トップページ⇒network
981コメント252KB

SYN floodの対処法

■ このスレッドは過去ログ倉庫に格納されています
0001ひろゆき ◆L3IpNS4A 02/02/17 15:18ID:qO24E++F
シスコの高価なFWを導入する以外に、
SYN floodに対処する方法ってないんでしょうか？
http://www.niksula.cs.hut.fi/~dforsber/synflood/result.html
ここのpatchはあててみたのですが、
効果がなかったようで、、、
0153hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 01:40ID:???
>>150-151
りょーかい。じゃ、とりあえずデフォ(128)でいってみます。
01543902/02/19 01:42ID:SIES3eCm
さすがに眠くなってきたのでねるのであとはよろしく
0155anonymous@ 1Cust74.tnt3.tko2.jp.fj.da.uu.net02/02/19 01:45ID:bSjNC+3y
でも、ここ最近syn-flood攻撃が定期的に来てますけど．．　>>152
0156anonymous@ 102.pool0.dsltokyo.att.ne.jp02/02/19 01:49ID:???
いわゆるsyn-floodの場合、TCP serviceが万遍なく落ちるのであって、
http serviceだけが落ちるのは特殊じゃないかい。
0157hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 01:49ID:???
設定完了しました。
かかってきてください。

tcp_max_syn_backlog = 128
tcp_max_syncookies = 0

っす。

今から1:50まで上記の設定で。
1:50～2:00まで、cyncookiesを1にします。

D-Born使う人は、なるたけNATの内側からおねがいします。
（SYN+ACKをあまりばらまきたくないので・・・）

マジ人柱だよーーーー（泣）
0158ひろゆき ◆L3IpNS4A 02/02/19 01:49ID:Kq3S9ZHK
いやぁ、、とりあえず、FreeBSDをサーバとして入れるのはむずかしいみたいなので、
FWの代用として1台いれてみてためそうってことになったですよ。
0159anonymous@ 1Cust74.tnt3.tko2.jp.fj.da.uu.net02/02/19 01:52ID:bSjNC+3y
>>156
httpプロトコルもTCPです。
0160ななーし02/02/19 01:53ID:nsK7UavW
>>158
とりあえずなら、賢明な判断かと思うよ。
で、squidとxinetdのredirectを試してみよう。
0161hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 01:53ID:???
あ、時間短すぎましたか・・・
とりあえず、2:00まで SYN cookies 無しにします。
D-Born歓迎です。
できるだけいっぱいリロードおねがいします。
0162 ◆nnmm.69A 02/02/19 01:54ID:???
>>156 >>159
ftpやtelnetなどが落ちないのはどういうこったい、ということかな？
0163anonymous@ eAc1Abr031.tky.mesh.ad.jp02/02/19 01:56ID:88TFt8so
>>157
つーかさ、D-bornってほんとに　SYN flood攻撃しかしないわけ？
トロイになってたりしない？ 落としたけど怖くて解凍できない。
0164 02/02/19 01:59ID:???
FreeBSDだって、数十万PV/dayみたいな環境でテストした結果は
まだだれも出してないんだよね。
どぼーんに耐性があるという点ではLinuxでも同じだし、
とりあえずどっかの鯖でもう一度試してみる必要があると思うんだけど、
どうなんよ?
あの伝聞型だけではなんとも、ねぇ?
0165夜勤 ★02/02/19 02:00ID:???
余談ですが、D-born　が原因ということが確定した訳ではありません。
0166anonymous@ 1Cust74.tnt3.tko2.jp.fj.da.uu.net02/02/19 02:00ID:bSjNC+3y
＞ftpやtelnetなどが落ちないのはどういうこったい、ということかな？
なるほど、そういうことですか。

