[3.3] Angriff von Extern - Lösungen / Strategien

[guenniguenzelsen]

Hallo zusammen,
seit Sonntag Abend ist mein Forum zeitweise nicht erreichbar, mit teils stundenlangen Ausfällen.
Ein Versuch die Seite aufzurufen endet dann häufig mit 502 Bad Gateway.

Eine Anfrage beim Provider ergab:

Ich habe Ihr Problem geprüft. Es sind mir dabei erneut PHP-Routinen aufgefallen, welche besonders häufig beim Sampling der jeweiligen Prozesse enthalten waren. Dies lässt vermuten, dass diese Routinen viel Zeit benötigen, oder ungewöhnlich häufig verwendet werden.

Da nur eine begrenzte Anzahl an PHP-Prozessen erlaubt ist, können andere Aufrufe nicht mehr abgearbeitet werden, und es kommt entweder zu langen Ladezeiten, oder aber zu einer Fehlerseite - Oftmals "504 Gateway Timeout".

Hier der Traceback zur Routine, welche in den Samples aufgefallen ist. Die Routine selbst, und der zugehörige Dateipfad stehen dabei ganz oben.

0 mysqli_query <internal>:-1
1 phpbb\db\driver\mysqli::sql_query /kunden/Kundennummer/webseiten/commorekord/phpBB3/phpbb/db/driver/mysqli.php:180
2 phpbb\db\driver\factory::sql_query /kunden/Kundennummer/webseiten/commorekord/phpBB3/phpbb/db/driver/factory.php:351
3 phpbb\session::session_create /kunden/Kundennummer/webseiten/commorekord/phpBB3/phpbb/session.php:490
4 phpbb\session::session_begin /kunden/Kundennummer/webseiten/commorekord/phpBB3/phpbb/session.php:228
5 <main> /kunden/Kundennummer/webseiten/commorekord/phpBB3/app.php:1

Die zugehörigen DB-Queries habe ich in folgende Datei notiert
/kunden/Kundennummer/webseiten/commorekord/phpBB3/dbxxxxxx_17-queries-2024-07-17T08:22:32+02:00:

Es ist zudem auffällig, dass es sehr viele HTTP-Anfragen für Ihre Seite gibt. Diese folgen zum großteil folgendem Muster:
2 "GET /viewtopic.php?t=9972&sid=f8fb909b2ccbb55d93b7c0bb7525064d
2 "GET /viewtopic.php?t=9956&sid=7bb4a72875f27e64e599f59079e31472&start=10
2 "GET /viewtopic.php?t=9901&sid=f7a2340cada1bb07a3ec72d1d81fb969&start=60
2 "GET /viewtopic.php?t=9752&sid=2d4062ed1df7532c1f501a205991385b
2 "GET /viewtopic.php?t=9698&sid=ef572a6a95337016c500fcbf5f31252a&start=20
2 "GET /viewtopic.php?t=9544&sid=7c61678e4cdf0bba6fc7efebb959336d
2 "GET /viewtopic.php?t=9256&sid=ea6ba4e8c64d3fafe7f72eee1480a7bb&start=10
2 "GET /viewtopic.php?t=9256&sid=cd08a15c16fd116e9074f95ff1ba002b&start=10
2 "GET /viewtopic.php?t=9256&sid=c2da5e5a92885c70a256c98cbe41f567&start=10
2 "GET /viewtopic.php?t=9256&sid=ad108958876ef8ac5da28e1bc032d3ec&start=10
2 "GET /viewtopic.php?t=9256&sid=ac59d80da9b899c5977a4737402b4199&start=20
2 "GET /viewtopic.php?t=9256&sid=94a33e8db8c53c45fb9cf2038f87a953&start=30
2 "GET /viewtopic.php?t=9256&sid=83a086f75f54f3098f9906be600a7ccf&start=40

Viele dieser Anfragen scheinen von Server-IPs und nicht Privat-IPs zu kommen, z.B. 43.159.139.35 oder 170.106.142.139
Einige dieser IP-Netzte habe ich soeben gesperrt. Jedoch werden viele verschiedene IPs verwendet. Ich würde Ihnen daher empfehlen, eine WAF wie z.B. Sucuri oder Cloudflare für Ihre Anwendung zu installieren.

Soeben habe ich die Dienste einmal neu gestartet, wodurch die genannten Prozesse beendet wurden.

Nun bin ich nicht soo vertraut mit Technik und Funktion rund um das Thema Server, Webspace, phpbb und php.
Um hier eine gewisse Abhilfe zu schaffen haben ich nun bei cloudflare.com die (in der Grundversion) kostenlose WAF gesehen und überlege, ob das Abhilfe schaffen kann.

