Можно ли защититься от Ddos при помощи PHP?

Question

[Константин Хаиров]

Дописал свой первый сайт на php
sniffer.poigraem.uz
Тут пошла первая атака (Меня предупредили) так сказать для теста . И сервер ограничение сайту выдал . И все 2 минуты сайт оффлайн . Нашел вот такую статью

vk-site.com/zashhita-ot-ddos-atak-na-php.html

Но стоит ли пробовать ее ставить . Может есть еще какие варианты защиты?
Кстати сайт падает уже не первый раз . Когда только начинал делать сайт на этом хостинге . Проверял дизайн через browsershots бывало что и после него ограничения выдавало . Подскажите может знаете еще какие либо варианты?

Comments

[dev400]

на уровне сервера защищаться надо

[Константин Хаиров]

Андрей Безруков: Я живу в Узбекистане . Арендую хостинг . Тут мягко говоря. Об этом не сильно думают . По этому мне нужно найти способ сделать защиту на уровне php =)

[Константин Хаиров]

Хочешь узнать что ты днище выложи свой код на toster.ru =)
Всем спасибо за помощь . Извините если мой код вызвал у вас ярость . Я только начинаю . Спасибо за ссылки что вы дали , особенно за phpfaq.ru огромное спасибо . Уже прочел пару статей очень понравились . По поводу вопроса зачем писать свое если уже есть проверенные временем библиотеки и т.д . Отвечаю,я не хочу использовать чье то . Хочу писать все свое , может сейчас это слишком коряво или же многое не правильно ,я только учусь мне всего 17 лет так что учиться учиться и еще раз учиться )
Спасибо всем кто пробовал делать кривую регистрацию . Подправил регистрацию . Вроде больше не проходит подобное , но уязвимости еще есть конечно же . Кому не сложно если найдете еще какие то уязвимости пришлите описание их мне на почту [e-mail]
Всем еще раз спасибо,удачи)

[Stalker_RED]

Стремление разобраться и сделать самому, оно до некоторой степени хорошее и похвальное. Но
если вам нужна отвертка, вы же сами не будете вырезать ручку и ковать жало? Или может и металл из руды сами добудете?

[Silm]

"я не хочу использовать чье то . Хочу писать все свое" - так не делают. Никогда в одиночку не достичь уровня и объема свободных инструментов и библиотек. А такой момент как регистрация/аутентификация/авторизация/.. слишком критичен, чтобы в нем могли быть ошибки новичка. Желание тут не причем, "писать свое", когда есть идеально подходящие готовые, проверенные решения - это считается не только бессмысленной тратой времени, но еще и дурным тоном.

И еще раз, "я не хочу использовать чье то . Хочу писать все свое" - представьте, что вы хотите собрать автомобиль и начинаете с... добычи железной руды, выплавки железа, изготовления стали, проектирования деталей и их отливки... Это нелепо. И уж поверьте, даже если вы используете уже готовые детали, вам все равно работы хватит заглаза.

[Константин Хаиров]

Silm: Stalker_RED: И то верно

[Silm]

Stalker_RED: удивительно, такое совпадение аналогий )

[trevoga_su]

Silm: ерунду писать не надо

> "писать свое", когда есть идеально подходящие готовые, проверенные решения - это считается не только бессмысленной тратой времени, но еще и дурным тоном.

давно программирование стало дурным тоном? Мне всегда казалось, что дурной тон - это когда человек нихера не знает, даже основ, и сразу же за библиотеки и фреймворки хватается.

ему 17 (!!!!!) лет
он сейчас ДОЛЖЕН писать свое, что бы набивать руку
зачем вы его на неверный путь ставите?

> А такой момент как регистрация/аутентификация/авторизация/.. слишком критичен, чтобы в нем могли быть ошибки новичка.

регистрация/аутентификация/авторизация/ на php делается элементарно, для этого достаточно знаний, описанных на phpfaq.ru
нет, давайте человеку посоветуем готовое решение, что бы он окончательно ничего не понял и ничему не научился

[Silm]

trevoga_su: пишу как есть. Руку на написании кривых велосипедов не набить. Совершенствование навыков идет в другом порядке, сначала, после изучения языка, применяются лучшие практики, потом постигаются тонкости реализации, следом вклад в открытые библиотеки, получение фидбека и только тогда опыта становится достаточно для разработки своих решений.

Этот процесс хорошо идет именно от общего к частному. А если писать кривые велосипеды, то и через год будешь писать кривые велосипеды. Единственный плюс, лучше будешь знать апи языка.

Отличный пример: ситуация которая произошла с ТС, он был уверен, что его код работает правильно и если бы не сообщение на тостере, от решившего зарегистрироваться с невалидными данными пользователя, он думал бы так дальше. И кривой велосипед жил бы неизвестно сколько времени без намека на совершенствование. ТС исправит эти баги, но не известно сколько при этом внесет новых и сколько еще останется, развития не будет до выявления следующей проблемы. Это очень медленный процесс, в котором человек приобретает мало практически полезных навыков.

> "давно программирование стало дурным тоном? Мне всегда казалось, что дурной тон - это когда человек нихера не знает, даже основ, и сразу же за библиотеки и фреймворки хватается. "
Основы - это знание синтаксиса и API языка. Они прекрасно изучаются сперва по мануалам, потом при манипулировании готовыми решениями.

