Комментарии 38
Хм, нашествие Капитанов? Зачем эта детская статья про детский ДДоС?
Для детей сисадминов, очевидно же.
PS. Лучше такое, чем очередные высеры про данные *** можно найти в поисковике ***.
PS. Лучше такое, чем очередные высеры про данные *** можно найти в поисковике ***.
Чем лучше-то? Те «высеры», как вы их назвали, тоже имеют очевидную ценность.
Для кого? Для толпы фанатов фирмы/поисковика *** которые начинают нешуточные срачи на тему кто прав, а кто виноват?
Данные все эти и так много лет уже можно было нарыть при помощи поисковиков, называется 'google hacking'. А вот тот факт, что игрушка эта из рядов пентестеров и «хакеров» пошла по рукам обычных сетевых жителей очень полезен. Все эти «находки» теперь не утаиваются, а предаются огласке, что позволяет:
1. Админам скомпрометированных сервисов быстрее закрыть брешь (под пинками начальства и угрозой увольнения это делается много быстрее, да)
2. Сам факт популяризации заставит остальных ответственных задуматься, «а хорошо ли у меня с этим»
3. Также факт популяризации заставит юзеров задуматься о том, что стоит аккуратнее относиться к своим данным, тщательнее выбирать сервисы, которым доверять, не ставить всякие приблуды к браузеру и т.п.
В общем, один сплошной позитив. Я вообще призываю не прекращать поиск и публикацию подобных случаев, это позволит повысить общий уровень защищенности данных в интернете за счет того, что и админы и юзеры будут держать себя «в тонусе».
1. Админам скомпрометированных сервисов быстрее закрыть брешь (под пинками начальства и угрозой увольнения это делается много быстрее, да)
2. Сам факт популяризации заставит остальных ответственных задуматься, «а хорошо ли у меня с этим»
3. Также факт популяризации заставит юзеров задуматься о том, что стоит аккуратнее относиться к своим данным, тщательнее выбирать сервисы, которым доверять, не ставить всякие приблуды к браузеру и т.п.
В общем, один сплошной позитив. Я вообще призываю не прекращать поиск и публикацию подобных случаев, это позволит повысить общий уровень защищенности данных в интернете за счет того, что и админы и юзеры будут держать себя «в тонусе».
> А вот тот факт, что игрушка эта из рядов пентестеров и «хакеров» пошла по рукам обычных сетевых жителей очень полезен.
slowloris.pl который был зарелизен еще 2009 году, а сам метод атаки существовал еще задлго до этого?
Представляю как вы удивитесь когда увидите metasploit
> 1. Админам скомпрометированных сервисов быстрее закрыть брешь (под пинками начальства и угрозой увольнения это делается много быстрее, да)
И каким же образом вы закроетесь от этого?
slowloris.pl который был зарелизен еще 2009 году, а сам метод атаки существовал еще задлго до этого?
Представляю как вы удивитесь когда увидите metasploit
> 1. Админам скомпрометированных сервисов быстрее закрыть брешь (под пинками начальства и угрозой увольнения это делается много быстрее, да)
И каким же образом вы закроетесь от этого?
Хоть ты и известный трололо, я потружусь тебе ответить.
Сынок, я успешно отражал slowloris-атаку на сервисы одного крупного коммерческого банка еще в апреле 2008 года, за год до публичного релиза этого вашего перлового скрипта. При минимальных трудозатратах ты легко выяснишь, какого именно банка, кстати (подсказка, загляни в мой профиль).
Сынок, я успешно отражал slowloris-атаку на сервисы одного крупного коммерческого банка еще в апреле 2008 года, за год до публичного релиза этого вашего перлового скрипта. При минимальных трудозатратах ты легко выяснишь, какого именно банка, кстати (подсказка, загляни в мой профиль).
И каким же образом вы закроетесь от этого?От чего? От утечек данных в поисковики? От slowloris? Ответы на эти вопросы столь просты и тривиальны, что известны любому школоло. Если не найдешь в гугле — переспроси, я тогда расскажу, ок?
> Сынок, я успешно отражал slowloris-атаку на сервисы одного крупного коммерческого банка еще в апреле 2008 года, за год до публичного релиза этого вашего перлового скрипта. При минимальных трудозатратах ты легко выяснишь, какого именно банка, кстати (подсказка, загляни в мой профиль).
> Сынок
Как не прилично. Ageism удел старых пердунов которым нечем больше гордиться, это раз. Во вторых как это противоречит тому, что я сказал?
> От чего? От утечек данных в поисковики? От slowloris? Ответы на эти вопросы столь просты и тривиальны, что известны любому школоло. Если не найдешь в гугле — переспроси, я тогда расскажу, ок?
Какие еще утечки данных? У меня есть 100 тачек по 100 прокси на каждую. Как прикроете apache от этого? С nginx все понятно, его можно вообще не прикрывать.
> переспроси
Манерам вас мама не учила. Печально.
> Хоть ты и известный трололо, я потружусь тебе ответить.
Не вижу ответа — вижу слюни и сопли.
> Сынок
Как не прилично. Ageism удел старых пердунов которым нечем больше гордиться, это раз. Во вторых как это противоречит тому, что я сказал?
