/log/nginx/iponly.log | sort -n | uniq -c | sort -nr | awk '{print $1 "," $2}')
#判断变量connections是否为空
if [ "$connections" != "" ];then
#输出变量connections的内容
  echo $connections
#连接数的for循环开始
  for ipconntctions in $connections
    do
#截取连接数
      connectnumber=$(echo $ipconntctions | cut -d "," -f 1)
#判断该IP连接数是否大于200
      test $connectnumber -ge 200 && banit=1
#大于200，把IP赋值给变量fuckingip
      if [ "$banit" = "1" ];then
          fuckingip=$(echo $ipconntctions | cut -d "," -f 2)
          ban_now $fuckingip
          unset banit
      else
#否则，结束for循环
          break
      fi
     done
fi
done

#!/bin/bash

#函数ban_now

ban_now() {

#输出IP的内容

echo $1

#执行iptables对该IP封禁

iptables -I INPUT -s $1 -p all -j DROP

#封禁后执行mail命令，给指定邮箱发一封邮件

echo -e "IP:$1 was banned at $(date).\n\niptables filter tables:\n\n$(iptables -L -n -t filter)" | mail -s "IP:$1 was banned at $(date)" your@email.com

}

#循环的开始

while [ "$loop" = "" ]

#清空日志文件

cat>/var/log/nginx/iponly.log<<EOF

EOF

#延迟五秒

ping -c 5 127.0.0.1 >/dev/null 2>&1

#合并，排序IP，输出获取请求数最大的IP及其请求数，请求数与IP之间使用英文逗号隔开，然后赋值给connections

connections=$(cat /var/log/nginx/iponly.log | sort -n | uniq -c | sort -nr | awk '{print $1 "," $2}')

#判断变量connections是否为空

if [ "$connections" != "" ];then

#输出变量connections的内容

echo $connections

#连接数的for循环开始

for ipconntctions in $connections

#截取连接数

connectnumber=$(echo $ipconntctions | cut -d "," -f 1)

#判断该IP连接数是否大于200

test $connectnumber -ge 200 && banit=1

#大于200，把IP赋值给变量fuckingip

if [ "$banit" = "1" ];then

fuckingip=$(echo $ipconntctions | cut -d "," -f 2)

ban_now $fuckingip

unset banit

else

#否则，结束for循环

break

done

因为要该Shell Script一直执行，因此我使用while…do…done制作了一个“死循环”。
在第六行写了一个函数ban_ip()，是使用iptables对IP进行封禁，并且完成后给我的邮箱发一封邮件。标题为：“IP和封禁时间”。内容为IP封禁时间和iptables的filter表。本文出自微宇宙(http://zhensheng.im)，转载者死一户口本。

为何与200对比？经过我多次测试，发现五秒内200请求数是比较正常的。当然你可以改小或者改大一点。

保存以上代码后，赋予x(执行)权限。

要实现该Shell Script在后台类似daemon，就需要使用nohup这个东西了：

nohup 该shell script的位置 >/dev/null 2>&1 &

1	nohup 该shell script的位置 >/dev/null 2>&1 &

>/dev/null 2>&1表示把执行该shell script所输出的信息(shell script中的几个echo，我调试是时候用的。)重定向至/dev/null里面。

最后面的&代表后台执行。本文出自微宇宙(http://zhensheng.im)，转载者死一户口本。

这样的话，即使注销了登录，该Shell Script也一样会在后台执行。

到此文章首发为止，暂未出现误封的情况：

看了下日志，就知道此IP不怀好意了：

经过多次测试，效果是不错的，但该方法也有不足：仅限于防那些单IP连接数较大的CC攻击。遇到成百上千个IP的攻击，且每IP连接数只有一两个的话，那恐怕安全宝什么的都无能为力了(貌似阿里云的云盾可以，会看到域名后面有尾巴)……本文出自微宇宙(http://zhensheng.im)，转载者死一户口本。

Tags: CC, IPTABLES, log, nginx, 日志

14 Comments

Comments are closed.

