【uma作戦】2ch特化型サーバ構築作戦 Part3

**root ★** · 03/11/05 16:36

2003年11月5日現在のuma作戦サーバ: 7台

oyster173: news6.2ch.net / mnewsplus
oyster174: life3.2ch.net / diet, fashion, female, kankon, live
oyster175: news5.2ch.net / newsplus
oyster176: bbq.2ch.net / BBQ/BBXシステム用
oyster132: qb3.2ch.net / operate, sec2ch, sec2chd
oyster133: gamble2.2ch.net / gamble, keiba, mj, pachi, slot
oyster134: tmp2.2ch.net / これから作業

前スレ: http://qb3.2ch.net/test/read.cgi/operate/1062137886/

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 02:50

>>829
本当にそうみたいですね
しかし、あっちの人たちは回線が混んでいるだけで
落ちた落ちたと喜んでいるみたいです。DoS攻撃するならネットワークの知識は身に付けろよ…
まぁ2ちゃんねるの全サーバーに目標を広げるだけの戦力はありませんので
もう少し様子見ですね

**ひろゆき＠どうやら管理人 ★** · 04/01/10 11:14

rootさんがつくった.krを蹴るやつをもういっかい入れてみました。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 11:18

>>831
お疲れさまです・・・

**root ★** · 04/01/10 14:21

昨日寝る前に作って、ためしにexに一時的に入れて少しだけ動作確認した
(確かに入れたらLAが下がった)フィルタが、まさか役に立ってしまうとは。

２ちゃんねるに来るようになって3年目、今まで何度も何度も
「某所からの攻撃だ」という都市伝説を見てきたけど、、、なんだかなぁ。

もしumaサーバがやられれば、そのときはより綿密なログがとれるでしょう。

**root ★** · 04/01/10 14:31

今日20:00でしたっけ。www.2ch.net がちょっと心配だなぁ。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 14:33

>>834
そうです・・・

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 14:38

>>834
wwwが標的にされる可能性はほぼ100%でしょう
せっかく試験で絶大な効果を発揮したのに、入れないのはもったいない
せめて、7時～exサーバーへの攻撃が止まるまでは規制入れておいたほうが良いかと

**root ★** · 04/01/10 15:10

いつでも入れられるようにはしてあります。機を見て入れましょ。

それより「やり返せ」みたいなことにならないか、そっちのほうがよほど心配。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 15:11

>>837
一部の過激派だけのようです
ちゃんと、黙って見ていようという流れが出来ていますので
しかし、粘着質な人たちのいるサーバーがやられたらこの限りではありません…

**root ★** · 04/01/10 15:20

これからしばらく外出なので、www.2ch.net にも一時的に入れてみた。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 15:57

20時にﾁｮﾝがF5攻撃してくるから撃退しよう祭り開催
http://tmp2.2ch.net/test/read.cgi/download/1073716722/

韓国人ハッカー　2chハッキング宣言？
http://news4.2ch.net/test/read.cgi/news/1073465681/

ニュー速の方はかなり攻撃的になりつつありやす。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 16:44

なんか、韓国人以外の便乗荒らしさんも暗躍
しそうだなぁ。つーか、煽られまくってるし。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 17:06

緊急そうな事
2ちゃんねるのサーバーにSYNFloodとかIPSpoodingとかに対抗できる対策はありますか?>root★氏

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 17:11

643　名前：動け動けウゴウゴ２ちゃんねる　投稿日：04/01/10 17:00 ID:aZP3GcEW
http://www.packetstormsecurity.org/DoS/suf_v1.0.zip

上のツールをダウンして圧縮を解いた後,

ドスチァングで圧縮を解いたディレクトリを捜して入って行ってください.

そして

C:\suf_v1.0>suf (サーバー与えなさい)

参照で www2.2ch.netの住所は 216.218.133.82 です.

例:)
suf 216.218.133.82 [エンター]

他の所にもまき散らしてください.

**root ★** · 04/01/10 18:11

戻りました。

ひょっとしてwww2にも、いろいろ試みてる人がいる?