> От чего? От утечек данных в поисковики? От slowloris? Ответы на эти вопросы столь просты и тривиальны, что известны любому школоло. Если не найдешь в гугле — переспроси, я тогда расскажу, ок?
Какие еще утечки данных? У меня есть 100 тачек по 100 прокси на каждую. Как прикроете apache от этого? С nginx все понятно, его можно вообще не прикрывать.
> переспроси
Манерам вас мама не учила. Печально.
> Хоть ты и известный трололо, я потружусь тебе ответить.
Не вижу ответа — вижу слюни и сопли.
Я выполнил полную настройку защиты сервера (в том числе и этот этап) когда в первый раз познакомился с LAMP. Действительно — детский сад.
С домашнего компьютера не получится, а мой способ работает даже с очень слабым каналом.
Ну почему-же не получится? Вполне себе серьезный урон по hdd, если хомячок сайт делал.
Да и вобще, в наше время очень просто сделать реальный, толстый DDoS. Все что нужно — список бесплатных http-прокси, 2 канала по 100 mb, знания с++ (например) и можно слать флуд так, что канал на сайте будет забит.
Да и вобще, в наше время очень просто сделать реальный, толстый DDoS. Все что нужно — список бесплатных http-прокси, 2 канала по 100 mb, знания с++ (например) и можно слать флуд так, что канал на сайте будет забит.
Ваш способ не работает, например, для сайта хостинг-провадера ionvm.com, который пиарили на хабре недавно.
habrahabr.ru/blogs/hosting/125163/
А мой работает.
Повторюсь, уязвимы все Web серверы в дефолтной комплектации.
Любой школьник с каналом 512kb/s сможет завалить сайт, подключенный в девятку.
habrahabr.ru/blogs/hosting/125163/
А мой работает.
Повторюсь, уязвимы все Web серверы в дефолтной комплектации.
Любой школьник с каналом 512kb/s сможет завалить сайт, подключенный в девятку.
Ну зато мой не требует какого-то доп. ПО. Да и тот коммент на юмор больше похоже, а вот мой способ который описан комментом выше, наверное, вполне сможет и хабр повалить:
На графике — частота запросов с конкретных зомби. Справа — дебаг ифнормация: ответ с сервера. Сделано это без спец. знаний в образовательных целях за один вечер.
Работая в пол силы — уронил сайт друга (среднего уровня грамотности) на выделенном сервере (сore i5, 8 гб...).
Это я к тому, что DDoS — уже почти на любом уровне — детский сад, даже ботнета делать не нужно).
На графике — частота запросов с конкретных зомби. Справа — дебаг ифнормация: ответ с сервера. Сделано это без спец. знаний в образовательных целях за один вечер.
Работая в пол силы — уронил сайт друга (среднего уровня грамотности) на выделенном сервере (сore i5, 8 гб...).
Это я к тому, что DDoS — уже почти на любом уровне — детский сад, даже ботнета делать не нужно).
Кстати, у wget есть опция --delete-after. :)
А еще есть curl с перенаправлением вывода в /dev/null.
А еще есть curl с перенаправлением вывода в /dev/null.
Эту опцию наверное специально для DDoSa придумали :)
У wget вообще-то тоже существует перенаправление в /dev/null:
`-O file’
‘--output-document=file’
The documents will not be written to the appropriate files, but all will be concatenated together and written to file. If ‘-’ is used as file, documents will be printed to standard output, disabling link conversion. (Use ‘./-’ to print to a file literally named ‘-’.)
Я вас разочарую:
wget -qO /dev/null some.web.com
Повторюсь, уязвимы все Web серверы в дефолтной комплектации.
Была уже статья про slow http post.
habrahabr.ru/blogs/infosecurity/116056/
В ней автор хотя бы потрудился объяснить как это работает и привел кучу примеров.
habrahabr.ru/blogs/infosecurity/116056/
В ней автор хотя бы потрудился объяснить как это работает и привел кучу примеров.
Бл***, и это — статья на главной.
Надо было статью начать с того, что сейчас цены на VDS и облака таковы, что свой сервачок может завести любой желающий. И этот любой легко может быть не знаком с такими «детскими» вещами.
Например, у меня есть такой сервер с SVN и Redmine. Полагаю, настроен он в целом ну совсем не хорошо и не правильно. Но знаний не хватает, а хороших инструкций сходу не нагуглилось. Работает — ок. Когда-нибудь потом, либо когда появится желание долго гуглить и много читать про всё это, либо когда под руку будут попадаться подобные статьи я и буду потихоньку чего-нибудь там настраивать.
Например, у меня есть такой сервер с SVN и Redmine. Полагаю, настроен он в целом ну совсем не хорошо и не правильно. Но знаний не хватает, а хороших инструкций сходу не нагуглилось. Работает — ок. Когда-нибудь потом, либо когда появится желание долго гуглить и много читать про всё это, либо когда под руку будут попадаться подобные статьи я и буду потихоньку чего-нибудь там настраивать.
По теме, могу сказать что только сейчас начал задумываться над защитой от DOS
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Детский HTTP DOS