Обсуждение:Сервер linuxoid.in

Переписка с саппортом hvosting.ua 24.01.2011:

Заметил, что отвалился stats.linuxoid.in, который часто рефрешу в течение дня. Домен не резолвился. Написал на support at hvosting.ua: Шаблон:NSFW-off

Subject: Re: DNS

Date: Mon, 24 Jan 2011 20:50:57 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

Здравствуйте!

будет, как ДДосить его перестанут...

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:08:14 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

кстати, ДДосят linuxoid.in

К этому времени начали отваливаться остальные домены, в том числе jabber

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:20:26 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Внезапно... Что интересно, на сервисах это никак не сказалось.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:24:23 +0200

User-Agent: Thunderbird 2.0.0.24 (X11/20101027)

Я вас запевняю, ще й як сказалося!

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:30:54 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Я немного о другом - если бы кто-то хотел атаковать те полтора сервиса, что у меня крутятся на этом домене (да и зачем?) - то прежде всего атаковал бы сами сервисы (веб-сайт, например, или jabber-сервер), а не какой-то сторонний ДНС, верно?

/me как бы намекает, что на сам сервер нагрузки никакой.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:36:52 +0200

User-Agent: Thunderbird 2.0.0.24 (X11/20101027)

Атака була не на ваш ДНС, а на всі наші сервери.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:41:22 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Mon, 24 Jan 2011 21:36:52 +0200 Дмитро Пятківський <support at hvosting.ua> написал:

> Атака була не на ваш ДНС

...которого у меня отродясь не было (не считая кэширующих)

> а на всі наші сервери.

Имелось в виду NS'ы? Или в том числе прочие хостинговые? В любом случае не пойму связи с собой...

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:47:47 +0200

User-Agent: Thunderbird 2.0.0.24 (X11/20101027)

Хостингові і є НС-сервера.

Заметил, что в whois'e linuxoid.in'a сменился контактный номер телефона и NS'ы; в панели они остались старые.

Тут в сети появилась irc, начал общаться параллельно с ней, а она - с сотрудниками.

From: Константин Кравченко

Subject: Re: DNS

Date: Mon, 24 Jan 2011 22:26:54 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

Здравствуйте.

Излагаю расклад событий со своей точки зрения:

1. прилетает DDoS 1-байтовым udp пакетом в ip 91.200.40.2

порядка 125 kpps и 80 мегабит.

2. на этот же айпишник делается делается tcpdump -n port 53 и видится

что на один

запрос любой другой зоны приходится сотня (визуально, может и больше)

запросов по домену linuxoid.in, на котором вы как говорите держите

полтора сервиса и

вероятно он не настолько популярен, чтобы на него одновременно ломились

десятки

тысяч человек.

Из чего сделан вывод что боты валят сервер флудом с привязкой именно к

NS-ам, обслуживающим

домен linuxoid.in

Может быть вывод и не правильный, но очень напрашивающийся.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 22:44:01 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Если быть точным - на домене висят: моя вики-записная книжка для меня и участников конференции, файлопомойка, куда я фотографии/скриншоты/чатлоги/статистику/etc выкладываю, jabber-сервер с населением в 2 десятка человек. Когда-то давно был еще трекер. С чего бы кому-то делать атаку на linuxoid.in?

Кстати, почему без моего ведома сменили ДНСы на clientbiz.net?

Subject: Re: DNS

Date: Mon, 24 Jan 2011 23:05:11 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

Я не знаю кому и зачем нужно делать атаку на ваш домен.

Я дал команду "сменить НС-Ы куда нибудь". Подразумевал указать

несуществующий домен.

На какие НС-ы вы сейчас хотите сменить?

Subject: Re: DNS

Date: Mon, 24 Jan 2011 23:14:05 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Очевидно, на те, которые были (и остаются) прописаны в панели управления доменом и которые, помимо, собственно, linuxoid.in, отвечают за кучку его поддоменов - т.е., на ns[1-2].bee.hvosting.ua.