Forum debian-fr.org

Rechercher:

* Connexion   * M’enregistrer

* FAQ    * Rechercher

Voir les messages sans réponses | Voir les sujets actifs





Poster un nouveau sujet Répondre au sujet  Page 1 sur 1
  [ 14 messages ] 
  Sujet précédent | Voir le premier message non lu | Sujet suivant 
Auteur Message
lol
MessagePosté: 27 Mai 2012 16:58 
Hors ligne
Dieu du clavier.
Avatar de l’utilisateur

Inscription: 13 Mar 2009 08:30
Messages: 12039
Localisation: Madagascar - Isalo
Salut,
A l'instalation de mon serveur (ou se trouve le Wiki) j'avais installé mod-evasive - Sans trop penser que ça serait une réelle sécurité...

Code:
/var/lock/mod_evasive# ls -1 | wc -l
201


201 ip bloquées pour la semaine en cours... :twisted:
J'aimerais votre avis sur la possibilité que ces 201 ip aient eu des comportements inamicaux, ou si mon réglage est un peu trop "serré" ?

Code:
<IfModule mod_evasive20.c>
   DOSHashTableSize    3097
   DOSPageCount        2
   DOSSiteCount        50
   DOSPageInterval     1
   DOSSiteInterval     1
   DOSBlockingPeriod   10
   DOSEmailNotify      root@domaine.tld
   DOSSystemCommand    "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"
   DOSLogDir           "/var/lock/mod_evasive"
   DOSWhitelist 127.0.0.1
   DOSWhitelist 127.0.1.1
   DOSWhitelist xxx.xxx.xxx.xxx
</IfModule>


Et je viens de me rendre compte d'ailleurs que je ne reçois pas les alertes emails, et que je vois pas les ip dans iptables... :017

_________________
GO Compréhensif...
SID 3.8-etc...-aptosid-amd64 && Xfce 4.10
"Pastbin" / "service d'hébergement d'images" Visitez et Participez au wiki du forum!
Haut
 Profil  
 
lol
MessagePosté: 28 Mai 2012 07:41 
Hors ligne
Dieu du clavier.
Avatar de l’utilisateur

Inscription: 13 Mar 2009 08:30
Messages: 12039
Localisation: Madagascar - Isalo
Salut,
J'ai un peu avancé et compris certaines choses qui m'avaient échappées...

Le module fonctionne bien, mais...

1) Pour les mails, le module cherche /bin/mail, alors que l'exécutable se trouve dans /usr/sbin/mail
Code:
ln -s /usr/bin/mail /bin/mail

2) Le blacklistage fonctionne bien, mais pour que www-data ait accès à iptables, il faut lui en donner le droit... Pas question!
3) Pour pallier ce problème, il faut se servir de fail2ban; Ajouter un module qui permette de blacklister temporairement les ip dans iptables.

J'ai besoin d'un volontaire pour tester mes réglages... En effet, j'ai trois possibilités pour tester:
- 2 serveurs distants pour qui les ip sont déjà en ACCEPT dans iptables
- Une toute petite connexion en edge qui ne suffit pas pour simuler une attaque dos sur apache2... :005

Merci d'avance!

_________________
GO Compréhensif...
SID 3.8-etc...-aptosid-amd64 && Xfce 4.10
"Pastbin" / "service d'hébergement d'images" Visitez et Participez au wiki du forum!
Haut
 Profil  
 
ripat
MessagePosté: 28 Mai 2012 08:13 
Hors ligne
Très bavard(e)!
Avatar de l’utilisateur

Inscription: 01 Avr 2006 19:10
Messages: 785
Localisation: Belgique
À quelqu'un qui, et c'est rare, utilise correctement le verbe transitif direct pallier (avec deux l), on ne peut rien refuser. Je suis ton homme. Que faut-il faire?

edit
Entretemps, je t'ai «floodé». Dans les log de isalo.org tu devrais trouver 10 séries de 15 requêtes. Chaque série est temporisée (3 secondes d'écart). J'ai reçu des 200 OK pour toute la série de 150 requêtes.

User agent: ripat TEST FLOOD.
Date: 2012-05-28 09:39:30

_________________
Vous aimez vi? :q :q! :wq :w :w! :wq! :quit :quit! :help help helpquit quit quithelp
:quitplease :quitnow :leave :shit ^X^C ^C ^D ^Z ^Q QUITDAMMIT
Haut
 Profil  
 
lol
MessagePosté: 28 Mai 2012 10:50 
Hors ligne
Dieu du clavier.
Avatar de l’utilisateur

Inscription: 13 Mar 2009 08:30
Messages: 12039
Localisation: Madagascar - Isalo
ripat a écrit:
À quelqu'un qui, et c'est rare, utilise correctement le verbe transitif direct pallier (avec deux l), on ne peut rien refuser. Je suis ton homme. Que faut-il faire?

edit
Entretemps, je t'ai «floodé». Dans les log de isalo.org tu devrais trouver 10 séries de 15 requêtes. Chaque série est temporisée (3 secondes d'écart). J'ai reçu des 200 OK pour toute la série de 150 requêtes.

