evasive 模組保護您的網站免受應用程式層 DOS 攻擊

有多種可以導致網站下線的攻擊方法，比較複雜的方法要涉及資料庫和程式設計方面的技術知識。一個更簡單的方法稱為「拒絕服務Denial Of Service」（DOS）攻擊。這個攻擊方法的名字來自於它的意圖：使普通客戶或網站訪客的正常服務請求被拒絕。

#一般來說，有兩種形式的 DOS 攻擊：

1. OSI 模型的三、四層，即網路層攻擊
2. OSI 模型的七層，即應用層攻擊

第一種類型的 DOS 攻擊－網路層，發生於當大量的垃圾流量流向網頁伺服器時。當垃圾流量超過網路的處理能力時，網站就會宕機。

第二種類型的 DOS 攻擊是在應用程式層，是利用合法的服務請求，而不是垃圾流量。當頁面請求數量超過網頁伺服器所能承受的容量時，即使是合法訪客也將無法使用網站。

本文將著眼於緩解應用層攻擊，因為減輕網路層攻擊需要大量的可用頻寬和上游供應商的合作，這通常不是透過配置網路伺服器就可以做到的。

透過設定普通的網頁伺服器，可以保護網頁免受應用層攻擊，至少是適度的防護。防止這種形式的攻擊是非常重要的，因為Cloudflare[1] 最近報告指出[2] 網路層攻擊的數量正在減少，而應用層攻擊的數量則在增加。

本文將介紹如何使用 zdziarski[3] 開發的 Apache2 的模組 mod_evasive[4]。

另外，mod_evasive 會阻止攻擊者透過嘗試數百個使用者名稱和密碼的組合來進行猜測（即暴力攻擊）的企圖。

mod_evasive 會記錄來自每個 IP 位址的請求的數量。當這個數字超過對應 IP 位址的幾個閾值之一時，會出現一個錯誤頁面。錯誤頁面所需的資源要比一個能夠響應合法訪問的線上網站少得多。

在 Ubuntu 16.04 上安裝 mod_evasive

Ubuntu 16.04 預設的軟體庫中包含了 mod_evasive，名稱為 “libapache2-mod-evasive”。您可以使用 apt-get 來完成安裝：

apt-get update
apt-get upgrade
apt-get install libapache2-mod-evasive

現在我們需要設定 mod_evasive。

它的設定檔位於 /etc/apache2/mods-available/evasive.conf。預設情況下，所有模組的設定在安裝後都會被註解掉。因此，在修改設定檔之前，模組不會幹擾到網站流量。

<IfModule mod_evasive20.c>
   #DOSHashTableSize    3097
   #DOSPageCount        2
   #DOSSiteCount        50
   #DOSPageInterval     1
   #DOSSiteInterval     1
   #DOSBlockingPeriod   10

   #DOSEmailNotify      you@yourdomain.com
   #DOSSystemCommand    "su - someuser -c '/sbin/... %s ...'"
   #DOSLogDir           "/var/log/mod_evasive"
</IfModule>

第一部分的參數的意義如下：

• DOSHashTableSize - 正在存取網站的 IP 位址清單及其請求數的目前清單。
• DOSPageCount - 在一定的時間間隔內，每個頁面的請求次數。時間間隔由 DOSPageInterval 定義。
• DOSPageInterval - mod_evasive 統計頁面請求次數的時間間隔。
• DOSSiteCount - 與 DOSPageCount 相同，但統計的是來自相同 IP 位址對網站內任何頁面的請求數量。
• DOSSiteInterval - mod_evasive 統計網站請求次數的時間間隔。
• DOSBlockingPeriod - 某個 IP 位址被加入黑名單的時長（以秒為單位）。

如果使用上面顯示的預設配置，則在下列情況下，一個 IP 位址會被加入黑名單：

• 每秒請求同一頁面超過兩次。
• 每秒請求 50 個以上不同頁面。

如果某個 IP 位址超過了這些閾值，則被加入黑名單 10 秒鐘。

這看起來可能不算久，但是，mod_evasive 將一直監視頁面請求，包括在黑名單中的 IP 位址，並重置其加入黑名單的起始時間。只要一個 IP 位址一直嘗試使用 DOS 攻擊網站，它將始終在黑名單中。

