شك فى حدوث هجوم على منتدى

هل من مجيب بارك الله فيكم

أفهم أن السيرفر dedicated أو مستضاف ك VPS يعني لديه تحكم ووصول shell , بالتالي أول أداة وأهم أداء لل admin هي الأداة top , بكتابة top في shell تحصل على قراءة سريعة تعرف منها مجريات الأمور بشكل سريع جدا وتعرف كل شيء في السيرفر من نظرة واحدة تقريبا .

لاحظ لعدد معالجات ال httpd في top , ولاحظ لإستهلاك الذاكرة , ومستوى اللود في الأعلى , يمكن أن تحدد إن كانت المشكلة تحدث في هذه اللحظة أم لا . وستعرف نوع المشكلة بالمزيد من المراقبة .

إن كان هجوم DDos , فللتأكد لينفذ الأمر التالي :

cat /proc/net/ip_conntrack | awk '{print $5}' | sort | uniq -c | sort -nr | head -n 20

وأيضا :

cat /proc/net/ip_conntrack | wc -l

الأول سيعرض لك كل الإتصالات الجارية مع السيرفر حاليا بترتيب تنازلي مع عدد الإتصالات من كل آيبي .

الثاني , سيعرض لك عدد الإتصالات الكلية الحالية .

يمكن إستخدام ال packet sniffer الموجود في لنكس tcpdump بحل كالذي في الأسفل للتحديد أيضا :

tcpdump -w tcpd 'tcp[13] & 2 == 2'
tcpdump -r tcpd > tcpdump_syn_ack
test2 is the tcpdump file ....
cat tcpdump_syn_ack | awk '{print $3}' | awk -F. '{for(i=1;i<NF;i++) if (i!=NF-1) print $i"."; else print $i" "}' | tee test1
awk 'END{print RS}$i ' ORS= test1 | cut -d" " -f-100 | tee test2
awk '{ for (i=1;i<=NF;i++) print $i }' test2 > outfile
outfile contains now each address in each line 
cat outfile | sort | uniq -c | sort -nr | awk '{print $1}

عموما لو كانت عدد ال httpd في top كثيرة جدا يعني أن هناك تصفح ثقيل جدا , لو كانت هناك process في الأعلى ستظهر نسبة ال cpu فيها أيضا , وتستطيع أن تعرف كل شيء كما قلت من نظرة واحدة .

تابع معنا لنتابع معك , وإلا لو تم حل الموضوع ياريت توضح مانوع المشكلة التي كانت :)

اقتباس

ثالثا وجد شىء من متابعة المتصفحين للمنتدى وهى وجود جهاز بعدة IP وقد تم ارفاق الصورة التى تبين هذه المسألة

ما هو بالأصفر يدل انه نفس الحاسوب رغم أن الآي بي مختلف.. والعناوين التي يتصفحها كلها من نوعية:

/vb/showthread.php?t=http://schoolpapers.hostinginfive.com/bike.htm?

السؤال هو كيف يمكن لهذا الرابط أن يؤثر فى السيرفر ؟ فهل هذا من فعل مخرب ؟

قد يكون من شبكة محلية لجامعة أو شيء من هذا القبيل وعدد من رواد الجامعة يرتادون المنتدى في نفس اللحظة, أيضا سوريا تستخدم بروكسيات لو أغلقتها من ال firewall قد تغلق جزء كبير من البلد مثلا ! تفسير أكثر من ip قد يكون هناك load balancer لإثنين أو أكثر من خطوط إتصال عريضة النطاق للشبكة التي جاء منها التصفح "أو الهجوم".

أو قد تكون شبكة جامعة ولديها عرض حزمة كبيرة وأحد الساخطين يهاجم المنتدى بهجوم DDos وال Load balancer يوزع الحمل على كل خط من خطوط الإتصال , والله أعلم .

جزاك الله خيرا أخى الفاضل سأعرض ردك على الأخ واتيك بالمستجدات .