You might also like:

服务器, 运营维护

多重代理时如何防止伪造X-Forwarded-For且获取真实IP

当我们给网站使用例如CDN，Nginx或Varnish等缓存服务时，为了获取访客的真实IP，大多数会地把访客的真实IP赋值给X-Forwarded-For(下文简称XFF)。但是因为XFF是个HTTP请求头，也就是最前面带有http_，因此这类http信息就可以被伪造。其实根据实际使用情况判断是否需要获取XFF内容就不会出现这些问题。拿Nginx的反代理(Proxy模块)功能来说，有人会把$proxy_add_x_forwarded_for变量的内容传给后端作为用户的真实IP。 Nginx对该变量的处理非常智能，当有XFF传过来时，Nginx就会自动把Ngin […]

Nginx ssl_preread传递客户端IP

ssl_preread是基于L4的反代方案，TLS SNI握手时客户端会提供域名，所以可以让Nginx在无需完成TLS握手的情况下，就根据域名进行后端服务器的选择。简单来讲，你只需要给后端服务器配置一个SSL证书，而提供反代功能的Nginx则无需配置。文档见此：http://nginx.org/en/docs/stream/ngx_stream_ssl_preread_module.html 因为这是L4反代，所以通过“proxy_set_header”传递客户端IP的方法是行不通的。其实传递客户端IP的解决办法跟上一篇文章类似：L4(传输层)IP透明反向代理的实现(传递客户端真实IP)，ng […]

运营维护

使用Varnish Cache时，让Nginx获取访客真实IP

之前发表过一篇文章：Varnish(前)+Nginx(中)时,让Apache(后)获取用户真实IP(多重代理) 该方法能成功解决使用或者不使用CDN时，在Varnish前端，Nginx中端，Apache解析PHP文件的情况下让Apache获取访客真实IP。因为当时主要是利用Nginx进行缓存，没使用其他功能，旧没让Nginx也获取访客真实的IP。其中Varnish处理XFF的关键代码：

     if (req.restarts == 0) {
        if (req.http.x-forwarded-for) {
#           set req.http.X-Forwarded-For =
#               req.http.X-Forwarded-For + ", " + client.ip;
        } else {
            set req.http.X-Forwarded-For = client.ip;
        }
     }

if (req.restarts == 0) {

if (req.http.x-forwarded-for) {

# set req.http.X-Forwarded-For =

# req.http.X-Forwarded-For + ", " + client.ip;

} else {

set req.http.X-Forwarded-For = client.ip;

}

也就是把客户的IP赋值给XFF。那样后端处理就方便多了。昨天在为一台Varnish+Nginx+Apache的服务器添加并测试防轻量级CC的 […]

Varnish(前)+Nginx(中)时,让Apache(后)获取用户真实IP(多重代理)

不得不说我有点问题，网站一个Apache+Varnish不够，还要在Apache和Varnish之间插入个第三者——Nginx。因为某些需要，也给该服务器上的个别网站上了CDN。 Apache做后端，前面多一个Nginx Proxy Cache+Varnish，获取用户的真实IP不难，只需给Apache上一个rpaf模块就行了，然后让Varnish处理XFF的内容就好了：

     if (req.restarts == 0) {
       if (req.http.x-forwarded-for) {
           set req.http.X-Forwarded-For =
               req.http.X-Forwarded-For + ", " + client.ip;
       } else {
           set req.http.X-Forwarded-For = client.ip;
       }
     }

if (req.restarts == 0) {

if (req.http.x-forwarded-for) {

set req.http.X-Forwarded-For =

req.http.X-Forwarded-For + ", " + client.ip;

} else {

set req.http.X-Forwarded-For = client.ip;

}

无CDN的情况下访问网站，可以正确获取到用户的真实IP。最近给网站上多了一个CDN，rpaf模块就显得无能为力了。因此，这几天一直苦恼如何让我的网站获取用 […]