🥇潜在的な「邪悪な」ボットを特定し、IP によってブロックします

良い一日！この記事では、通常のホスティングのユーザーがサイトで過剰な負荷を生成する IP アドレスを捕捉し、ホスティングツールを使用してブロックする方法について説明します。「少しの」php コードといくつかのスクリーンショットが含まれます。

入力データ:

CMSWordPressで作成したWebサイト
Hosting Beget (これは広告ではありませんが、管理パネルのスクリーンショットはこの特定のホスティングプロバイダーのものになります)
WordPress サイトは 2000 年初頭に開設され、多数の記事や資料が掲載されています。
PHPバージョン7.2
WPは最新バージョンです
ホスティングデータによると、しばらく前から、このサイトは MySQL に高負荷を生成し始めました。毎日、この値はアカウントごとの標準の 120% を超えました
ヤンデックスによると。 Metrica サイトには 100 日あたり 200 ～ XNUMX 人がアクセスします

まず第一に、これが行われました：

データベーステーブルから蓄積されたガベージが削除されました
不要なプラグインが無効になり、古いコードのセクションが削除されました

同時に、キャッシュオプション (キャッシュプラグイン) が試行され、観察が行われたという事実にも注意していただきたいと思いますが、120 つのサイトからの XNUMX% の負荷は変化せず、増加する可能性があります。

ホスティングデータベースのおおよその負荷はどのようになるか

一番上に問題のサイトがあり、そのすぐ下には、同じ cms とほぼ同じトラフィックを持ち、負荷が少ない他のサイトがあります。

の分析

データキャッシュオプションを使用して多くの試みが行われ、観察は数週間にわたって行われました (幸いなことに、この期間中、ホスティング会社から、私が非常に調子が悪いので接続を解除するという連絡は一度もありませんでした)。
遅いクエリの分析と検索が行われ、データベース構造とテーブルタイプがわずかに変更されました。
分析には、主に組み込みの AWStats を使用しました (ちなみに、トラフィック量に基づいて最悪の IP アドレスを計算するのに役立ちました)
メトリクス - メトリクスは人に関する情報のみを提供し、ボットについては提供しません。
所在地の国やさまざまな組み合わせによっても訪問者をフィルタリングしてブロックできる WP 用のプラグインを使用する試みがありました。
完全に根本的な方法は、「メンテナンス中です」という注記を付けてサイトを 0 日閉じることでした。これも有名なプラグインを使用して行われました。この場合、負荷は低下すると予想されますが、値がゼロになることはありません。これは、WP のイデオロギーがフックに基づいており、「フック」が発生するとプラグインがアクティビティを開始し、「フック」が発生する前にデータベースへのリクエストが実行されるためです。すでに作られている

アイデア

短期間に大量のリクエストを行う IP アドレスを計算します。
サイトへのアクセス数を記録する
ヒット数に基づいてサイトへのアクセスをブロックする
.htaccess ファイルの「拒否元」エントリを使用してブロックする
私はホスティングについて書いているので、iptables や Nginx のルールなどの他のオプションは考慮しませんでした。

アイデアが出てきたので、これがなければ実装する必要があります...

データを蓄積するためのテーブルの作成

CREATE TABLE `wp_visiters_bot` (
	`id` INT(11) NOT NULL AUTO_INCREMENT,
	`ip` VARCHAR(300) NULL DEFAULT NULL,
	`browser` VARCHAR(500) NULL DEFAULT NULL,
	`cnt` INT(11) NULL DEFAULT NULL,
	`request` TEXT NULL,
	`input` TEXT NULL,
	`data_update` DATETIME NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
	PRIMARY KEY (`id`),
	UNIQUE INDEX `ip` (`ip`)
)
COMMENT='Кандидаты для блокировки'
COLLATE='utf8_general_ci'
ENGINE=InnoDB
AUTO_INCREMENT=1;

CREATE TABLE `wp_visiters_bot_blocked` (
	`id` INT(11) NOT NULL AUTO_INCREMENT,
	`ip` VARCHAR(300) NOT NULL,
	`data_update` DATETIME NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
	PRIMARY KEY (`id`),
	UNIQUE INDEX `ip` (`ip`)
)
COMMENT='Список уже заблокированных'
COLLATE='utf8_general_ci'
ENGINE=InnoDB
AUTO_INCREMENT=59;