Gibt es hier jemanden, der damit in Verbindung mit phpbb Erfahrung hat und mir etwas zur Seite stehen kann?
in einem ersten Schritt verlangt cloudflre, dass ich die Nameserver beim Registrar aktualisiere, um Cloudflare zum autoritativen DNS-Anbieter zu machen.
Ist das üblich/gängig?
Ich möchte hier nicht versehentlich Dinge/Rechte an Cloudflare übertragen, die nicht notwendig sind.
Oder gibt es generell andere/geeignetere Möglichkeiten?

Gruß
Thomas

P.S.: Grundsätzlich besteht auch die Bereitschaft hierfür Hilfe einzukaufen. Wir haben in der Community etwas Geld gesammelt um für solche Fälle gewappnet zu sein.
Vergaser sind nach wie vor eher unser Thema, als Web-Technik

[Scanialady]

Sieht für mich wie Beitragsaufrufe durch Bots aus. Da ist dann halt die Frage: sind Verbreitungen der Seite über Suchmaschinen erwünscht oder nicht. Und wohin überall. Und wieviel Besuch will ich haben. Danach richtete sich für mich die Wahl der Maßnahmen oder des Hostingpaketes.

Mit Cloudanwendungen kenne ich mich nicht aus, da ich sowas nie benutzt habe. Informationen zum Thema "Bad Bots" und "Ländersperre" könntest du dir ergoogeln, da gibt es ein paar mögliche Maßnahmen über .htaccess-Einträge von IP-Ranges um beispielsweise das Tornetzwerk zu sperren, oder Einträge von bad bots, um diese am Forenaufruf zu hindern, oder über die GeoIP-Funktion des Servers.

Wenn natürlich erforderlich ist, dass jeder von überall her die Seite besuchen kann und soll - dann wird wahrscheinlich die Firewall einer Cloudanwendung unvermeidlich.

[Pfiffy]

Mein Forum wurde gestern von Unmengen an Anfragen aus Singapur und China überrollt mit dem gleichen Effekt, entweder langsam oder gar nicht erreichbar.

Ich hab dann die IP-Adressbereiche aus Singapur und China via .htaccess gesperrt und es war Ruhe.

Grüße
Pfiffy

[Dr.Death]

Ich kann da nur CIDRAM empfehlen......


viewtopic.php?p=1427216#p1427216

https://github.com/CIDRAM/Docs/blob/master/readme.de.md

[guenniguenzelsen]

Sieht für mich wie Beitragsaufrufe durch Bots aus. Da ist dann halt die Frage: sind Verbreitungen der Seite über Suchmaschinen erwünscht oder nicht. Und wohin überall.

Verbreitung über gängige Suchmaschinen ist erwünscht.
Unsere Besucher sind aber hauptsächlich aus dem Deutschsprachigen Raum und vereinzelt Leuten aus dem Europäischen Raum.

Informationen zum Thema "Bad Bots" und "Ländersperre" könntest du dir ergoogeln, da gibt es ein paar mögliche Maßnahmen über .htaccess-Einträge von IP-Ranges um beispielsweise das Tornetzwerk zu sperren, oder Einträge von bad bots, um diese am Forenaufruf zu hindern, oder über die GeoIP-Funktion des Servers.

Danke für den Tipp
Ich könnte also einzelnen Länder mittels .htaccess sperren.
Ich habe beim Server das Modul mod_rewrite.c
Eine .htaccess, die dann Beispielsweise Russland, China und Singapur aussperrt würde dann so aussehen, ja?

Code: Alles auswählen

RewriteCond %{ENV:GEOIP_COUNTRY_CODE} ^(RU|CN|SN)$
RewriteRule ^(.*)$ - [F,L]

Ich hab dann die IP-Adressbereiche aus Singapur und China via .htaccess gesperrt und es war Ruhe.

Kannst Du mir hier den Part aus Deiner .htaccess posten?

Ich kann da nur CIDRAM empfehlen......

Das scheint die umfänglichste Lösung zu sein, ist spontan für mich nicht direkt umsetzbar (mangelnde Kenntnisse).
Ich starte einen ersten Versuch über htaccess, geht das nicht versuche ich mich hieran und werde dann ggf nochmal um Hilfe bitten.



Danke an alle
Gruß
Thomas

[Talk19zehn]

Hello, eventuell auch in deinem Falle hilfreich, da mir bspw. jene verständlichen Ausführungen geholfen haben:

Blockieren des Zugriffs aus einem bestimmten Land

Falls man gewisse Länder aufgrund von vielen Bot-Aktivitäten sperren möchte, kann man hierbei die Ländererkennung bei apache2 in der .htaccess verwenden.