Dos攻撃中でもftpやtelnetはコネクトできていたんですか。
すんません。
0167想像力なしさん02/02/19 02:01ID:???
>>165
でも、syn-floodが原因ということは確定したんでは？
そうなら、d-bornは推定有罪ですね
0168hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:01ID:???
>>163
ごもっとも。
今、他鯖から自分にD-bornかけてます。
つーか、SYNパケだけでほとんどうまっております・・・
0169 ◆nnmm.69A 02/02/19 02:03ID:???
>>166
telnetは問題なく開通してたよ。ftpは試したことないや。。。
0170ki02/02/19 02:03ID:???
>>156
僕もそれが不思議です。一般的な syn flood じゃないのかも。
0171anonymous@ 1Cust74.tnt3.tko2.jp.fj.da.uu.net02/02/19 02:06ID:bSjNC+3y
もしかして、パーサ解析の負荷アタックかなぁ。

なんかこの前、ごみのようなレスを見たけど．．
そうすると、今回の重い原因はアプリ的(Apache)な負荷という事が出来るし．．
0172anonymous@ kagawaa1722-046058.zero.ad.jp02/02/19 02:07ID:???
>1
>22
>30
>33
>46
>58
>60
>66
>73
>106
>116
>158

>102
>125
>140
>165
0173想像力なしさん02/02/19 02:08ID:???
>>171
攻撃中は、ほとんど負荷がなくなるって夜勤さんがいってたよ
0174hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:09ID:???
なんか一人でさびしくじっけんちゅー。
syn_cookie = 1
にしました。
LAN内からは平気で繋がるようになりました。
でも、外からはだめぽ。
0175 02/02/19 02:12ID:???
｢夜勤 ★さんを応援するスレ｣が表示された･･
0176hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:12ID:???
おおーーー！
いま、外からいっこだけ繋がりました。
・・・なんか哀しい・・・
0177anonymous@ 1Cust74.tnt3.tko2.jp.fj.da.uu.net02/02/19 02:15ID:bSjNC+3y
>>173
ほんと？　PSコマンドで見ても負荷上がってないの？
でも、攻撃中はつながんないでしょ。

まさか、攻撃って誰かが物理的に線引っこ抜いてるんじゃないだろうなー（笑
0178 ◆nnmm.69A 02/02/19 02:17ID:???
（次の波が来たらみんなで80以外のportとおしゃべりかな…）
0179hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:18ID:???
>>175
あ、繋がりましたか。わーい。
ページがなにもなかったので、できるだけ大きめのものをと思い、
拝借してきてしまいました。
0180anonymous@ c137105.net61215.cablenet.ne.jp02/02/19 02:18ID:???
>>176
D-bornのＵＲＬをRIFba-02p91.ppp13.odn.ad.jpに書き換えて攻撃したらいいのかな？
0181 02/02/19 02:19ID:???
>>179
表示されるまでｶﾅｰﾘ時間かかったけどね
0182　02/02/19 02:19ID:???
D-bornってどこにあるの？
0183 02/02/19 02:21ID:nsK7UavW
>>179
うちからはなにも見えないよ。
http://rifba-02p91.ppp13.odn.ad.jp/
だよね?
0184　02/02/19 02:23ID:???
見えたよ。
0185想像力なしさん02/02/19 02:24ID:???
>>179
tcpセッションは一瞬で張れるけど、その後がこない
webサーバの問題とか？
0186hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:24ID:???
>>180
D-bornは自前で外部鯖からかけているので、WEBブラウザで
見れるかどうか試していただけるとありがたいです。
でも、カナーリ時間かかるかもです。
0187みえた02/02/19 02:25ID:JrDr7YXh
■掲示板に戻る■ 1- 101- 201- 301- 401- 501- 601- 701- 801- 901- 1001- 最新50

レス数が1000を超えています。残念ながら全部は表示しません。

夜勤 ★さんを応援するスレ

1 ：心得をよく読みましょう ：02/02/10 02:10 ID:GEiLB60N
事業化とか転送量とか鯖落ちとかセキュリティホールとか893とか鯖落ちとか鯖落（略
で大変そうな夜勤 ★さんを応援するスレです。
㌧だ時はあわてず騒がずきゅうり踊り。これ最強。