В любом развитом языке высокого уровня, навыки работы с библиотеками и фреймворками для новичка ценятся в разы выше чем практика попыток самостоятельной реализации. Потому что результаты этих попыток неприменимы на практике. Сколько новичок не будет пытаться реализовать ту же систему отвечающую за регистрацию и права его код все равно не будет принят в проект. А если все чему человек смог научится - писать кривые велосипеды, то и сам он никакому проекту не нужен.

Answer 1

[trevoga_su]

я смог зарегистрироваться с логином " (кавычка) и остальными пустыми полями
давай свой код, мы сейчас тебя разложим на молекулы

Comments

[Константин Хаиров]

//=======================
//Проверка Логина
//=======================
function checklogin($login_func){
$log_check = htmlspecialchars($login_func);
$login_check = str_replace(' ','',$log_check);
if (strlen($login_check) < 1 ) return false;
$mysqli = new mysqli (подключение к бд );
$result_set = $mysqli->query ("SELECT `password`, `login` FROM `users` WHERE `login`='$login_func'");
$user = $result_set->fetch_assoc();
$mysqli->close();
if ($user) return false;
return $login_check;
}
//=======================
//Проверка E-mail по регулярке
//=======================
function checkmail($mail_func){
$mail_check = htmlspecialchars($mail_func);
$mail_str= str_replace (' ','',$mail_check);
preg_match ("/.*@.*\..*/i",$mail_str,$arraymail["mail_out"]);
if (empty ($arraymail["mail_out"][0])>1 ) return false;
$mail_out = $arraymail["mail_out"][0];
return $mail_out;



}

Сейчас проверил и в правду перестало проверять . Отдельно по вызывал функции все проверяет нормально .

[Silm]

Константин Хаиров: интересно, где, ну вот где люди умудряются научится ТАКОМУ... сейчас уже всюду полно инфы, хороших практик и готовых библиотек. Но нет, такое ощущение, что намерено пишут как можно хуже.

Используйте CMS, если не хотите программировать. Если хотите, то читайте мануал, используйте фреймворки и готовые бибилиотеки.

[trevoga_su]

Константин Хаиров: я к предыдущему оратору присоединяюсь. все настолько отвратно, что слов нет.

ты пишешь код
- не включая мозги
- не прочитав ОСНОВЫ ОСНОВ

$log_check = htmlspecialchars($login_func);

htmlspecialchars тут ВООБЩЕ не нужен, он тут никоим боком

phpfaq.ru
php.net - читай от корки до корки все.

[ТёмнаяМатерия]

Константин Хаиров: В логине оставляйте только буквы, цифры, символо подчёркивания например тоже. Всё это регуляркой. Для связи с БД PDO а про фреймворки не слушайте никого, с ними программировать никогда не научитесь

[Константин Хаиров]

ТёмнаяМатерия: Уже сделал ) Сделал регулярку под логин и мэил по сложнее что бы точно проверяла . Ну и проверку сделал . А так же по совету
trevoga_su убрал htmlspecialchars . Правда вот тема этого вопроса все ще под вопросом )

[trevoga_su]

> Правда вот тема этого вопроса все ще под вопросом )

какая тема? htmlspecialchars нужен только при выводе символов в шаблон. что бы все символы, которые используются в HTML, были представлены как мнемоники, те. кодом.

а тема безопасности ОЧЕНЬ подробно описана на phpfaq.ru
там, по сути, описано все, что бы научиться писать нормальные программы начинающего уровня

Answer 2

[Silm]

От PHP требуется грамотное использование. Защита от ddos реализуется совершенно на другом уровне. А этот скрипт принципиально не поможет ибо ddos он на то и ddos, что с разных IP идет. Даже напротив, с этим скриптом быстрее ляжете.

У вас либо хостер совсем плох, либо вы что то накодили кривое.

Для начала надо выяснить из за чего именно падает сайт. Где узкое место, откуда нагрузка. Если не нравится Узбекистанский хостинг, возьмите другой.

И почему вас вообще беспокоит ddos? Не похоже что у вас какой то коммерчески или конкурентный проект, который был бы смысл ддосить.

Answer 3

[dev400]

phptherightway.com

Answer 4

[ТёмнаяМатерия]

Ответ на ваш вопрос такой: можно только от самой примитивной атаки на примитивном уровне.
Правильный ответ: нет, нельзя. Для защиты от более сильных атак меняют конфигурацию сервера а не php. Например можно хитрым образом настроить iptables (запретить диапазоны ip или выставить интервалы)

Comments

[Константин Хаиров]

По поводу iptables (запретить диапазоны ip или выставить интервалы) находил статью на хабре . Но видимо помирать моему сайту от Ddos =)

[ТёмнаяМатерия]

Константин Хаиров: ну там да с непривычки непросто разобраться

[Константин Хаиров]

Да нет , я бы может и разобрался но у меня хостинг . А этим как я понял должен заниматься системный администратор на хостинге .

[ТёмнаяМатерия]

Константин Хаиров: да, то что я писал справедливо только для VDS