◆LBZUBURIYM · 04/01/10 18:13

>>844
しむらうしろー

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:13

>>844

http://mumumu.mu/mrtg/mrtg-rrd.cgi/traffic/www2traf.html
http://mumumu.mu/mrtg/mrtg-rrd.cgi/access/www2access.html

**root ★** · 04/01/10 18:14

>>842
とりあえず、すべてのumaサーバには当初から↓入れてあります。
あと、何ができるかしら。

options TCP_DROP_SYNFIN #drop TCP packets with SYN+FIN
options ICMP_BANDLIM

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:14

>>844
というかwww2がターゲットになってます。
早急に対策を

**root ★** · 04/01/10 18:14

>>845-846
ふむふむ。

で、実害何か出ましたか?

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:16

>>849
いや、全然です
涼しい顔して鯖は動いております
さすがuma系は違いますね

● ◆Kvwt/4FxR2 · 04/01/10 18:16

>>846
凄いな。。。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:17

トップはちょっと重いかな、という気はしますが

◆LBZUBURIYM · 04/01/10 18:17

>>849
>>850に同じく。ただ,
鯖自体は落とさないようにしてわざと反撃させると言う
説もあるのでなんとも。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:18

>>849
一時的にLAが500を超えていました。
でも、体感的にはちょっと重いかなという程度。(笑)

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:21

重い重い重い重い重い重い重い×7＠運用情報
http://qb3.2ch.net/test/read.cgi/operate/1072877764/528
http://qb3.2ch.net/test/read.cgi/operate/1072877764/682

実際のところどうなのかわかりませんが。

**root ★** · 04/01/10 18:22

これですか。>>854

2004/01/10 17:30:00 LA= 5:30PM up 29 days, 13:40, 0 users, load averages: 554.70, 223.87, 96.00
2004/01/10 17:40:00 LA= 5:40PM up 29 days, 13:50, 0 users, load averages: 296.48, 215.38, 135.11
2004/01/10 17:50:00 LA= 5:50PM up 29 days, 14 hrs, 0 users, load averages: 496.04, 493.80, 342.48
2004/01/10 18:00:00 LA= 6:00PM up 29 days, 14:10, 0 users, load averages: 12.84, 128.58, 224.43
2004/01/10 18:10:00 LA= 6:10PM up 29 days, 14:20, 1 user, load averages: 9.54, 25.46, 116.94

www2にはいつでもwwwと同じフィルタを入れられるようにしてありますが、
しばらくはこのままでいってみようかなと。

もう少し中身をチェックしてみましょ。
ほんとはもう1台マシンを用意してネットワーク的にタップして、
tcpdumpでも流しておくのが一番いいんだけど。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:25

>>856
おお、性能試験ですかｗ
見物ですな。静的コンテンツ用のベストチューニングが見つかるかもしれませんｗ

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:27

>>856
それです。
LA500でも何事も無く動き続けるって、やっぱりすごいですねー。
私はuma鯖のようなハイスペックな鯖を触ったことが無いので‥‥。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 18:32

>>842　遅レス。
uma以外の古いサーバもrc.localあたりをｺﾞﾆｮｺﾞﾆｮして、
SYN Floodアタック対策はとってあるはずです。

**root ★** · 04/01/10 19:15

いろんなことを、なさってるようで。
とりあえずsshで入ろうとしても、ログが残るだけで意味ないと思うんだけど。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 19:17

>>856
攻撃を逆に性能試験に利用するんですか。。。。

**root ★** · 04/01/10 19:30

さて、いやんなメッセージが出たので、ちょっくら設定変えてrebootすっかな。< www2
pmap_collect: collecting pv entries -- suggest increasing PMAP_SHPGPERPROC

**root ★** · 04/01/10 19:35

news8と同じ設定を入れた。

/boot/loader.conf:
vm.pmap.shpgperproc=1024

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 19:38

スワップしますたか

**root ★** · 04/01/10 19:41

swapは、相変わらず使ってないすよ。
Mem: 849M Active, 494M Inact, 386M Wired, 20K Cache, 199M Buf, 282M Free

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 19:41

>>865　しかしすごいです

http://mumumu.mu/mrtg/mrtg-rrd.cgi/traffic/www2traf.html

グラフ見えなくなりそうです

**root ★** · 04/01/10 19:43

>>866
こりゃ、さっきの設定変更のrebootの影響かもね。
しばらくするとほんとかどうかわかるかな。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 19:43