2 ：心得をよく読みましょう ：02/02/10 02:11 ID:GEiLB60N
２


3 ：心得をよく読みましょう ：02/02/10 02:12 ID:6Dhhb1j0
２げっとしてみたり


4 ：心得をよく読みましょう ：02/02/10 02:12 ID:3o4zekxg
　 (^ヽ─△<^)
　 /　　　 ~▽ 　 　／￣￣￣￣￣￣￣￣￣￣
　士　0　o 0士　＜　夜勤気合入れろやゴルァ
　 メ＿＿＿メ　　 ＼＿＿＿＿＿＿＿＿＿＿＿
　　 /へ`-L_
　(~(し′｜ ）　
0188　02/02/19 02:25ID:???
>183
こっちもみえない。
0189anonymous@ 1Cust74.tnt3.tko2.jp.fj.da.uu.net02/02/19 02:26ID:bSjNC+3y
コネクトは出来たけど、データ受信でタイムアウトした。
0190 02/02/19 02:27ID:???
D-Born v1.00とv2.00 何が違うの?
0191　02/02/19 02:27ID:???
>190
気分が違う。
0192想像力なしさん02/02/19 02:28ID:???
単純に、帯域がいっぱいで、繋がらないとか？
0193●02/02/19 02:28ID:???
>>182
http://mentai.2ch.net/test/read.cgi/accuse/1013419684/322n
0194anonymous@ eAc1Abr031.tky.mesh.ad.jp02/02/19 02:28ID:88TFt8so
>>183
おなじくタイムアウト…。
0195流れ者@ OFSfa-01p5-153.ppp11.odn.ad.jp02/02/19 02:29ID:???
データがこないな・・・
0196anonymous@ 1Cust74.tnt3.tko2.jp.fj.da.uu.net02/02/19 02:29ID:bSjNC+3y
ApacheのCPU使用率はどのくらい？
019718002/02/19 02:31ID:JrDr7YXh
>>186
180=187です
見えました。
0198anonymous@ eAc1Abr031.tky.mesh.ad.jp02/02/19 02:32ID:88TFt8so
>>194
お　リロードしたら見えたぞ　30秒で５レスぐらいづつ表示されてる。
0199aaaaa02/02/19 02:32ID:S1X1ceID
>>192
それに一票。ファイルサイズ小さくしてみ。
パケット一個分に収まるサイズで。100バイトとか。
見るべきはsynfloodへの効果なんだから。
0200CC p191.net217.tnc.ne.jpたん02/02/19 02:33ID:???
ﾀｲﾑｱｳﾄ･･ﾊﾆｬｰｿ
0201hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:33ID:???
すんません。ご協力ありがとうございました。
D-born止めましター。
0202 02/02/19 02:33ID:dtSq1F0d
4回トライして2回コネクト失敗。
0203anonymous@ eAc1Abr031.tky.mesh.ad.jp02/02/19 02:35ID:88TFt8so
>>201
いまは瞬時に表示されますね。
0204名無し02/02/19 02:35ID:???
今リロードしたら読めた。当然か
0205　02/02/19 02:36ID:XJgsraI/
みえました。
0206hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:36ID:???
結論としては、>>192の通りです。
つまりー。
ADSLじゃ意味有りませんでした・・・鬱

Linuxのloadは、最大7.0くらいでした。かなーり重かったです。
でも、LAN からは普通に繋がってました。
ので、誰も入れなくなるという事態にはなりませんでした。
0207_02/02/19 02:36ID:???
>>186
Webブラウザで見れた。

101 ：心得をよく読みましょう ：02/02/10 02:53 ID:p5wzbzlh
夜勤たんがんばれ
俺は寝る
0208_02/02/19 02:37ID:???
あらま
0209hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:41ID:???
あ、どなたかADSLかISDNからアタックしていただけると、回線溢れ
はなくなるので、いいかもー。
とりあえずLinuxのapacheは昼まで動かしっぱなしにしておきます。
0210anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 02:41ID:nsK7UavW
FreeBSD 4.5 で、用意してみした。
d-bornでアタックしてみてください。
0211anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 02:44ID:nsK7UavW
http://CBCba-52p140.ppp13.odn.ad.jp/
あっ、攻撃うけてます。 (w
0212_02/02/19 02:44ID:???
ううう、公認だからしたいけど、うち９８だからなぁ。
0213hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:45ID:???
>>210
してまーす。
2:50で止めマース。
0214anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 02:45ID:nsK7UavW
普通です。
普通に動いてます。
0215_02/02/19 02:45ID:???
>>211
遅いけど、Webブラウザーからアクセスできるよ。
0216hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:46ID:???
>>214
普通にWEBも見れマース。
0217anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 02:55ID:nsK7UavW
遅いのは大域が圧迫されてるからと思う。
VMWareなんですが、HOST側のCPUも吹けあがってないしな。

なんかWgetでF5なAtackを喰らいましたな。(w

これ書き込もうとしたら、2chの方がダメじゃん ヽ(*｀Д´)ノｺﾞﾙｧ
0218hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:55ID:???
>>217
鯖監視所みてﾜﾗﾀ・・・
0219anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 02:56ID:nsK7UavW
で、sysctlで何処いじるんだっけ。
offにするのは?
0220anonymous@ eAc1Abr031.tky.mesh.ad.jp02/02/19 02:56ID:88TFt8so
>>211
ふつーに アクセスできますね。
Win98+IE6の通常500K程度のADSL回線ですが…。
0221　02/02/19 02:56ID:???
攻撃されてた?
0222anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 02:57ID:nsK7UavW
>>221
されまくり。
何箇所からかは知らんけど。
0223_02/02/19 02:57ID:???
まだだ、まだ落ちるわけにはいかん。
明日までもて。明日には、明日には、対応できるのだよ・・・
0224hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 02:57ID:???
2:50まではしてました。えへ。
0225anonymous@ OFSfa-01p5-153.ppp11.odn.ad.jp02/02/19 02:57ID:???
>>221
ついでに２ちゃんも（ｗ
0226anonymous@ i009005.ap.plala.or.jp02/02/19 02:57ID:dtSq1F0d
今pc.2ch.netがﾀﾞﾒﾎﾟだったけど、80以外(21,23,25)のポートは接続できたど。
0227anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 02:58ID:nsK7UavW
tcpdumpしてると、ackを頑張って返しているのが見えた。
0228?02/02/19 02:58ID:???
終電逃して会社でヒマだったんで遊んでみた

kernel-2.2.20でtcp_max_syn_backlogを1024、tcp_syncookesを有効にして、
Web-Polygraphで通常セッションを張りつつSyn-Flodを駆けてみた

まずはWeb-Polygraphで処理可能な限界ぎりぎりまでセッションをあげて、
#マシンがヘボなので同時セッション700程度
そこにSyn-Flodをかけてみた

一瞬通常セッションが全部死んだが、10秒ほどすると正常に動き出した
それ以降、SYN_RECV状態のセッションにSyn-Ackのリトライを投げてる様子が無いので
多分、ハンドシェイクできてないセッションを無視してるんじゃないかな？
一応まともに動いてる感じがする
0229　02/02/19 03:00ID:???
>>226
23しか見てないけど、普通につながるね。

0230　02/02/19 03:00ID:???
bbs.cgiの穴つつかれてるんじゃないでしょね？まさか・・・
0231想像力なしさん02/02/19 03:01ID:???
>>217
あ、すいません、スクリプト暴走しました.
RIFba-02p91.ppp13.odn.ad.jp さんにも CBCba-52p140.ppp13.odn.ad.jp さんにも
wget攻撃食らわしてしまいました
タイムアウトを入れ忘れてました
0232hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 03:01ID:???
>>228
おおーー。
つまり、LinuxもとりあえずOKくさいですな。
0233_02/02/19 03:02ID:???
つまり、ポート番号80にしか攻撃かけてねーんだ、ってことね。
0234hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 03:03ID:???
>>231
ういうい。ノープロブレムです。
0235anonymous@ CBCba-52p140.ppp13.odn.ad.jp02/02/19 03:03ID:nsK7UavW
では、アドレス変えますな。