Quelle: https://support.artfiles.de/Blockieren_ ... mmten_Land

Die im Artikel verlinkten Country Codes habe ich der Tabelle ISO-3166 - alpha2 (!) entnommen.

Beispiel: .htaccess

Code: Alles auswählen

<IfModule mod_maxminddb.c>
MaxMindDBEnable On
MaxMindDBFile DB /usr/local/share/maxminddb/GeoLite2-Country.mmdb
MaxMindDBEnv MM_COUNTRY_CODE DB/country/iso_code
SetEnvIf MM_COUNTRY_CODE ^(CN|JP) BlockCountry
Deny from env=BlockCountry
</IfModule>

Die Codierung direkt möglichst weit oben eingetragen (vor RewriteEngine On). Alles scheint zu funktionieren. Sollte dies bei dir nicht erfolgreich sein, würde es m.E. einen 500er ergeben (dein Konstrukt, mein Konstrukt). Dies bedeutet sodann, die .htaccess noch einmal zu erneuern / rückabzuwickeln. Auskunft kann dir dein Hoster in jenen wichtigen Dingen sicherlich auch - neben uns - ggf. telefonisch erteilen. Jede Konfiguration ist anders aufgebaut (!).

Viel Erfolg

====
P.S.: 18.07.2024, 15:25
Auf phpBB-com gibt es inzwischen zahlreiche Beiträge, da die Bots zur Zeit "Amok" laufen, um ihre OPEN-AI zu konfigurieren. Sowie Hinweise eine robots.txt erfolgreich anzulegen. Da einige tatsächlich die robots.txt momentan beachten.

P.P.S.: 18.07.2024, 15:41
BTW: Alles ohne Gewähr ...

LG und viel Glück

[Pfiffy]

Ich hab dann die IP-Adressbereiche aus Singapur und China via .htaccess gesperrt und es war Ruhe.

Kannst Du mir hier den Part aus Deiner .htaccess posten?

Ich hab's momentan so in der .htaccess:

Order Allow,Deny
allow from all
Deny from 43
Deny from 49.51
Deny from 101
Deny from 119
Deny from 124
Deny from 129
Deny from 150
Deny from 159
Deny from 170
Deny from 190

Zusätzlich hab ich auch noch die EXT "Filter by Country". Das Blocken am Apache ist aber wirksamer, da hier gar keine Datenbank-Connection aufgebaut wird. Wenn der Zugriff bis zum Forum durch kommt und auf die EXT stößt aber leider schon. So ist zumindest mein Erfahrungswert.

Grücce
Pfiffy

[Scanialady]

Eine Erläuterung mit Codebeispielen für GeoIP gibts beispielsweise hier und sicher auch sonst bei jedem Anbieter.

Eine Liste von bad bots gibt es beispielsweise hier und an tausend anderen Stellen.

Wie man es über .htaccess mit IP-Ranges machen kann, dafür gibts fertige Listen beispielsweise hier - und Google ist dein Freund, um all die andern zu finden

[guenniguenzelsen]

Ich habe jetzt alles Mögliche ohne durchschlagenden Erfolg probiert.
Mir mangelt es an Fachkenntnis.

Gelöst habe ich das Thema schließlich mit Cloudflare und dort mit einer benutzerdefinierten Regel, die einige (für das Forum irrelevante) Länder ausschließt.

Danke an alle, die sich hier eingebracht haben.

[-Teemetal-]

Mein Forum steht seit einigen Tagen unter verstärktem Beschuss. Gemeinsam mit dem Support-Team habe ich GeoIP im Apache-Webserver aktiviert und die .htaccess-Datei entsprechend angepasst.
Diese Konfiguration ist sowohl für IPv4 als auch für IPv6 geeignet.
Hier ein Auszug aus der .htaccess:

# Aktivierung des GeoIP Moduls
GeoIPEnable On

# Blockieren der ausgewählten Länder über GeoIP
SetEnvIf GEOIP_COUNTRY_CODE CN HTTP_BLOCKCOUNTRY
SetEnvIf GEOIP_COUNTRY_CODE_V6 CN HTTP_BLOCKCOUNTRY

SetEnvIf GEOIP_COUNTRY_CODE RU HTTP_BLOCKCOUNTRY
SetEnvIf GEOIP_COUNTRY_CODE_V6 RU HTTP_BLOCKCOUNTRY

# Zugriff verweigern für blockierte Länder
Deny from env=HTTP_BLOCKCOUNTRY