Comment - FBXL Lotide

Comment on Another massive distributed HTTP flood is currently hitting git.friendi.ca a

tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

@utzer tja, q=0.9 -> q=0.5 Das bedeutet meist, dass der Betreiber beobachtet und anpasst. Egal auf was an dieser Stelle.

nginx kann euch einen groben TLS-Fingerprint direkt ins Access-Log schreiben, das ist mehr als nix.

log_format tlsinfo '$remote_addr $time_local "$request" $status '
                   'proto=$ssl_protocol cipher=$ssl_cipher curves=$ssl_curves '
                   'ua="$http_user_agent" al="$http_accept_language"';
access_log /var/log/nginx/access.log tlsinfo;

nginx -t und reload.

Mein Chatfenster mach das leider ein wenig kaputt.

Chrome 65 ist gut gewählt, aber so kannst Du rausfinden, ob es überhaupt einer ist.

Eins noch, löst das Ding die Anubis-Challenges?
Im SLOG_LEVEL=DEBUG-Log von Anubis siehst Du das. Wenn er sie nicht löst, verbrennt er nur Anubis-CPU und es kann weg.

original

Sort:hotnew top

utzer@f.utzer.de@f.utzer.de ⁨1⁩ ⁨week⁩ ago
@tom_s Danke für die Hinweise. Ich habe das jetzt in einer kurzen Stichprobe getestet:

UA-Filter vorübergehend deaktiviert
Anubis auf DEBUG gestellt
separates TLS-Light-Logging in Nginx aktiviert

Ergebnis für den angeblichen Android-6-/Chrome-65-Client:
Requests: 13 Unterschiedliche IPs: 13 Challenges ausgestellt: 11 Challenges gelöst: 0
Die 13 Verbindungen ergaben zunächst zwölf verschiedene TLS-Profile. Die Unterschiede bestanden allerdings ausschließlich aus zufälligen GREASE-Werten. Nach deren Normalisierung hatten alle Verbindungen exakt dasselbe TLS-Profil.
Der TLS-Fingerprint allein eignet sich trotzdem nicht für eine sichere Sperre: Dasselbe normalisierte Profil wurde in der Stichprobe auch von aktuellen Chrome-142-, Chrome-148- und Chrome-149-Clients verwendet.
Die Kombination ist jedoch eindeutig verdächtig: Der User-Agent behauptet Android 6 / Chrome 65, verwendet aber einen modernen TLS-1.3-/HTTP/2-Stack und über alle IP-Adressen hinweg dasselbe vollständige HTTP-Headerprofil.
Auch der User-Agent Mozilla/5.0 (compatible; crawler) löste keine seiner zwölf Challenges.
Der aktuelle Flood verbraucht in dieser Stichprobe also hauptsächlich Anubis-Ressourcen und gelangt nicht bis zu Forgejo.
UA-Filter und normales Anubis-Logging sind inzwischen wieder aktiv.
original
- tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago
  @utzer hmm, der Zeitraum ist eigentlich viel zu kurz.
  Warum Der Anubis bei diesem bisschen Rauschen schon umfallen soll, ist sehr merkwürdig. Irgendwo ne Fehlconfig am Werk.
  ca. 10 Challenges/s, das ist kein Flood im wirklichen Sinne.
  DEBUG-Logs und METRICS_BIND-Metriken suchen -> Speicher-Anstieg, offene Verbindungen, OOM? Irgendwas hakt da.
  
  /etc/nginx/conf.d/uaold13.conf: map "$ssl_protocol $http_user_agent" $uaold13 { default 0; "~^TLSv1\.3 .*Chrome/[0-6][0-9]\." 1; "~^TLSv1\.3 .*Chrome/[0-9]\." 1; "~^TLSv1\.3 .*Firefox/[0-5][0-9]\." 1; "~^TLSv1\.3 .*Edge/1[0-7]\." 1; } Im server-Block: if ($uaold13) { return 444; } doas nginx -t && doas /etc/init.d/nginx reload
  Das könntest Du als temporäre Spielerei aufnehmen. Würde halt nicht lange halten. Am besten erst eine Stunde oder Zwei nur loggen statt 444, um zu sehen, wen Du triffst!
  Das ist also hier vermutlich nur ein Vorspiel.
  Werden zukünftig Challanges gelöst, hat der Schlingel auf eine JS-Version umgeschwenkt. Erst dann wirds lustig. Bis dahin musst Du das Anubis genauer durchschauen.
  Eindeutiges könntest Du auf DENY statt CHALLENGE stellen, das kann ich aus der Ferne nicht beurteilen.
  original
  - utzer@f.utzer.de@f.utzer.de ⁨1⁩ ⁨week⁩ ago
    @tom_s guck mal in den Ausgangspost, es waren 50000 Requests in 5 Minuten. Mit den geblocken UA geht es jetzt ja super.
    original
    tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago
    @utzer guter Punkt. Für nginx sind ca. 185/s zwar ok, aber dahinter kann das enger werden.
    Ok, würde vorschlagen, den uaold13 scharf stellen und zudem noch:
    bots: - name: generischer-crawler user_agent_regex: 'Mozilla/5.0 $compatible; crawler$' action: DENY - name: antike-ua user_agent_regex: 'Chrome/([0-6][0-9]|[0-9])\.' action: DENY
    Damit fällt schon mal Last ab.
    Nun gilt es den Zähler von gelösten Challenges im Auge zu behalten.
    Für das Beurteilen von Verbindungen, einfach mal nen Tag lang anschauen, was so passiert, z.B.
    nft add rule inet filter input ct state new tcp dport 443 counter
    Wäre ein Anfang.
    original
    -> View More Comments