0236ななしさそ02/02/19 03:03ID:???
D-bornつかって2CH落とすのって何人いればできるの?
こんな時間に起きてる人そう違ないと思うけど・・・。
0237?02/02/19 03:04ID:???
>>232
テストはApacheじゃないし、カーネルバージョンも違うだろうけどね

0238hogehoge@ RIFba-02p91.ppp13.odn.ad.jp02/02/19 03:05ID:???
現状なら、一人で十分だと思います。
３分以内に4096パケットくらい（デフォ設定ならたったの128)送信できればそれであぼーんです。
023923502/02/19 03:05ID:tAnyzYnL
>>231
うちも問題ないっす。
もうアドレス変えたし
024023502/02/19 03:09ID:tAnyzYnL
とりあえず、お外のサーバは全部4.5にしておこう・・。
0241 02/02/19 03:09ID:???
何とも貴重な体験させてもらいまして、、、
0242anonymous@ OFSfa-01p5-153.ppp11.odn.ad.jp02/02/19 03:10ID:???
754 名前：夜勤 ★ 投稿日：02/02/19 02:59 ID:???
aちょっと　全サーバ　リブートしますー。

全部止まるよ。

だそうです。。
0243anonymous@ ntaich030212.adsl.ppp.infoweb.ne.jp02/02/19 03:11ID:???
2chの動作報告はここで。－14－
http://kaba.2ch.net/test/read.cgi/accuse/1013478682/

754 名前：夜勤 ★ 投稿日：02/02/19 02:59 ID:???
aちょっと　全サーバ　リブートしますー。

全部止まるよ。
757 名前：心得をよく読みましょう 投稿日：02/02/19 03:01 ID:afeaIjZ9
∀・)＜2～3分ぐらいですよね・・・


758 名前：夜勤 ★ 投稿日：02/02/19 03:02 ID:???
>>757
運がよければ、、
024423802/02/19 03:13ID:ap4/ciGP
私もアドレス変えました。
なんか、回線が埋る以外は、特に問題なさそうでしたねー。
FreeBSDのほうが、なんか繋がりやすかったと思います。
うちのLinuxは、loadがかなり上がったのが気になりましたが、
完全にアクセス不能になるよりはましかもです。
0245anonymous@ eAc1Abr031.tky.mesh.ad.jp02/02/19 03:13ID:88TFt8so
>>241
同意。認定のアタックなぞそうはできない…（w
0246CC p191.net217.tnc.ne.jpたん02/02/19 03:16ID:???
公認 D-Bornぶっ放し実験･･
0247夜勤 ★02/02/19 03:20ID:???
2ch のサーバの一台を攻撃することってできます?
024823502/02/19 03:21ID:tAnyzYnL
うちは loadはぜんぜん上がらなかった・・。
ルータにしているマシンでtcpdumpするまで、syn floodされてるとは思えなかったし。

>>245,246
まぁ、グローバルアドレス変えやすい環境だから安心して2chで公開実験できる (w
024923502/02/19 03:21ID:tAnyzYnL
>>247
楽勝でできますが、マジですか?
025023802/02/19 03:21ID:ap4/ciGP
>>247
できますよー。
ただ、誰かやるひと一人に限定したほうがいいかも・・・
DDoSになっちゃう・・・
0251夜勤 ★02/02/19 03:22ID:???
いまちょっと　作業中なんで、
作業終わったら、実験してみようかと、、、
0252想像力なしさん02/02/19 03:23ID:???
>>251
ちゃんとバックログも1024くらいにあげてくださいね
■ このスレッドは過去ログ倉庫に格納されています