>>867　なる。レスどうもです。

**root ★** · 04/01/10 19:46

まあ、グラフに入った変な数字は、後で手直しできるし。
しばらくこれで、様子見かな。

やばくなったら、www/exと同じアクセスコントロールを入れてみましょ。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 19:49

ﾜｸﾜｸ

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:00

韓国人ハッカー 2chをハッキング？　★６
http://news4.2ch.net/test/read.cgi/news/1073732125/63
---
廃人たちの活動が一番多い 11時で時間が変更になりました.
---

まあどこまでほんとかわからんですが念のため

**root ★** · 04/01/10 20:13

20:00から、いろいろきはじめたですね。
www2のアクセス数は普段の50倍ぐらいかしら。

**root ★** · 04/01/10 20:15

50倍じゃなくて、20倍か。スマソ。
25000access/5min のところに、450000/5min ぐらい。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:20

なんかﾌﾂｰなんでつまんないんですけど
サンプルになった？　>>873

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:30

この機会に全サーバ kr 規制をしてくれ。それも永久に。

**root ★** · 04/01/10 20:30

さて、膠着状態だなぁ。< www2
フィルタをオンにして、実験してみるかな。

**root ★** · 04/01/10 20:33

フィルタ入れると重くなるなぁ。
www2の場合、そのまま、流れのままにしとくほうがよさそうだ。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:34

>>876
いやぁ、実験は順調に進んでるみたいですねｗ
しかし、www鯖は古いのでこの攻撃は酷です

**root ★** · 04/01/10 20:34

フィルタ入れたら、一瞬こんなになっちゃった。< www2

oyster137% uptime
3:32AM up 59 mins, 1 user, load averages: 748.37, 227.10, 94.63

**root ★** · 04/01/10 20:35

やっぱ、はやいとこトップページとiモード入り口は切り替えたほうがいいすね、
と、仕事人さんにゆっておこう。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:35

love 15.85 20:30
hobby 8.79 20:30

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:38

>>881　グラフを見てみよう

http://ch2.ath.cx/load/
http://ch2.ath.cx/load/love.html
http://ch2.ath.cx/load/hobby.html

いつものことです

**root ★** · 04/01/10 20:41

なんだか絵の出が悪いようなので、www2のバックの壷の絵を、
メモリディスク上に一時的に置いてみた。

こんなこともあるかなと思って、各umaサーバにはメモリディスクをちょっぴり準備しておいたりして。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:47

それなりの実験は出来てるようだね

**root ★** · 04/01/10 20:50

バックの壷はもともとiij4uにあったので、
いざとなれば、iij4uに戻せばいいし。
でも怒られるかな。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:50

httpdのレスポンスが、かなり悪くなっているような気がします。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 20:56

不正アクセス
http://www.keishicho.metro.tokyo.jp/haiteku/haiteku/haiteku34.htm

**root ★** · 04/01/10 20:57

めいっぱいみたいなので、様子を見ながらサーバ数を増やしてみようかな。

**root ★** · 04/01/10 20:58

とりあえず 2048 => 2304

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:00

keepaliveの設定を触ってみては？

**root ★** · 04/01/10 21:03

さらに 2304 => 2560

**root ★** · 04/01/10 21:03

少なくすればいいのかな? >>890

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:07

とりあえずtimeoutを１秒とかに。
一般ブラウザは連続でアクセスするからmaxrequestは10位？
UAかIPで判定可能なら
攻撃目的のものはkeepalive自体をoffに(出来るなら)

**root ★** · 04/01/10 21:08

2560は苦しそうなので、2304 に戻した。

>>893
どうも。やってみるです。

**root ★** · 04/01/10 21:15

MaxKeepAliveRequests 10 (旧: 100)
KeepAliveTimeout 1(旧: 15)

にしてみた。>>893

**root ★** · 04/01/10 21:21

>>895 をいじったので、サーバ数を 2048 に戻した。
なんだか、攻撃が強くなってきた気もするけど、他のサーバはどうなんでしょ。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:23

>>896
exに相変わらず来ているようです
http://ch2.ath.cx/load/ex.html

あとは通常通り

**root ★** · 04/01/10 21:30

きつくなってきたなぁ。
4:29AM up 24 mins, 2 users, load averages: 825.39, 603.25, 369.40

壷の絵を分散してみるか。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:32

>>898
ん？私が素人なのかもしれませんが
1userから2usersに増えてません?

