Linux icin top 20 http baglantisini gormek ve iptables ile bloklamak

iyinet

Linux icin top 20 http baglantisini gormek.
Bunu biraz once yazdim, tek satir ama cok ise yariyor.
Ozellikle DOS yada DDOS saldiri yaptiklarinda IP adreslerini tesbit etmek icin ideal.

PHP:

netstat -an | grep ":80 "| awk '{print $5}'|cut -d":" -f1 | sort |uniq -c | sort -nr | head -20 | grep -v -E "127.0.0.1|0.0.0.0"

Bu listede cok dikkati ceken (en ustteki) IP leri (eger cok fazla sayida ise ornegin 100) bloklamak icin asagidaki ornegi kullanabilirsiniz:

PHP:

iptables -I INPUT -s 85.97.22.70 -j DROP

Ek olarak bu da 10 un uzerindeki baglantilari gosteriyor, ($1 > 10) buradaki 10 degerini degistirerek daha buyuk degerlere ayarliyabilirsiniz, ornegin 100 sonrada bunu bir script haline getirip donen degerleri iptables ile bloklayabilirsiniz. Ardindan bu scripti cron da calistirabilirsiniz:

PHP:

netstat -an | grep ":80 "| awk '{print $5}'|cut -d":" -f1 | sort| uniq -c | sort -nr | grep -v -E "127.0.0.1|0.0.0.0|10.0.0.1" | awk '{ if ($1 > 10) { print $1 " " $2 ; }}'

Bu biraz daha iyi bir kod, birkac ddos sitesi gezdikten sonra derledim:

PHP:

netstat -ntu | awk '{print $5}'|cut -d":" -f1 | sort| uniq -c | sort -nr | grep -v -E "127.0.0.1|0.0.0.0|10.0.0.1" | awk '{ if ($1 > 150) { print $1 " " $2 ; }}'

nonamez · 4 Şubat 2006

guselmıs ellerıne saglık

okan23 · 5 Şubat 2006

http://forum.linux-sevenler.org/index.php/topic,2810.20.html

iyinet · 5 Şubat 2006

okan23' Alıntı:
http://forum.linux-sevenler.org/index.php/topic,2810.20.html

Bu siteyi gormemistim, paylastigin icin tesekkurler.
Ancak bu sitede belirtilen 9 degerinin cok kucuk oldugunu unutmayin, yanlislila herkesi banlarsiniz.

okan23 · 5 Şubat 2006

60 değeri optimum bence çok fazla resim içeren site varsa ve keep alive kapalı ise banlanma ihtimaliniz daha fazla

Wishmaster · 5 Şubat 2006

böyle bir durum olursa
# iptables -f yaparak tüm kuralları kaldırabilirsiniz. Bilmiyenler olabilir diye yazdım.

iyinet · 5 Şubat 2006

okan23' Alıntı:
60 değeri optimum bence çok fazla resim içeren site varsa ve keep alive kapalı ise banlanma ihtimaliniz daha fazla

Evet sitenin yogunluguna gore degisiyor, once gozlemleyip sonra karar vermek en iyisi.

UndeaD · 6 Şubat 2006

root@server [/etc]# ./deneme.sh
./deneme.sh: line 1: unexpected EOF while looking for matching `"'
./deneme.sh: line 2: syntax error: unexpected end of file

erroru alıyorum :S sorun nedir acaba ?

iyinet · 6 Şubat 2006

deneme.sh icindekileri buraya kopyala bakayim.

UndeaD · 6 Şubat 2006

netstat -an | grep ":80 "| awk '{print $5}'|cut -d":" -f1 | uniq -c | sort -nr | head -20 | grep -v -E "127.0.0.1|0.0.0.0

iyinet · 6 Şubat 2006

En sonda " yok.
Onun yerine bunu kullan:

PHP:

netstat -an | grep ":80 "| awk '{print $5}'|cut -d":" -f1 | sort | uniq -c | sort -nr | head -20 | grep -v -E "127.0.0.1|0.0.0.0"

UndeaD · 6 Şubat 2006

dikkatimi çekti

tam cevaplıyordum sen yuazmışın saol..

UndeaD · 6 Şubat 2006

bu arada scriptteki 20 değeriini nekadar yükseltirsem liste okadar çoğalıyor fakat bunların okada bağlantısı olduğunu sanmıorum

1000 yazdım mesala liste 25-30 kişi fln oldu :S

iyinet · 6 Şubat 2006

1. yukaridaki yeni komut satirini mi kullaniyorsun?
2. head onundeki 20 rakami kac satir gosterecegini belirliyor

UndeaD · 6 Şubat 2006

hmm anladım.. peki bunu nasıl çoğaltabiliriz mesala 50 bağlantısı olanı göstermesini ?
şimdiden saol

iyinet · 6 Şubat 2006

ilk mesajimda yazmistim ama yine yazayim.
Asagidaki satirda 50 rakami, sadece 50 den buyuk baglanti sayilari olan IP leri listeler. 50 den buyuk baglanti sayisi yok ise hic birsey listemez.

PHP:

netstat -an | grep ":80 "| awk '{print $5}'|cut -d":" -f1 | sort| uniq -c | sort -nr | grep -v -E "127.0.0.1|0.0.0.0|10.0.0.1" | awk '{ if ($1 > 50) { print $1 " " $2 ; }}'

UndeaD · 6 Şubat 2006

saol oldu galiba

18 217.157.141.21
10 85.107.92.34
8 85.100.203.92

yanlarındaki 18 , 10 , 8 bağlantı sayısınımı listeliyor acaba *

iyinetadmin cevap: evet