4

我有一个问题，我构建了这个小脚本来检查某个 ip 是否淹没了我的网站。当它这样做时，我拒绝 .htaccess 文件中的 ip。我的问题是，有人可以告诉我这个脚本是完全没用还是值得一试...该脚本在配置文件中被调用，因此它在每个页面加载时运行。

<?php
#get the visitor ip
$ip = $_SERVER["REMOTE_ADDR"];

#start the session
@session_start();

#check if the ip is banned
if( $_SESSION['~b'] ){

#check if we can open htaccess
$fp = @fopen('./.htaccess','a'); 
    if($fp){
        #add the ip to htaccess
        @fwrite($fp,"\r\ndeny from $ip"); 
        #close
        @fclose($fp);
        #destroy the session
        @session_destroy();
        @mail("my-email","IP Banned","Ip: $ip");
    }
    #let the user know why we deny him or her access
    die('To many requests.');
    }
#get the filename and location
$f = './log/'.@ip2long($ip);

#check if the file exists
if ( @is_file($f) ) {
        #get the last filetime
        $a = @filemtime($f);
        #touch the file, give a new filetime
        @touch($f,time());
        #the ip is not banned
        $_SESSION['~b']  = false;
        #add the time diff
        $_SESSION['~r'] += @time()-$a;
        #add the latest hit
        $_SESSION['~h'] += 1;
    }else{
        #create the file if it doesn't exist
        @file_put_contents($f,''); #size: 0kb
        #if touch() doesn't work
        #chmod($ipfile,0755); 
    }

#calculate the diff after 10 hits, and ban when the avg is smaller than 0.25 seconds
if( $_SESSION['~h'] > 10 && ($_SESSION['~r']/$_SESSION['~h']) < 0.25 ) $_SESSION['~b'] = true;
?>

只是遵循了避免会话的建议，所以我使它基于文件，而不必依赖于 cookie 和会话：

<?php
# get the visitor ip
$i = $_SERVER["REMOTE_ADDR"];
# get the filename and location
$f = './log/'.ip2long($i).'.dat';
# check if the file exists and we can write
if ( is_file($f) ) {
    # get the last filetime
    $a = filemtime($f);
    # get the file content
    $b = file_get_contents($f);
    # create array from hits & seconds
    $d = explode(':',$b);
    # calculate the new result
    $h = (int)$d[0] + 1;
    $s = (int)$d[1] + (time()-$a);  
    # add the new data tot text file
    file_put_contents($f,"$h:$s",LOCK_EX);
    unset($d);
}else{
    # create the file if it doesn't exist hits:seconds
    file_put_contents($f,"1:1",LOCK_EX); #size: 3kb
    # to make sure we can write
    # chmod($f,0755); 
    # set the hits to zero
    $h = 0;
}
# create a result var
$r = $h > 10 ? (float)$s/$h : (float)1;
# calculate the diff after 10 hits, and ban when the avg is smaller than 0.20 seconds (5 hits per second)
if( $r < 0.20 ) {
    # check if we can open htaccess
    $fp = @fopen('./.htaccess','a'); 
    if($fp){
        # add the ip to htaccess
        @fwrite($fp,"\r\ndeny from $i"); 
        # close
        @fclose($fp);
        # mail the admin
        @mail("email","IP Banned","Ip: $i with $r sbh (Seconds Between Hits)");
    }
    # let the user know why we deny him or her access
    die('To many requests.');
    # remove the file
    unlink($f);
}
# if the user leaves, reset
if( $r > 30 ) {
    unlink($f);
}
echo 'Result: '.$r.'sbh (Seconds Between Hits)';
?>
4

4 回答 4

3

如果您想阻止临时用户在一定时间内发送太多请求，那么是的，脚本可以工作。调出一个 catpcha 屏幕，你就开始做生意了。

但

真正的答案是否定的。

此代码的主要错误是依赖会话来确定用户活动的频率。“好”的攻击者可以用禁用 cookie 的请求淹没您的服务器，并欺骗他/她的 IP。

阻止攻击的一种方法是进入服务器级别，并安装 iptables。事实上，大多数 linux 发行版都附带 iptables。它需要很少的配置并且开箱即用。

另一种方法是，如果您对服务器具有 root 访问权限，则将会话处理移至 Memcached。它有一个叫做防洪的功能，非常BOSS。

防止 DDOS 的另一条途径是来自第三方服务，例如 blockdos http://www.blockdos.net/

有点贵，但它可以为你工作。

但是 PHP 本身无法配置为处理 DDOS 攻击。在访问 PHP 脚本之前，您需要在所有要审查的请求前面放置某种设备或防火墙。

于 2012-12-30T01:36:12.903 回答
0

我的两分钱。这是一个好主意，但是您最终可能会阻止合法用户访问您的网站。这也将是机器人（例如 Google 机器人）的问题。因此我会很小心。也许还要检查用户代理，如果它以 Google 的形式出现，那么无论其他条件如何都允许它。当然，这为恶意用户打开了一个新的漏洞。通常这样的事情是在 Web 服务器上完成的，而不是使用 PHP 代码。另一种方法是令牌系统。也就是说，我认为通过进一步的改进，你可以用你的方法来做一些事情。

您还看到针对多个快速请求问题的 .htaccess 或 PHP 保护代码吗？它表明你正在设计的东西以前已经尝试过。这告诉您可能正朝着正确的方向前进。

于 2012-12-30T00:20:29.450 回答
0

通过设置基于请求率的 IP 阻止规则来缓解 DDoS 总是会以失败告终，因为：

  1. 此类规则会影响合法用户（误报）
  2. 对于 IP 欺骗，这对于大多数（即使不是所有）攻击者都不起作用是很常见的。

IPTables 也是如此。您可以在这里了解更多信息：http: //www.incapsula.com/ddos/ddos-protection-service#iptables-ddos-protection

于 2012-12-30T13:13:38.043 回答
0

该解决方案非常有帮助。同时，关于@lopata 提出的问题，您可能宁愿注释掉脚本中的 unlink() 函数并设置一个 cron 作业，该作业将在一段时间后从 htaccess 中解锁 IP 并删除文件。

<?php

function unban_ip($ip){
    $filename='.htaccess';
    $line="deny from $ip";
    file_put_contents($filename, str_replace("\r\n".$line, "", file_get_contents($filename)));
    $f = './log/'.@ip2long($ip);
    if(@is_file($f))unlink($f);
    return true;
}

$time=time();   
$path='./log';
$handle=@opendir($path);
$x=0;

while(($file=@readdir($handle))!==false){
    if($file=='.'||$file=='..')continue;
    $filepath="$path/$file";

    if(is_file($filepath)){
        $ftime=@filemtime($filepath);
        if($time-$ftime>600){  //unban after 10 minutes
            $ip=long2ip($file);
            unban_ip($ip);
            $x++;
        }
    }
}

echo "$x IPs Unbanned";
于 2017-10-03T22:20:56.713 回答