Как закрыть доступ к сайты по ссылке?

Question

[Алексей Болгов]

Здравствуйте. Подскажите пожалуйста у меня есть сайт например site.ru на меня идёт ддос атака уровня l7 как запретить доступ к сайту по ссылке такого типа site.ru/?GHBGFFUJN. Заранее спасибо

Comments

[Алексей Болгов]

Атака идёт через программу ufonet

[Евгений]

А юзер агент какой?
Если запрос идет только на главную страницу, то можно запросить все запросы с непустым query string

Answer 1

[nokimaro]

на уровне nginx

if ($arg_GHBGFFUJN) {
    return 444;
}

на уровне PHP
в случае с laravel можно вписать прямо в начале файла public/index.php

if(isset($_GET['GHBGFFUJN'])) {
    http_response_code(403);
    exit;
}

лучше блочить запросы на уровне nginx, чтобы они не долетали до PHP и не создавали доп. нагрузку.

так же если все запросы имеют одинаковый паттерн, например содержат GHBGFFUJN, то можно доставать из access-логов ip с которых прилетают такие запросы, и вносить ip в блок уже на уровне файрвола, минут на 30.

Comments

[Алексей Болгов]

ip всегда разные. а значения после "?" всегда меняются

[nokimaro]

Алексей Болгов, это надо было уточнять в вопросе, так как ответ даётся исходя из вопроса
думаю в вашем случае лучше всего тогда нанять сисадмина на фрилансе, который поможет справиться с атакой.

общий принцип для отражения таких простых атак один и тот же:
1. выявляем закономерности в запросах которые помогут идентифицировать паразитный трафик
2. блокируем

[Алексей Болгов]

nokimaro, атаку блокирует ддос защита (ddos-guard) но не на долго

[nokimaro]

Алексей Болгов, как вариант подключить Cloudflare с режимом "Under Attack"
главное не забыть донастроить nginx чтобы он не принимал запросы напрямую https://support.cloudflare.com/hc/en-us/articles/2...

[dodo512]

значения после "?" всегда меняются

Алексей Болгов, если там только буквы, то так

if ($request_uri ~ "^/\?[A-Z]+$") {
    return 444;
}

[Алексей Болгов]

dodo512, там вот такие запросы
/?PQSRUU=ZDVFXPAKK
GET /?JERKIMOR=ATR
GET /?LXYRRIXANA=RYO
GET /?OMWLV=RXSCGVKK

[Алексей Болгов]

nokimaro, не могу сменить защиту на клоуд потому что куплен сервер с уже встроеной защитой а они конфликтуют

[dodo512]

Алексей Болгов, если без цифр и только большие буквы, то так

if ($request_uri ~ "^/\?[A-Z]+=[A-Z]+$") {
    return 444;
}

[Алексей Болгов]

dodo512, огромное спасибо не знаю чтоб я делал без вас. ну а теперь пойду учить регулярки