User agent: ripat TEST FLOOD.
Date: 2012-05-28 09:39:30


Salut,
Merci beaucoup pour le test. J'ai corrigé "pallier"... j'étais trop pris dans mes logs, je ne me suis pas relu....

Je regarde mes logs et efface ton ip de la liste noire! ;)

_________________
GO Compréhensif...
SID 3.8-etc...-aptosid-amd64 && Xfce 4.10
"Pastbin" / "service d'hébergement d'images" Visitez et Participez au wiki du forum!
Haut
 Profil  
 
lol
MessagePosté: 28 Mai 2012 11:00 
Hors ligne
Dieu du clavier.
Avatar de l’utilisateur

Inscription: 13 Mar 2009 08:30
Messages: 12039
Localisation: Madagascar - Isalo
ripat a écrit:
Entretemps, je t'ai «floodé». Dans les log de isalo.org tu devrais trouver 10 séries de 15 requêtes. Chaque série est temporisée (3 secondes d'écart). J'ai reçu des 200 OK pour toute la série de 150 requêtes.


Vu.
Je pense que ce n'était pas assez "méchant" pour que tu sois bloqué. ;)

_________________
GO Compréhensif...
SID 3.8-etc...-aptosid-amd64 && Xfce 4.10
"Pastbin" / "service d'hébergement d'images" Visitez et Participez au wiki du forum!
Haut
 Profil  
 
ripat
MessagePosté: 28 Mai 2012 11:10 
Hors ligne
Très bavard(e)!
Avatar de l’utilisateur

Inscription: 01 Avr 2006 19:10
Messages: 785
Localisation: Belgique
J'ai refait 10 séries de 150 requêtes et je suis banni.

Si tu veux, il y a moyen de bloquer des floods de manière simple. J'ai fait ça pour des tentatives de connexions ssh non autorisées. Ce script fait 30 lignes et peut bannir des ip qui font plus de x tentatives par minute ou par heure. Simple script qui utilise (m|g)awk pour analyser les fréquences des connexions. Pas de daemon, pas de module apache.

Je remets ça à la sauce apache et te l'envoie si intéressé.

_________________
Vous aimez vi? :q :q! :wq :w :w! :wq! :quit :quit! :help help helpquit quit quithelp
:quitplease :quitnow :leave :shit ^X^C ^C ^D ^Z ^Q QUITDAMMIT


Dernière édition par ripat le 28 Mai 2012 11:13, édité 1 fois.

Haut
 Profil  
 
lol
MessagePosté: 28 Mai 2012 11:12 
Hors ligne
Dieu du clavier.
Avatar de l’utilisateur

Inscription: 13 Mar 2009 08:30
Messages: 12039
Localisation: Madagascar - Isalo
ripat a écrit:
Je remets ça à la sauce apache et te l'envoie si intéressé.

Bien sur, avec plaisir.

Content de voir que tu t'es enfin fait jeter pas mon serveur... :lol:

_________________
GO Compréhensif...
SID 3.8-etc...-aptosid-amd64 && Xfce 4.10
"Pastbin" / "service d'hébergement d'images" Visitez et Participez au wiki du forum!
Haut
 Profil  
 
lol
MessagePosté: 28 Mai 2012 11:14 
Hors ligne
Dieu du clavier.
Avatar de l’utilisateur

Inscription: 13 Mar 2009 08:30
Messages: 12039
Localisation: Madagascar - Isalo
Re,
Et j'ai confirmation que ma règle fail2ban fonctionne:
Code:
2012-05-28 11:02:10,347 fail2ban.actions: WARNING [apache-dosevasive] Ban xxx.xx.xx.xxx


Merci! :006

_________________
GO Compréhensif...
SID 3.8-etc...-aptosid-amd64 && Xfce 4.10
"Pastbin" / "service d'hébergement d'images" Visitez et Participez au wiki du forum!
Haut
 Profil  
 
ripat
MessagePosté: 28 Mai 2012 11:18 
Hors ligne
Très bavard(e)!
Avatar de l’utilisateur

Inscription: 01 Avr 2006 19:10
Messages: 785
Localisation: Belgique
ok. J'ai un peu de travail à faire pour le mettre au format apache. Demain soir au plus tard.

