Jak mogę zablokować klienta użytkownika ze wszystkich stron na moim serwerze?

9

Pierwotnie napisałem to na webmasters.stackexchange.com , ale powiedziano mi, że otrzymam lepszy odbiór tutaj.

Przez ostatnie kilka dni cierpiałem na (prawdopodobnie nieumyślny) atak DDOS. Otrzymuję tak wiele żądań od agenta identyfikującego się jako „Mozilla / 4.0 (zgodny; ICS)”, że apache zjada całą dostępną pamięć.

W związku z tym chciałbym zablokować wszystkie żądania połączone z tym agentem użytkownika, więc próbowałem to zrobić w httpd.conf:

SetEnvIfNoCase User-Agent "Mozilla/4.0 (compatible; ICS)" bad_user
Deny from env=bad_user

Ale kiedy ponownie uruchamiam apache, narzeka na używanie denytutaj. Bez konieczności owijania go w blok locationlub directory, co oznaczałoby, że musiałbym dodać nowy blok dla każdej witryny, czy jest jakiś sposób, aby odmówić dostępu do całego serwera?

AKTUALIZACJA: Występuje błąd

Ponowne uruchamianie serwera WWW apache2
Błąd składniowy w wierszu 4 pliku /etc/apache2/httpd.conf: odmowa niedozwolona tutaj [błąd]

apache-2.2 httpd.conf useragent

— Tom Wright
źródło

7

Wygląda jak stare pytanie, ale chciałem zrobić to samo i znaleźć odpowiedź z nerwów powyżej. Nie jest tak, jak jest - wydaje mi się, że tak powinno być <Location "/">, i SetEnvIfpotrzebuje regularnego wyrażenia, więc nawiasy trzeba cytować.

To działało dla mnie, aby zastosować kontrolę dostępu na wszystkich vhostach:

SetEnvIfNoCase User-Agent "^Mozilla/4.0 \(compatible; Synapse\)" bad_ua
<Location "/">
    Deny from env=bad_ua
</Location>

Po prostu dołącz to przed definicjami vhosta.

— użytkownik3061288
źródło

(Dla odpowiednika w Apache 2.4) Zachowaj ostrożność, <Location>ponieważ zastępuje on wszelkie inne ograniczenia autoryzacji w <Directory>, chyba że dodasz AuthMerging And. Zobacz ostrzeżenie dotyczące bezpieczeństwa Requirew dokumentach apache: httpd.apache.org/docs/2.4/mod/mod_authz_core.html#require

— Cedric Knight

4

mod_rewrite można skonfigurować na poziomie serwera zgodnie z dokumentacją:

RewriteCond %{HTTP_USER_AGENT} "Mozilla/4\.0 \(compatible; ICS\)" [nocase]
RewriteRule ^.*$ - [forbidden,last]

Nie zapomnij uciec od wyrażenia regularnego w RewriteCond

— fukawi2
źródło

1

Uwaga: kreska nie jest prawdziwą kreską po skopiowaniu. Próbowałem edytować, ale SF będzie narzekać, że moja edycja jest zbyt mała. W każdym razie dzięki, działa uczta!

— Thibaut Barrère

@ ThibautBarrère, jeśli naprawdę potrzebujesz, możesz ominąć mały limit edycji, dodając niewidzialną do edycji

— hanshenrik

1

Pod warunkiem, że składnia w wierszach SetEnv jest poprawna, powinieneś być w stanie przekazać to w conf w następujący sposób:

<Location *>
SetEnvIfNoCase User-Agent "Mozilla/4.0 (compatible; ICS)" bad_user
Deny from env=bad_user
</Location>

Powinno to umożliwić działanie na wszystkich wirtualnych hostach - właśnie przetestowane w wersji 2.2.24, działało jak urok.

— nerw
źródło

Jest to lepsze, ponieważ nie ma żadnych błędów, ale podczas fałszowania mojego agenta użytkownika nie odmawia mi się. Wiesz, dlaczego to może być?

— Tom Wright