CPU загружается на 100% из за запросов mysql. Как отразить ddos?

Question

[veroni1337]

Целый день лежит сайт, т.к процессор нагружен на 100 процентов. На сайт приходят странные запросы которые содержат ссылки на другие сайты, еще делают редиректы так:

GET /bitrix/redirect.php?goto=https%3A%2F%2Fchess24.com%2Fhttp%3A%2F%2Fmitgaard.com%2Fbitrix%2Fredirect.php%3Fgoto%3Dhttps%253A%252F%252Fwww.lovelyskin.com%252Fviewswitcher%252Fswitchview%253Fmobile%253DTrue%2526returnUrl%253Dhttps%25253A%25252F%25252Fforum.amperka.ru%25252Fproxy.php%25253Flink%25253Dhttp%2525253A%2525252F%2525252Fwww.ensp.fiocruz.br%2525252Fportal-ensp%2525252Fentrevista%2525252Fcounter.php%2525253Fcontent%2525253Dlink%25252526contentid%2525253D32190%25252526link%2525253Dhttps%252525253A%252525252F%252525252Fmaps.google.com.ar%252525252Furl%252525253Fsa%252525253Dj%2525252526source%252525253Dweb%2525252526rct%252525253Dj%2525252526url%252525253Dhttps%25252525253A%25252525252F%25252525252Fwww.franchising.com%25252525252Fevent_tracker.

Проверяю ресурсы сервера через htop и там куча запросов на maradb и из за этого cpu нагружается на 100

spoiler

бд на докере. Перезагрузка не помогает, сразу пополняются новые запросы

Это ddos атака? Если да, то как можно его отразить?

spoiler

Comments

[asmelnik]

Ничего не понимаю в битриксе, но может заблокировать redirect.php ??? или доступ к нему строго ограничить.
как-то неправильно, когда кто ни попадя может редирект отправить через вашу систему...

[Drno]

Внешний порт к БД надеюсь закрыт?

[veroni1337]

asmelnik, убрал этот файл, но все равно запросы продолжают идти и нагружать процессор

[veroni1337]

Drno, бд на 3310 порту. Проверил через telnet и получаю таймаут

[d'Ivan]

Нет единственного верного ответа, потому что нужен комплекс мер.
Поэтому найдите специалиста.

[d'Ivan]

veroni1337,

убрал этот файл, но все равно запросы продолжают идти и нагружать процессор

а теперь что в логах?

[veroni1337]

Иерокопус Таманский, хоть я и удалил из сервера файл redirect.php, все равно получаю такие запросы

GET /bitrix/redirect.php?goto=http://www.desktop.ipt.pw/News/high-quality-fake-document-maker-4/ HTTP/1.0
	Host: 
	Connection: close
	User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36 OPR/89.0.4447.51
	Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
	Accept-Language: en-US,en;q=0.5
	DNT: 1
	Referer: https://rolik-lenta.ru/bitrix/click.php?goto=https%3A%2F%2F%2Fbitrix%2Fredirect.php%3Fgoto%3Dhttp%3A%2F%2Fwww.desktop.ipt.pw%2FNews%2Fhigh-quality-fake-document-maker-4%2F
	Origin: https://rolik-lenta.ru
	sec-ch-ua: ".Not/A)Brand";v="99", "Google Chrome";v="114", "Chromium";v="114"
	sec-ch-ua-mobile: ?0
	sec-gpc: 1
	sec-ch-ua-platform: "Windows"

[My1Name]

Проверяю ресурсы сервера через htop и там куча запросов на maradb

Я не знаю что это за программа "htop" (да и битрикс я не знаю), но судя по времени запросов, это не ddos. Больше похоже на ошибку сервера (с вашей стороны).

бд на докере

если на одном устройстве с сервером, 99% ошибка на вашей стороне.

Скорей всего, вы где-то redirect установили...

[d-stream]

veroni1337, ну а чего запросам не быть-то?
это же в рамках версии атаки - запросы от ботов
по-хорошему для купирования - стоит все src адреса, хотящие редирект в бан пихать
со временем ботам надоест - и нагрузка упадёт

[d'Ivan]

все равно получаю такие запросы

боты реагируют на разные ответы от сервера.
Если сервер перестал отвечать со статусом 2xx/3xx, то они могут слать что-то новое.

Нагрузка на СУБД продолжается? Подключиться возможно?