_________________
Vous aimez vi? :q :q! :wq :w :w! :wq! :quit :quit! :help help helpquit quit quithelp
:quitplease :quitnow :leave :shit ^X^C ^C ^D ^Z ^Q QUITDAMMIT
Haut
 Profil  
 
lol
MessagePosté: 28 Mai 2012 14:41 
Hors ligne
Dieu du clavier.
Avatar de l’utilisateur

Inscription: 13 Mar 2009 08:30
Messages: 12039
Localisation: Madagascar - Isalo
ripat a écrit:
ok. J'ai un peu de travail à faire pour le mettre au format apache. Demain soir au plus tard.

Merci!

Pour le sujet, je passe en résolu. Image

Explications sur le Wiki:
Libapache2-mod-evasive
Remarque sur la fonction DOSEmailNotify
Fail2ban avec mod-evasive

_________________
GO Compréhensif...
SID 3.8-etc...-aptosid-amd64 && Xfce 4.10
"Pastbin" / "service d'hébergement d'images" Visitez et Participez au wiki du forum!
Haut
 Profil  
 
sorodje
MessagePosté: 28 Mai 2012 18:40 
Hors ligne
Très bavard(e)!
Avatar de l’utilisateur

Inscription: 16 Fév 2010 12:58
Messages: 288
Hello , désolé de m'incruster mais ton script pour ssh m'intéresse ripat :) . Est ce j'abuse si je te demande un exemplaire ?

J'étais pile poil en train de chercher un moyen pour bannir automatiquement ces IP qui font X centaines de tentatives sur mon port 22 :083 et qui font gonfler mes logs en pure perte.

_________________
Ubuntu/Debian user since 2008... http://sorrodje.alter-it.org
Moteur de recherche by seeks, Debian & myself : http://seeks.alter-it.org
Haut
 Profil  
 
ripat
MessagePosté: 28 Mai 2012 19:57 
Hors ligne
Très bavard(e)!
Avatar de l’utilisateur

Inscription: 01 Avr 2006 19:10
Messages: 785
Localisation: Belgique
sorodje a écrit:
Hello , désolé de m'incruster mais ton script pour ssh m'intéresse ripat :) . Est ce j'abuse si je te demande un exemplaire ?

J'étais pile poil en train de chercher un moyen pour bannir automatiquement ces IP qui font X centaines de tentatives sur mon port 22 :083 et qui font gonfler mes logs en pure perte.


Pas de problème mais pas avant demain soir. Et peut-être pourrais-tu créer un nouveau fil ou demander gentiment à un modo de le scinder...

_________________
Vous aimez vi? :q :q! :wq :w :w! :wq! :quit :quit! :help help helpquit quit quithelp
:quitplease :quitnow :leave :shit ^X^C ^C ^D ^Z ^Q QUITDAMMIT
Haut
 Profil  
 
sorodje
MessagePosté: 28 Mai 2012 21:47 
Hors ligne
Très bavard(e)!
Avatar de l’utilisateur

Inscription: 16 Fév 2010 12:58
Messages: 288
@ripat : je t'ai fait un MP . lol jugera de la nécessité de scinder ou non ;)

_________________
Ubuntu/Debian user since 2008... http://sorrodje.alter-it.org
Moteur de recherche by seeks, Debian & myself : http://seeks.alter-it.org
Haut
 Profil  
 
ripat
MessagePosté: 29 Mai 2012 16:07 
Hors ligne
Très bavard(e)!
Avatar de l’utilisateur

Inscription: 01 Avr 2006 19:10
Messages: 785
Localisation: Belgique
Sur les conseils de lol et, pour ne pas polluer son fil, je mets le script pour ssh dans T&A
bannir-les-tentatives-d-acces-ssh-t39009.html#p393555

_________________
Vous aimez vi? :q :q! :wq :w :w! :wq! :quit :quit! :help help helpquit quit quithelp
:quitplease :quitnow :leave :shit ^X^C ^C ^D ^Z ^Q QUITDAMMIT
Haut
 Profil  
 
Afficher les messages postés depuis:  Trier par  
Poster un nouveau sujet Répondre au sujet  Page 1 sur 1
  [ 14 messages ] 

Index du forum » Forums d'aide » Support Debian


Qui est en ligne

Utilisateurs parcourant ce forum: agentsteel, PascalHambourg, sinozis et 1 invité

Vous ne pouvez pas poster de nouveaux sujets
Vous ne pouvez pas répondre aux sujets
Vous ne pouvez pas éditer vos messages
Vous ne pouvez pas supprimer vos messages
Vous ne pouvez pas joindre des fichiers

Rechercher:
Aller à:  
cron
Flux RSS Flux RSS Liste des flux Liste des flux
Powered by phpBB® Forum Software © phpBB Group
Traduction par: phpBB-fr.com
SEO
[ Time : 0.648s | 13 Queries | GZIP : Off ]