CREATE TABLE `wp_visiters_bot_history` (
	`id` INT(11) NOT NULL AUTO_INCREMENT,
	`ip` VARCHAR(300) NULL DEFAULT NULL,
	`browser` VARCHAR(500) NULL DEFAULT NULL,
	`cnt` INT(11) NULL DEFAULT NULL,
	`data_update` DATETIME NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
	`data_add` DATETIME NULL DEFAULT CURRENT_TIMESTAMP,
	PRIMARY KEY (`id`),
	UNIQUE INDEX `ip` (`ip`)
)
COMMENT='История всех запросов для дебага'
COLLATE='utf8_general_ci'
ENGINE=InnoDB
AUTO_INCREMENT=1;

コードを配置するファイルを作成しましょう。コードはブロック候補テーブルに記録され、デバッグ用の履歴が保存されます。

IPアドレスを記録するファイルコード

<?php

if (!defined('ABSPATH')) {
    return;
}

global $wpdb;

/**
 * Вернёт конкретный IP адрес посетителя
 * @return boolean
 */
function coderun_get_user_ip() {

    $client_ip = '';

    $address_headers = array(
        'HTTP_CLIENT_IP',
        'HTTP_X_FORWARDED_FOR',
        'HTTP_X_FORWARDED',
        'HTTP_X_CLUSTER_CLIENT_IP',
        'HTTP_FORWARDED_FOR',
        'HTTP_FORWARDED',
        'REMOTE_ADDR',
    );

    foreach ($address_headers as $header) {
        if (array_key_exists($header, $_SERVER)) {

            $address_chain = explode(',', $_SERVER[$header]);
            $client_ip = trim($address_chain[0]);

            break;
        }
    }

    if (!$client_ip) {
        return '';
    }


    if ('0.0.0.0' === $client_ip || '::' === $client_ip || $client_ip == 'unknown') {
        return '';
    }

    return $client_ip;
}

$ip = esc_sql(coderun_get_user_ip()); // IP адрес посетителя

if (empty($ip)) {// Нет IP, ну и идите лесом...
    header('Content-type: application/json;');
    die('Big big bolt....');
}

$browser = esc_sql($_SERVER['HTTP_USER_AGENT']); //Данные для анализа браузера

$request = esc_sql(wp_json_encode($_REQUEST)); //Последний запрос который был к сайту

$input = esc_sql(file_get_contents('php://input')); //Тело запроса, если было

$cnt = 1;

//Запрос в основную таблицу с временными кондидатами на блокировку
$query = <<<EOT
    INSERT INTO wp_visiters_bot (`ip`,`browser`,`cnt`,`request`,`input`)
        VALUES  ('{$ip}','{$browser}','{$cnt}','{$request}','$input')
         ON DUPLICATE KEY UPDATE cnt=cnt+1,request=VALUES(request),input=VALUES(input),browser=VALUES(browser)
EOT;

//Запрос для истории
$query2 = <<<EOT
    INSERT INTO wp_visiters_bot_history (`ip`,`browser`,`cnt`)
        VALUES  ('{$ip}','{$browser}','{$cnt}')
         ON DUPLICATE KEY UPDATE cnt=cnt+1,browser=VALUES(browser)
EOT;


$wpdb->query($query);

$wpdb->query($query2);

コードの本質は、訪問者の IP アドレスを取得してテーブルに書き込むことです。 IP がすでにテーブルにある場合、cnt フィールドが増加します (サイトへのリクエストの数)

さて、恐ろしいことに...今、彼らは私の行動のために私を燃やすでしょう:)
サイトへの各リクエストを記録するには、ファイルコードをメインの WordPress ファイル (wp-load.php) に接続します。はい、グローバル変数 $wpdb がすでに存在した後で、カーネルファイルを変更します。

これで、この IP アドレスまたはその IP アドレスがどのくらいの頻度でテーブルにマークされているかを確認できるようになり、コーヒーを飲みながら 5 分に XNUMX 回そこを見て状況を理解することができます。