[shurshur]

veroni1337, битрикс часто так настроен, что ошибку 404 обрабатывает файл 404.php, который подключает ядро битрикса. Поискать в конфигах как 404 обрабатывается. Например, это может быть в Apache:

ErrorDocument 404 /404.php

Самое простое - в 404.php сделать в самом начале exit, чтобы сразу отлупал.

У меня был кейс, когда сайт на битриксе жутко лагал. Я в итоге нашёл, что на главной сделали карусельку из баннеров когда-то давно, а потом баннеры удалили. В итоге каруселька у пользователей крутила картинки часто и много, а 404 от них хорошо так грузили сервер. Я наскоро сделал в конфиге веб-сервера, чтобы отсутствующие картинки (*.jpg, *.png итд) по 404 выдавали пустой 404fast.php а не 404.php, и всё нормализовалось. Ну дальше отправил владельцев сайта карусельку-то убирать или исправлять.

[veroni1337]

Иерокопус Таманский, нагрузка продолжается. https://instantcms.ru/forum/povyshennaja-nagruzka-... у меня похожая ситуация. Добавил в htacces

<FilesMatch "(rk|redirect).(php)$"> 
	RewriteCond %{QUERY_STRING} goto= [NC]
	RewriteRule ^.*$ - [F]
	RewriteEngine On
</FilesMatch>

в nginx

location /redirect {
		return 444;
	}
	location /rk {
		return 444;
	}
	location /click {
		return 444;
	}

так же еще в начало index.php

if(strpos($_SERVER['REQUEST_URI'], '/redirect?url=http' || strpos($_SERVER["REQUEST_URI"], '/click?url=http') !== false || strpos($_SERVER["REQUEST_URI"], '/rk?url=http') !== false) !== false)
{
	$is_access = 0; // нет доступа
	if(!empty($_SERVER['HTTP_REFERER'])){
		if(strpos($_SERVER['HTTP_REFERER'], 'http://'.$_SERVER['HTTP_HOST']) === 0)
			{$is_access = 1;} // есть доступ
		if(strpos($_SERVER['HTTP_REFERER'], 'https://'.$_SERVER['HTTP_HOST']) === 0)
			{$is_access = 1;} // есть доступ
	}
	if($is_access != 1){
		$msg = " 403 Forbidden";
		header($_SERVER["SERVER_PROTOCOL"].$msg);
		exit("<h1>{$msg}</h1>");
	}
}
//-----------------------------------

На сервер могу подключиться и работать без проблем, но на сайт или в админку могу попасть только в течении нескольих секунд после перезагрузки mariadb

[tgarl]

Очень похоже на то с чем я когда-то сталкивался и не смог победить.
Как потом мне в общих чертах рассказали решение сводится к следующим действиям: проблема зачастую в самом проекте, есть консольная утилита, которая показывает с какого ip идет самая большая нагрузка, далее вычисление запроса/заголовков от этого IP и его блокировка. После этого нагрузка падает и сайт более-менее работает что позволяет сделать дальше разбор что начинает отрабатывать по тем запросам что шли с этого адреса и правка соответсвующих скриптов.

Answer 1

[koder_1]

/bitrix/redirect.php - Эти скрипты, rk.php, redirect.php ограничьте через nginx или htaccess чтоб были доступны только с локального сервера, а с внешних адресов не доступны.

Answer 2

[ThunderCat]

1) fail2ban
2) Временно повесить заглушку "на сайте идут технические работы, все пучком"
3) Ждите, через некоторое время ботнет целиком поместиться в банлист и нагрузка упадет

Про адекватные решения по типу подключить Cloudflare вы скорее всего и сами знаете.

Comments

[veroni1337]

бесплатный тариф cloudflare подойдет?

[ThunderCat]

veroni1337, Хз, надо смотреть что и сколько туда входит, я уже сто лет не смотрел туда, этим админы занимаются. Стоить как минимум попробовать, это же бесплатно )

Answer 3

[veroni1337]

В итоге проблема решилась когда я удалил текущий докер контейнер и поставил вместо него другой контейнер mariadb, перенес туда базу данных и поменял доступы. После этого запросы сразу перестали поступать

Answer 4

[ffedorovanton]

Сам долго с подобной проблемой возился(узнал что сервер взломали только когда нашел эксплоит для эскалации привилегий). Итог такой, перенес все на новый сервер, старый был полностью скомпрометирован и искать что-то там было просто не выгодно, на новом сервере проблемы не было.

P.S проверьте на безопасность Битрикс так как может повториться снова