其餘的參數是：

• DOSEmailNotify - 用於接收 DOS 攻擊訊息和 IP 位址黑名單的電子郵件位址。
• DOSSystemCommand - 偵測到 DOS 攻擊時執行的命令。
• DOSLogDir - 用於存放 mod_evasive 的暫存檔案的目錄。

配置 mod_evasive

默认的配置是一个很好的开始，因为它不会阻塞任何合法的用户。取消配置文件中的所有参数（DOSSystemCommand 除外）的注释，如下所示：

<IfModule mod_evasive20.c>
   DOSHashTableSize   3097
   DOSPageCount       2
   DOSSiteCount       50
   DOSPageInterval    1
   DOSSiteInterval    1
   DOSBlockingPeriod  10

   DOSEmailNotify       JohnW@example.com
   #DOSSystemCommand    "su - someuser -c '/sbin/... %s ...'"
   DOSLogDir            "/var/log/mod_evasive"
</IfModule>

必须要创建日志目录并且要赋予其与 apache 进程相同的所有者。这里创建的目录是 /var/log/mod_evasive ，并且在 Ubuntu 上将该目录的所有者和组设置为 www-data ，与 Apache 服务器相同：

mkdir /var/log/mod_evasive
chown www-data:www-data /var/log/mod_evasive

在编辑了 Apache 的配置之后，特别是在正在运行的网站上，在重新启动或重新加载之前，最好检查一下语法，因为语法错误将影响 Apache 的启动从而使网站宕机。

Apache 包含一个辅助命令，是一个配置语法检查器。只需运行以下命令来检查您的语法：

apachectl configtest

如果您的配置是正确的，会得到如下结果：

Syntax OK

但是，如果出现问题，您会被告知在哪部分发生了什么错误，例如：

AH00526: Syntax error on line 6 of /etc/apache2/mods-enabled/evasive.conf:
DOSSiteInterval takes one argument, Set site interval
Action 'configtest' failed.
The Apache error log may have more information.

如果您的配置通过了 configtest 的测试，那么这个模块可以安全地被启用并且 Apache 可以重新加载：

a2enmod evasive
systemctl reload apache2.service

mod_evasive 现在已配置好并正在运行了。

测试

为了测试 mod_evasive，我们只需要向服务器提出足够的网页访问请求，以使其超出阈值，并记录来自 Apache 的响应代码。

一个正常并成功的页面请求将收到如下响应：

HTTP/1.1 200 OK

但是，被 mod_evasive 拒绝的将返回以下内容：

HTTP/1.1 403 Forbidden

以下脚本会尽可能迅速地向本地主机（127.0.0.1，localhost）的 80 端口发送 HTTP 请求，并打印出每个请求的响应代码。

你所要做的就是把下面的 bash 脚本复制到一个文件中，例如 mod_evasive_test.sh：

#!/bin/bash
set -e

for i in {1..50}; do
        curl -s -I 127.0.0.1 | head -n 1
done

这个脚本的部分含义如下：

• curl - 这是一个发出网络请求的命令。
  • -s - 隐藏进度表。
  • -I - 仅显示响应头部信息。
• head - 打印文件的第一部分。
  • -n 1 - 只显示第一行。

然后赋予其执行权限：

chmod 755 mod_evasive_test.sh

在启用 mod_evasive 之前，脚本运行时，将会看到 50 行 “HTTP / 1.1 200 OK” 的返回值。

但是，启用 mod_evasive 后，您将看到以下内容：

HTTP/1.1 200 OK
HTTP/1.1 200 OK
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
HTTP/1.1 403 Forbidden
...

前两个请求被允许，但是在同一秒内第三个请求发出时，mod_evasive 拒绝了任何进一步的请求。您还将收到一封电子邮件（邮件地址在选项 DOSEmailNotify 中设置），通知您有 DOS 攻击被检测到。

mod_evasive 现在已经在保护您的网站啦！

---

以上是evasive 模組保護您的網站免受應用程式層 DOS 攻擊的詳細內容。更多資訊請關注PHP中文網其他相關文章！