次に、「有害な」IP をコピーし、.htaccess ファイルを開いてファイルの末尾に追加します。

Order allow,deny
Allow from all
# start_auto_deny_list
Deny from 94.242.55.248
# end_auto_deny_list

これで、94.242.55.248 になりました - サイトにアクセスできず、データベースに負荷がかかりません

しかし、このように毎回手作業でコピーするのはあまり正当な作業ではありません。さらに、コードは自律的であることを意図していました。

CRON 経由で 30 分ごとに実行されるファイルを追加しましょう。

.htaccessを変更するファイルコード

<?php

/**
 * Файл автоматического задания блокировок по IP адресу
 * Должен запрашиваться через CRON
 */
if (empty($_REQUEST['key'])) {
    die('Hello');
}

require('wp-load.php');

global $wpdb;

$limit_cnt = 70; //Лимит запросов по которым отбирать

$deny_table = $wpdb->get_results("SELECT * FROM wp_visiters_bot WHERE cnt>{$limit_cnt}");

$new_blocked = [];

$exclude_ip = [
    '87.236.16.70'//адрес хостинга
];

foreach ($deny_table as $result) {

    if (in_array($result->ip, $exclude_ip)) {
        continue;
    }

    $wpdb->insert('wp_visiters_bot_blocked', ['ip' => $result->ip], ['%s']);
}

$deny_table_blocked = $wpdb->get_results("SELECT * FROM wp_visiters_bot_blocked");

foreach ($deny_table_blocked as $blocked) {
    $new_blocked[] = $blocked->ip;
}

//Очистка таблицы
$wpdb->query("DELETE FROM wp_visiters_bot");

//echo '<pre>';print_r($new_blocked);echo '</pre>';

$file = '.htaccess';

$start_searche_tag = 'start_auto_deny_list';

$end_searche_tag = 'end_auto_deny_list';

$handle = @fopen($file, "r");
if ($handle) {

    $replace_string = '';//Тест для вставки в файл .htaccess

    $target_content = false; //Флаг нужного нам участка кода

    while (($buffer = fgets($handle, 4096)) !== false) {

        if (stripos($buffer, 'start_auto_deny_list') !== false) {
            $target_content = true;
            continue;
        }

        if (stripos($buffer, 'end_auto_deny_list') !== false) {
            $target_content = false;

            continue;
        }

        if ($target_content) {
            $replace_string .= $buffer;
        }
    }
    if (!feof($handle)) {
        echo "Ошибка: fgets() неожиданно потерпел неудачуn";
    }
    fclose($handle);
}

//Текущий файл .htaccess
$content = file_get_contents($file);

$content = str_replace($replace_string, '', $content);

//Очищаем все блокировки в файле .htaccess
file_put_contents($file, $content);

//Запись новых блокировок
$str = "# {$start_searche_tag}" . PHP_EOL;

foreach ($new_blocked as $key => $value) {
    $str .= "Deny from {$value}" . PHP_EOL;
}

file_put_contents($file, str_replace("# {$start_searche_tag}", $str, file_get_contents($file)));

ファイルコードは非常にシンプルかつ原始的であり、その主なアイデアは、ブロックの候補を取得し、.htaccess ファイルのコメントの間にブロックルールを入力することです。
# start_auto_deny_list と # end_auto_deny_list

現在、「有害な」IP は自動的にブロックされており、.htaccess ファイルは次のようになります。

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

# END WordPress

Order allow,deny
Allow from all

# start_auto_deny_list
Deny from 94.242.55.248
Deny from 207.46.13.122
Deny from 66.249.64.164
Deny from 54.209.162.70
Deny from 40.77.167.86
Deny from 54.146.43.69
Deny from 207.46.13.168
....... ниже другие адреса
# end_auto_deny_list

その結果、このコードが動作し始めると、ホスティングパネルに結果が表示されます。

PS: この資料は著者のものですが、その一部を私のウェブサイトで公開しましたが、より拡張されたバージョンを Habre で入手しました。

出所： habr.com

潜在的な「悪意のある」ボットを特定し、IP によってブロックします。

コメントを追加します返信をキャンセル

潜在的な「悪意のある」ボットを特定し、IP によってブロックします。

コメントを追加します 返信をキャンセル

コメントを追加します返信をキャンセル