скорее всего так и делается антидудос - поднимается один хостнейм на куче серверов, потом трафик с этих серверов собирается на один (или более) лоадбалансер(ов), и с него(них) идёт на один(или более) бэкенд(ов)
-
XSS.stack #1 – первый литературный журнал от юзеров форума
DDoS TORа и бан дескриптора на нодах
- Автор темы gliderexpert
- Дата начала
1. Верно, каждая защита это кастомная проверка и не должна копировать другую какую-либо из проверок браузера
2. Верно, могу, потому что это делается легко и удобно (в моём случае), как в случае ддг или клоуда не знаю, возможно там всё куда сложнее и труднее сделано, от того и проблемы внедрить для одиночного клиента какой-то прикол с защитой
3. Первый челленедж не менялся 2 года (версия V2), никто за 2 года не написал байпасса (не знаю почему) и в новой версии v3 новый байпас, который просто работает быстрее чем V2 (в браузере), а фундаментальных отличий как таковых нет
4. Дак вот именно что, никто не будет писать байпасы, потому что защита это не только JS в браузере
5. 5тбит ты не сможешь лить куда угодно и без ограничений, потому что такие ботнеты сразу же косятся трехбуквенными организациями. Ни один апстрим у кого 1тбит+ каналы держать не будет этот траффик и сам его порежет у себя (ему так выгоднее будет, чем лежало бы всё)
Ну, а вообще исходя из вышесказанного можно подтвердить только то что реально сложно сложить кастом, а не общедоступное решение которое байпасят все на каждом стрессере и падают от высокого rps )) Ну это ведь так...
ТС об этом и говорил методе, но блокается сам домен на уровне выше его HiddenService, то есть за рамками его досягаемости (тса).
Да ладно, поливают из этого шланга уже 2 месяца, ни какие организации ни кого не косят. 4.8 TBPS средний поток, 5.1 максимально доходило.
По сколько минут? Часами льют? Или так, пульнули 100 сек и отпустили
600 секунд потолок, поскольку в процессе до +-30% ботов отваливается (это нормально в таких ботнетах), во вторых достаточно и 2-3 минут что-бы занулить таргет.
Да льют куда угодно, я и сам поливал и .mil и .gov, и нихуя ничего не происходит, годами. Максимум домен сдохнет, это не проблема. Нейтрализацией таких ботнетов начинают заниматься только после резонанса, поэтому аккуратнее надо работать, по минимуму внимания привлекать к себе, не класть всякие амазоны, твиттеры и прочую популярную пиздоту которую юзают сотни тысяч и миллионы, сразу все СМИ выть начнут.
Последнее редактирование:
- Автор темы
- Добавить закладку
- #27
Нет, не ноль - он действительно блокирует дескрипторы и уменьшает нагрузку на бекенд.
Можно например иметь один бекенд и несколько фронтендов с включенным PoW. ДДОС на один фронтенд/зеркало не положит канал бекенду. Остальные адреса/фронтенды (у который другой закрытый ключ) продолжат работать.
В этом смысл PoW - но, к сожалению - его применение эффективно далеко не для всех задач.
gliderexpert, спасибо за исследования. слышали что-то про ipfs? идельная основа для фо, как мне кажется
- Автор темы
- Добавить закладку
- #29
Слышал. Не люблю экзотические решения.
То есть выходит, что в итоге весь трафик "сходится" на фронтенд на однопоточный процесс..
Бэкенды берут на себя часть работы, чтобы фронтенду было полегче, но узкое место всеравно на фронтенде: забиваем ему канал, и аля-улю, сервис недоступен.
Окей, включаем PoW, отваливаются бэкенды, но легчает фронтенду. Нагрузка перераспределяется по бэкендам, она растет на каждый из оставшихся и они отваливаются, сервис недоступен.
Блин, а что изменилось? Разрабы преподносили pow как решение проблемы ддоса.
Цель дудосера достигнута - сервис лежит, никаких доп затрат он не понес.
С pow только владельцу сервиса чуть легче, у него сервер без нагрузки. Но и без посещений.
А точно утечка? Бд (да и многий софт) часть данных в память переносит (при ее наличии). Чего памяти пустовать? Когда память заполняется - аппетиты уменьшаются, или garbage collector какой ходит чистит. "Неконтролируемое" по мне - это когда основную память заполняет и в своп начинает падать.
Код:
root@server:~# uptime
21:49:07 up 837 days, 3:20, 1 user, load average: 0.05, 0.10, 0.16
root@server:~# free -m
total used free shared buff/cache available
Mem: 32016 5742 525 21 25748 25787
Swap: 8191 9 8182
Последнее редактирование:
- Автор темы
- Добавить закладку
- #31
Нет, этот однопоточный фронтенд онионбаланса занимается только обновлением дескрипторов в DHT, нагрузку от ддоса он не принимает.
Нагрузка распределиться между нодами онионбаланса равномерно, но забит окажется канал lemp сервера на который эти ноды обращаются.
Поэтому обращаться они должны за каким-то очень легким js-челленджем или капчей. Что собственно и делает EndGame.
Изначальная идея всей этой темы по замыслу разрабов - размещать отдельные lemp-инстансы на каждой onionbalance ноде. Тогда нагрузка между ними перераспределиться абсолютно равномерно, но подходит это только для статического контента.
Это работает если есть зеркала onion адресов. Заддосили 1 зеркало - бекенд не лёг, и соседние зеркала продолжили работать.
Банится только тот онион адрес который ддосят. Остальные зеркала продолжают работать, в том числе клирнет адрес, если конечно он есть на бекенде.
Не знаю, пока не разбирался с этим моментом. В бд сейчас всего 140 строк, вряд ли она 3 гига памяти сожрет. Скорее всего это или nginx или php-fpm, на днях посмотрю и отпишу в чем была проблема.
Как успехи? Тема очень интересная.
- Автор темы
- Добавить закладку
- #33
Пока немного отвлёкся на запуск GITа, скоро продолжу эксперименты с анти-DDoS'ом.
Хорошие книги на файлообменнике. Отличная коллекция, часть себе скачал.
Есть успехи?
По теме DDos на Tor и защиты от него
Последнее редактирование: