Как побороть slow ddos http атаку на сервер?

Question

[Natterum]

В последние дни происходит SLOW DDOS HTTP атака на север под управлением NGINX + PHP-CGI.
На сервере AWS Amazon находится сайт под управлением WordPress.
Боты ддосят некоторые файлы модулей, такие как:
/wp-content/plugins/yith-woocommerce-wishlist/assets/sql.php
/wp-content/plugins/LayerSlider/locales/article.php
/wp-content/plugins/LayerSlider/includes/general81.php
при этом появляются и новые файлы, видимо бот заранее знает или как-то определяет уязвимые места.

Сервер ложится довольно быстро (всего 1 ядро выделено и 1 гиг памяти).
Ограничения количества одновременных подключений не помогают.
Создавать черный список не получается, так как IP адреса всё время новые.

Подскажите, если ли ещё способы борьбы? Спасибо.

------

После перезапуска сервера, атак возобновляется через 1-2 часа.

Comments

[sim3x]

зачем пользователю доступ к plugins/yith-woocommerce-wishlist/assets/sql.php ?

[Natterum]

Что вы имеете в виду?

[sim3x]

Natterum: 0. нажимай "Ответить"
1. Зачем пользователю стучаться к "plugins/yith-woocommerce-wishlist/assets/sql.php " - етот пхп отдает ему страницу?

[Natterum]

sim3x: О черт. Спасибо за наводку. Это оказывается трояны PHP/WebShell.NCL. Спасибо за наводку

Answer 1

[Natterum]

Вопрос закрыт. Были обнаружены троянские файлы PHP/WebShell.NCL. Буду чистить.

Answer 2

[romy4]

рубить конекты, если нет входящих данных > 10 секунд

Comments

[romy4]

рубить конекты, если за 10 секунд пришло менее 5кб данных