Атака сайта путем отправки 100500 ЛС

nikonlay
На сайте с 11.12.2006
Offline
191
541

Доброго вечера всем!

Проблема такая:

захожу сегодня в почту и вижу письмо от хостера:

Дисковое пространство баз данных аккаунта rgts исчерпано, работа сервера БД ограничена.

Дисковое пространство, используемое для хранения баз данных аккаунта

rgts, составило 151.4 MB и превысило квоту 150.0

MB. Работа сервера баз данных ограничена.

Я иду в phpmyadmin, и смотрю, в таблице 'pers_mess' (там хранятся ЛС пользователей) больше 500.000 записей, хотя вчера было чуть больше 100! Все одинаковые "Вы получили новое личное сообщение от администрации".

Чтобы восстановить работу БД, я увеличил квоту для нее до 200 Мб, так сообщения продолжили отправляться и "успокоились" только после очередной блокировки сервера, и их стало уже больше миллиона.

Я подождал до вечера, сейчас атакующий тьфу-тьфу успокоился, и я удаляю сейчас эти сообщения из таблицы.

Вот, хотел узнать у знатоков - кто-нибудь сталкивался с таким видом атаки? И может знает, в какую сторону копать, чтобы защититься?

Мощные фонари и телескоп: https://market.yandex.ru/business/79203856
[umka]
На сайте с 25.05.2008
Offline
456
#1

Копать, понятное дело, в сторону поиска уязвимости и дальнейшего её устранения.

Лог в помощь!
pikasso
На сайте с 27.01.2008
Offline
150
#2
nikonlay:
Доброго вечера всем!
Проблема такая:

захожу сегодня в почту и вижу письмо от хостера:
Дисковое пространство баз данных аккаунта rgts исчерпано, работа сервера БД ограничена.
Дисковое пространство, используемое для хранения баз данных аккаунта
rgts, составило 151.4 MB и превысило квоту 150.0
MB. Работа сервера баз данных ограничена.

Я иду в phpmyadmin, и смотрю, в таблице 'pers_mess' (там хранятся ЛС пользователей) больше 500.000 записей, хотя вчера было чуть больше 100! Все одинаковые "Вы получили новое личное сообщение от администрации".
Чтобы восстановить работу БД, я увеличил квоту для нее до 200 Мб, так сообщения продолжили отправляться и "успокоились" только после очередной блокировки сервера, и их стало уже больше миллиона.
Я подождал до вечера, сейчас атакующий тьфу-тьфу успокоился, и я удаляю сейчас эти сообщения из таблицы.

Вот, хотел узнать у знатоков - кто-нибудь сталкивался с таким видом атаки? И может знает, в какую сторону копать, чтобы защититься?

Сам лично не сталкивался с подобным, но если рассуждать логически:

чтобы посылать ЛС нужно быть зарегистрированным пользователем -> при регистрации в большинстве CMS сохраняется IP пользователя -> жесткий бан по IP и спокойно жить дальше, пока этот кульхацкер не подключит прокси :o

[umka]
На сайте с 25.05.2008
Offline
456
#3
pikasso:
чтобы посылать ЛС нужно быть зарегистрированным пользователем -> при регистрации в большинстве CMS сохраняется IP пользователя

Зависит от движка.

Может там самописная форма без капчи и пр.

И в неё долбится кривой китайский бот.

pikasso:
-> жесткий бан по IP и спокойно жить дальше, пока этот кульхацкер не подключит прокси :o

Баны IP и очистка БД — лишь борьба с последствиями.

nikonlay
На сайте с 11.12.2006
Offline
191
#4

pikasso, [umka] - спасибо!

буду тогда копать, сейчас закачал на сервер AI-Bolit и запустил проверку, посмотрю, что он найдет

awmaster08
На сайте с 22.02.2008
Offline
155
#5

Посмотрите логи ошибок и доступа. Возможно, найдете в чем проблема.

SeVlad
На сайте с 03.11.2008
Offline
1609
#6
pikasso:
нужно быть зарегистрированным пользователем

Более того:

nikonlay:
Все одинаковые "Вы получили новое личное сообщение от администрации".

Видимо не простого юзера.

nikonlay:
квоту 150.0

Жесть.. Мегаобъёмы для сайта (форума?) с БД :)

Делаю хорошие сайты хорошим людям. Предпочтение коммерческим направлениям. Связь со мной через http://wp.me/P3YHjQ-3.
pikasso
На сайте с 27.01.2008
Offline
150
#7
SeVlad:
Видимо не простого юзера.

Вы правы, пропустил этот момент.

Значит искать дырки.

Staid
На сайте с 30.07.2014
Offline
59
#8

Ну как минимум, для начала ограничить кол-во отсылаемых личных сообщений у каждого пользователя до 20 в сутки например. Каптчу наконец поставить на это дело. :)

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий