Купирование DoS атаки Quake 3 сервера на Windows Server 2008

25.02.2015, 21:56

begin_end

Участник форума

Регистрация: 04.01.2007

Сообщений: 181

С нами: 10184006

Репутация: 1362

Quake 3 flood detector – изменения и доработки 02.2015

Quake 3 flood detector – изменения и доработки

Прошел месяц с момента первого решения проблемы DOS атаки Quake3 сервера. За это время программное обеспечение для купирования данной атаки множество раз дорабатывалось в условиях реальной ситуации плотной ежедневной атаки серверов.

Что нового в версии программы 1.1.2.225:

1) Расширена запись TIPList, теперь в ней сохраняется дополнительная информация о TTL, размере пакета и типе флуда (для последующего вывода в консоль).

2) Переработан код процедуры Sniff, где проводится приемка и обработка сетевых пакетов (поиск признаков флуда): приемка только UDP трафика, отказ от строк string - только PChar, оптимизация поиска фрагмента с маркером флуда. Итог: потребление ресурса CPU снизилось в 10..100 раз; исчезли ошибки памяти при поиске в сетевом пакете; исчезли ошибки вывода, связанные с выводом в консоль.

3) Добавлена процедура SelfTrustyKill, в которую вынесен способ надежного молчаливого завершения работы процесса q3fd.

4) Добавлена процедура IsNetActive, служащая своеобразным сторожом, проверяющим наличие сетевой активности, видимой приложением. При ее отсутствии позволяет завершить приложение.

5) Вынесен в отдельную процедуру ExecLockCmd способ блокировки IP адреса нарушителя. Кроме того, способ реализован в 2-х вариантах - для систем до windows 2008 server и после.

6) Переработана главная процедура приложения. Изменен формат вывода сообщений в консоль, добавлены цвета. Добавлены звуки для некоторых событий приложения. Файл iplock.bat более не нужен в составе продукта, он создается автоматически, на основе строки из конфигурационного файла. В заголовок консоли добавлен вывод отметки времени, предоставляющий стороннему ПО способ следить за состоянием функционирования процесса q3fd (проверить на выход из строя – зависание).

7) Видоизменен конфигурационный файл – дополнен опциями: текст строки команды блокировки IP адреса (на его основе создается и выполняется iplock.bat); использовать или нет звуки при некоторых собятиях; операционная система windows 2008 server и младше или наоборот (на основании этого выбирается способ выполнения команды блокировки); проверять или нет сетевую активность (если выбрать проверку, то приложение завершит работу через 1 минуту после отсутствия активности); показывать или нет в консоли все запросы (если выбрать не показывать, то будут отображаться только факты блокировки).

Обновленное ПО не доступно по прежней ссылке: программа Quake 3 flood detector 1.1 q3flooddetect_10_exe_src.zip (48KB), так как данное обновление устарело и замещено более новым, см. ниже.

Quake 3 flood detector – изменения и доработки 12.2017

Quake 3 flood detector – изменения и доработки

Прошло еще почти 2 года, разумеется кое-что было изменено ибо атаки не прекращались и "рабочее тестирование" происходило регулярно.

Атака сразу с 3х ботов.

Кстати, атаку применяют для усиления доса все чаще, появились даже подробные описания данной проблематики.

Что нового в текущей версии программы 1.1.2.240:

1) Изменен способ блокировки (строка команды), теперь IP блокируются через неверно назначенный роутинг. Старый способ возможен, оставлен как пример в конфигурационном файле "config.txt.another". Причина выбора метода routeв том, что он не вызывает сброс всех входящих TCP соединений в отличие от netsh.

2) Поскольку routing не отсекает поток пакетов на входе снифера q3fd, то в программе это учтено (чтобы не было непрекращающихся попыток блокировок и излишнего флуда в консоль).

3) Добавлена возможность использовать дополнительную исполняемую строку команды при выборе метода блокировки атак в OS2008и младше (когда запускается bat-файл). Возможность полезна для логирования атак, пример см. в конфигурационном файле "config.txt.another".

4) Создано дополнительное приложение крона для процесса q3fd. Крон должен находиться в одной папке с q3fd и запускаться при старте системы (напр. ссылка на него помещаться в автозагрузку вместо q3fd. Крон следит за наличием консоли процесса q3fd.exe, а также за его работоспособностью. Разумеется, нужно сконфигурировать q3fd на отображение своей консоли. Если q3fd зависнет, уйдет в ошибку и т.д., то крон выполнит перезапуск.

5) Добавлен код подавления системного сообщения об собственной ошибке. Код проверяет наличие окна прежней ошибки при новом запуске и закрывает его. Соответственно в конфигурационном файле есть строка, в которой указывается содержимое заголовка окна об ошибке. По этой строке происходит поиск окна. Учитывая специфику работы приложения избежать всех ошибок и найти их истоки невозможно, поэтому во избежание флуда окнами и требуется такая опция.

6) Исправлен баг, при котором снифер не обнаруживал сетевые пакеты при определенной конфигурации интерфейсов в Windows XP/2003.

Обновленное ПО доступно по прежней ссылке: программа Quake 3 flood detector 1.1 q3flooddetect_10_exe_src.zip (72KB), вместе с конфигурационным файлом и обильно прокомментированным файлом исходного кода (Delphi 7). Исходный код крона и исполняемый файл крона q3fdcron.exe также приложен.