Come posso bloccare i tentativi di hacking destinati a phpMyAdmin?

Il mio sito web riceve migliaia di hit ogni giorno da IP diversi che tentano di accedere a:

/php-myadmin/
/myadmin/
/mysql/

... e migliaia di altre varianti. Nessuna di queste directory esiste, non ho nemmeno phpmyadmin sul mio server.

Non credo che nessuno di questi tentativi abbia avuto successo, tuttavia devono prendere il loro pedaggio sulle risorse del server e sprecare larghezza di banda, quindi vorrei fermarli, se possibile. Ho bloccato una manciata di questi IP ma continuano a tornare con nuovi IP, c'è un modo per impedirlo in modo permanente?

Non ti preoccupare. Servire un 404 è una piccola, minuscola, minuscola quantità di lavoro che un web server può fare. Probabilmente potresti servire dieci 404 al secondo usando un 486. La larghezza di banda per 404 è trascurabile; una piccola richiesta GET e una piccola risposta 404.

Sul serio; non ti preoccupare. Questa è solo una parte del funzionamento di un server su Internet.

Purtroppo per te è così che funziona Internet. Ignoralo. Migliaia di robot / trojan scansionano Internet. L'IP di origine sarà sempre casuale. Non esiste una cura.

L'unica soluzione al 100% per eliminare quel traffico è illustrata di seguito:

Un'alternativa è:
- spostarsi con https / http dalla porta 80/443 a qualcos'altro. I robot di solito non cercano il server http su tutte le altre porte 65k.
- utilizzare la VPN per connettersi al server (immagino che ciò non sia possibile se si ospita un sito Web pubblico).

Quello che vuoi è Fail2ban (supponendo che si tratti di una macchina Linux, non hai detto ...)

Che cos'è Fail2ban?

Fail2ban analizzerà i registri di sistema, cercando particolari espressioni regolari da bloccare. Quando trova una corrispondenza (o più corrispondenze dallo stesso IP, a seconda della modalità di configurazione), si bloccherà, in genere tramite le tabelle IP. In genere viene utilizzato per bloccare tentativi di autenticazione non riusciti su SSH o server Web.

Lo configuri per vietarli per un determinato periodo di tempo (potrebbero essere minuti, potrebbero essere giorni ... dipende da quanto sono persistenti), dopo di che il divieto scadrà, a meno che non riprovino.

In che modo questo aiuta a bloccare i bot di scansione di phpmyadmin?

Può essere usato altrettanto facilmente per abbinare i segni comuni di un attacco, come tentare di accedere a cartelle phpmyadmin inesistenti. Dovrai capire l'espressione regolare corretta per abbinare tali tentativi e assicurarti di non bloccare utenti legittimi.

La configurazione fornita in questo post di blog potrebbe funzionare verbalmente o richiedere alcune modifiche per la configurazione.

Perché dovrei bloccarli? Gli errori 404 non costano molto

Il loro blocco in iptables ha qualche utilità: le probabilità sono se stanno verificando le vulnerabilità di phpmyadmin, possono provare anche altri servizi per le vulnerabilità, fino a quando non colpiscono qualcosa che funziona. Il loro divieto farà in modo che la maggior parte dei bot / script si arrenda dopo un po 'e passeranno a obiettivi migliori.

Anche attraverso le scansioni non costano molto (a meno che non trovino effettivamente una vulnerabilità), inondano i tuoi registri rendendo più difficile vedere attacchi e problemi riusciti con il tuo server web.

Come dice il commento qui sotto, Fail2ban richiede alcune risorse di sistema. Ma non molto. Per lo meno posso dire che non ho mai avuto problemi di prestazioni che potrei attribuire a Fail2ban. Ho comunque avuto problemi di prestazioni da script molto aggressivi che cercavano di forzare le password o lanciare migliaia di tentativi di iniezione SQL e altri exploit al secondo sul mio server. Il blocco a livello di firewall richiede FAR di meno risorse rispetto al blocco a livello di server / applicazione. Può anche essere esteso per eseguire script personalizzati per vietare gli indirizzi IP, quindi invece di vietarli in IPtables, potresti averli vietati in un firewall hardware o inviare un'email a qualcuno se la stessa persona continua a provare ad attaccarti in modo da poterti lamentare al proprio ISP o fare in modo che il proprio datacenter li blocchi sui propri firewall.

Qualche altro consiglio?

È ALTAMENTE RACCOMANDATO di autorizzare alcuni indirizzi IP che controlli in modo da non bloccarti accidentalmente.

Quello che faccio è inserire un piccolo script nella directory appropriata, quindi viene eseguito se qualcuno accede a / phpmyadmin /. Quello script non fa altro che invocare iptables (sotto Linux), che blocca l'indirizzo IP accedendo allo script per 30 minuti (dopodiché un cron-job scarica la catena iptables a cui viene aggiunto l'indirizzo IP).

Il vantaggio rispetto a fail2ban è che non si utilizzano risorse per l'analisi di syslog / access-log. Lo svantaggio, ovviamente, è che non si controlla nient'altro, tranne l'accesso a questo indirizzo molto specifico.

Perché lo faccio? Certo, servire un 404 sarebbe facile per il server, ma non li voglio frugare in giro, così semplice. Voglio perdere tempo nel loro strumento, aspettando che il server risponda, riprovando fino a quando non si arrende. Inoltre, se non li blocchi, proveranno molti URL diversi prima di procedere, a volte oltre un migliaio. A seconda dello strumento, potrebbe essere "bello" e spaziare quelli nel giro di poche ore, oppure potrebbe non interessarti e battere il tuo server con tutti in pochi minuti.

Perché non offro una pagina valida? Il loro strumento potrebbe interrompere la scansione e avvisare lo skiddie che lo sta eseguendo, che deve quindi controllare manualmente. Il rovescio della medaglia di questo è che daranno al tuo server un aspetto molto più vicino di quello che avrebbero, se la loro scansione non ti facesse apparire nei loro risultati. Forse frugheranno un po 'di più, forse alcune scansioni delle porte, forse li farai impazzire e lanceranno un DoS per vedere se possono fare qualcosa. Il semplice blocco di questi - che dal loro punto di vista fa scadere il tempo del server nel momento in cui accedono allo script phpmyadmin - è efficace sprecare il tempo del loro strumento, evitando al contempo attenzioni indesiderate.

Se hai phpMyAdmin sul server, una soluzione efficace potrebbe essere metterlo in una directory separata e utilizzare il controllo password del tuo server web (.htpasswd per Apache) per bloccare l'accesso prima che qualcosa lo raggiunga.

FWIW limitiamo l'accesso a / phpmyadmin / solo agli indirizzi IP autorizzati.

Usiamo anche mod_evasive (su apache2) per scoraggiare attacchi con script DOS / mal comportati.

associare lo strumento di amministrazione mysql all'indirizzo di loopback della macchina 127.0.0.1

quindi utilizzare ssh con il port forwarding per accedere al back-end dell'amministratore.

aggiungere un ulteriore livello di sicurezza che può essere abbastanza trasparente.

Il modo migliore che abbiamo trovato è proteggere con password la cartella in cui si trova phpmyadmin. Inoltre, non usare nulla che si riferisca a phpmyadmin come nome di una cartella: pma, phpmy, ecc ...