**サザン ★** · 04/01/10 21:34

ひろさんと予想してみる

**root ★** · 04/01/10 21:36

1000いったか、、、。
4:35AM up 30 mins, 2 users, load averages: 1011.14, 850.57, 567.18

>>899-900
よくみてるなぁ。単純に緊急用にもうひとつ窓開けただけすよ。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:36

薬師丸ひろこか！( ﾟдﾟ)

**サザン ★** · 04/01/10 21:37

>>901
うわ、すっげーすっげー、

**root ★** · 04/01/10 21:38

壷の絵と背景をwww2から退避、、、。
2ch.htmlも退避するかな。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:38

ipfwによる処置は?

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:39

>>901
もしかしたら、侵入者じゃないかと思いまして
まぁ良かった
あっちの方々、今度はUDPFloodを出してきたようです
気をつけてくださいな

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:40

壷画像をキムチの壷に変える案は採用されなかったのか
あれ受けたのに

**root ★** · 04/01/10 21:43

2ch.html と new2ch.gif も退避した。
これで、http://www.2ch.net/ から入るほうは、とりあえず問題ないかと。

**仕事人 ★** · 04/01/10 21:45

なんかみんな楽しげだったり、

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:45

>>908　とっても快適です

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:46

>>908
一瞬にして軽くなりました
しかし、あの(ryに移しましたか…

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 21:47

うわぁ。
４桁のLAって、初めて見ました。(^_^;

**root ★** · 04/01/10 21:49

www2のも同じように退避した。

**root ★** · 04/01/10 21:50

>>909
起こってしまった以上、楽しまなきゃ、
って教えてくれたのは、仕事人さん。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 22:00

www2の入り口に張ってある広告バナーのサイト、
大変なことになってるでしょうね。(^_^;

**root ★** · 04/01/10 22:04

ネットワーク的につぶされてて(UDPをぼこすか送ってきてるのかな)、統計情報がとれてないけど、
壷の絵と背景と2ch.htmlをnews8に動かしてからは、
www.2ch.net/www2.2ch.netとも、サービスには大きな影響なくなったかな。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 22:04

役得役得ｗ

**root ★** · 04/01/10 22:11

www.2ch.net や www2.2ch.net に正常にアクセスできなくなったら、報告してちょ。
ただ、観測するのも負荷のうちということをおわすれなくです。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 22:14

ここで報告してもあまり意味がないかと思いますが

電波２ちゃんねる書初め大会
http://paint.gazo-box.com/2004/pallet_town.html

ここにも来ているようです

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 22:18

>>919
電波2ちゃんねるの方に知らせると
喜んでくれるかもしれません

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 22:23

http://news8.2ch.net/2ch.htmlに変わったみたいだけど、
これは鯖移動でつか

**root ★** · 04/01/10 22:23

一時的に退避。>>921

**root ★** · 04/01/10 22:24

.htaccess じゃなくて、httpd.confに直書きしてみた。< www2のアクセス制限

**root ★** · 04/01/10 22:29

>>923 の後、かなり軽くなったすね。LAが2桁になったし。

**root ★** · 04/01/10 22:29

これで、23:00まで様子見?

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 22:32

>>925　今のところそんな感じかと。

>>920

画箱削除依頼
http://jbbs.shitaraba.com/computer/bbs/read.cgi?BBS=2999&KEY=1068189507
ホスト規制で書けませんでした･･･もしよかったら誰かお願いします。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 23:04

>>926
依頼してみました。

**動け動けウゴウゴ２ちゃんねる** · 04/01/10 23:10

>>927　どうもです。

**root ★** · 04/01/10 23:11

www2はあいかわらずきてるけど、まぁ、こんなもんなら平気かな。
6:08AM up 49 mins, 1 user, load averages: 175.85, 98.44, 54.52