Мне устроили ддос на mysql?

Question

[xonar]

Здравствуйте.
Резко возрасла нагрузка, хотя онлайн постоянный не такой большой. Но, тут моментально стала повышаться. Скрины.



Можно ли как-нибудь через консоль проверить количество подключений и запросов в реальном времени? И как устранить ддос?

Comments

[xonar]

Если закрывать подключения, то появляются новые сразу же на другие порты localhos:port

Как вообще прекратить это?

[xonar]

alexw1n, я в том не разбираюсь, но благодаря вам прочитал. Значит ли это то, что может быть брак на машине? Как я прочитал, то это нехватка cpu машина просто не выдаёт нужного количества от заявленного. Так?

[xonar]

alexw1n, А вы случайно не подскажете, а как блокировать такие адреса 231.10.nat.atknet:64092

Он создаёт 13000 запросов. Как его убить netstat ? Не могу, так как пишет неверный адрес.

Answer 1

[Олег]

Сами себе не могли такое устроить ?
Проверьте при 404 ошибке у Вас такой запрос к базе не формируется ?

Comments

[xonar]

У меня уже складывается ощущение, что сами себе и устроило это. Ошибка 404 нет, оно не формирует запрос.

[Олег]

я почему написал. Часто запросы к отсутствующим статическим файлам оказываются
перенаправленными на index.php. Хуже всего, когда вместо забытой картинки сайт отдает свою главную страницу.
Вы нашли место в своем коде, где делается этот запрос ?
Не могло получиться , что урл на это место может собраться, если в коде страницы забыли
косую перед статикой ( img src="assets/img/1.jpg")

[Tvolly]

Было такое что себя задосил.
Запустил крон не правильно настроив.

Answer 2

[killvapllik]

...
netstat -planet |grep ESTAB | grep 3306 | wc -l

Смотришь коннекты.
Потом смотришь запросики в бд
Потом втыкаешь в фаервол и блочишь все, кроме нужного порта.
Смотришь логи - там так или иначе будет видно что да как.
Ну и это- блочишь коннекты к бд с определенного хоста. все.
Если хочется поиграться с файрволом- fail2ban- покури в эту сторону.
Рост нагрузки не всегда связан с ддос, мб диски деградировали, или где то что то недопилино.. ну и это- место проверь)

Comments

[xonar]

Проблема решена. Был флуд на страницу с тяжёлым запросом к бд. Запрос оптимизировали, защиту поставили. Спасибо)

Answer 3

[Sanes]

Посмотрите через mytop

Comments

[xonar]

через mytop такое получил

Answer 4

[dmpopof]

Можно телеграфом закинуть в influxdb - настойка 5 минут. И оттуда дашборд в графане отрисовать. Конечно лучше это делать до того как нагрузка привалила. Возможно просто изменилось соотношение insert select и кэш стал неэффективен, или индекса где-то нет, куда стали чаще запросы идти (план надо смотреть).

Answer 5

[Berkutman]

Явно дыра у тебя где-то, доступ до базы получили и запросы кидают. Веб сайт есть? Видно по строкам , что игровой сервер.Так сразу и не поймешь. Нужно смотреть все строки подключения к БД из вне и как это реализовано.

Comments

[xonar]

Да, сайт есть. Вот - ссылка

Сайт отключаю, нагрузка сразу исчезает. Стоит включить, то растёт моментально. Не думаю, что есть дыра и доступ. Ощущение, что флуд.

[Berkutman]

xonar, Сами поняли,что сказали? sql injection, слышали про такое?

SQL инъекция — это один из самых доступных способов взлома сайта. Суть таких инъекций – внедрение в данные (передаваемые через GET, POST запросы или значения Cookie) произвольного SQL кода. Если сайт уязвим и выполняет такие инъекции, то по сути есть возможность творить с БД (чаще всего это MySQL) что угодно.

Что у вас соответственно и происходит.

Вот пробуйте.
https://habr.com/post/130826/
https://habr.com/post/148701/
phpfaq.ru/mysql/slashes
php.net/manual/ru/security.database.sql-injection.php

[xonar]

Berkutman, это не инъекция, а флуд как я понимаю. А флуд и инъекция немного разные вещи. Или я не прав?

[Berkutman]

xonar, Суть таких инъекций – внедрение в данные (передаваемые через GET, POST запросы или значения Cookie) произвольного SQL кода.

Это и есть в вашем понимании флуд!

[xonar]

Как оказалось, это был банальный флуд. Обращались к странице тысячи раз где был трудоёмкий запрос к БД. Оптимизировали запрос, поставили защитку и всё. Просто флуд)