欢迎光临
我们一直在努力

Cloudflare防CC攻击,自动拉黑恶意IP到防火墙脚本和自动切换5秒盾脚本

文章目录

如果受到CC攻击,主要表现就是IO和CPU爆增,最后就是数据库挂掉导致网站无法访问。单纯的启用了Cloudflare CDN效果并不明显,

为了能够精确地识别恶意IP,在启用了Cloudflare CDN后需要在Nginx和Apache中启用Real IP模块,然后利用脚本分析网站日志,从日志中搜集异常IP,然后使用Cloudflare API批量将恶意IP添加到Cloudflare的防火墙当中。当然,当网站遭遇非常强大的CC和DDoS攻击时,我们可以启用Cloudflare经典的5秒盾防攻击,如果把握不了攻击的频率的话,可以设置一个定时任务,当系统负载超过某一个值(一般来攻击会导致系统负载爆增),调用Cloudflare API启用5秒盾。

一、Cloudflare自动拉黑恶意IP

1.1  找出恶意IP

利用脚本分析在一分钟单个IP访问的频率,超过一定的频率(一般来正常的访问,一分钟内应该不超过60次,你可以设置为更小),即认定为恶意IP。脚本如下:

  1. #/bin/bash
  2. #日志文件,你需要改成你自己的路径
  3. logfile=/data/wwwlogs/
  4. last_minutes=1
  5. #开始时间1分钟之前(这里可以修改,如果要几分钟之内攻击次数多少次,这里可以自定义)
  6. start_time= date +“%Y-%m-%d %H:%M:%S” -d ‘-1 minutes’
  7. echo $start_time
  8. #结束时间现在
  9. stop_time=`date +”%Y-%m-%d %H:%M:%S”`
  10. echo $stop_time
  11. cur_date=“`date +%Y-%m-%d`”
  12. echo $cur_date
  13. #过滤出单位之间内的日志并统计最高ip数,请替换为你的日志路径
  14. tac $logfile/sky.ucblog.net_nginx.log | awk -v st=“$start_time” -v et=“$stop_time” ‘{t=substr($2,RSTART+14,21);if(t>=st && t<=et) {print $0}}’ | awk ‘{print $1}’ | sort | uniq -c | sort -nr > $logfile/log_ip_top10
  15. ip_top=`cat $logfile/log_ip_top10 | head -1 | awk ‘{print $1}’`
  16. ip=`cat $logfile/log_ip_top10 | awk ‘{if($1>2)print $2}’`
  17. # 单位时间[1分钟]内单ip访问次数超过2次的ip记录入black.txt,这里wzfou.com为了测试设置了2,你需要改成其它的数字
  18. for line in $ip
  19. do
  20. echo $line >> $logfile/black.txt
  21. echo $line
  22. # 这里还可以执行CF的API来提交数据到CF防火墙
  23. done

1.2  批量添加IP到防火墙

使用以下代码就可以将恶意IP批量添加到Cloudflare的防火墙了,记得替换为你的Cloudflare API。

  1. #!/bin/bash
  2. # Author: Zhys
  3. # Date : 2018
  4. # 填Cloudflare Email邮箱
  5. CFEMAIL=“freehao123@gmail.com”
  6. # 填Cloudflare API key
  7. CFAPIKEY=“xxxxxxxxxxxxxxxx”
  8. # 填Cloudflare Zones ID 域名对应的ID
  9. ZONESID=“xxxxxxxxxxxxxxxxxxxx”
  10. # /data/wwwlogs/black.txt存放恶意攻击的IP列表
  11. # IP一行一个。
  12. IPADDR=$(</data/wwwlogs/black.txt)
  13. # 循环提交 IPs 到 Cloudflare 防火墙黑名单
  14. # 模式(mode)有 block, challenge, whitelist, js_challenge
  15. for IPADDR in ${IPADDR[@]}; do
  16. echo $IPADDR
  17. curl -s -X POST “https://api.cloudflare.com/client/v4/zones/$ZONESID/firewall/access_rules/rules” \
  18. -H “X-Auth-Email: $CFEMAIL” \
  19. -H “X-Auth-Key: $CFAPIKEY” \
  20. -H “Content-Type: application/json” \
  21. –data ‘{“mode”:”block”,”configuration”:{“target”:”ip”,”value”:”‘$IPADDR‘”},”notes”:”CC Attatch”}’
  22. done
  23. # 删除 IPs 文件收拾干净
  24. rm -rf /data/wwwlogs/black.txt

1.3  自动找出恶意IP并添加到防火墙

直接将上面两个脚本合并到一个脚本即可。

  1. #/bin/bash
  2. #日志文件,你需要改成你自己的路径
  3. logfile=/data/wwwlogs/
  4. last_minutes=1
  5. #开始时间1分钟之前(这里可以修改,如果要几分钟之内攻击次数多少次,这里可以自定义)
  6. start_time= date +“%Y-%m-%d %H:%M:%S” -d ‘-1 minutes’
  7. echo $start_time
  8. #结束时间现在
  9. stop_time=`date +”%Y-%m-%d %H:%M:%S”`
  10. echo $stop_time
  11. cur_date=“`date +%Y-%m-%d`”
  12. echo $cur_date
  13. #过滤出单位之间内的日志并统计最高ip数,请替换为你的日志路径
  14. tac $logfile/sky.ucblog.net_nginx.log | awk -v st=“$start_time” -v et=“$stop_time” ‘{t=substr($2,RSTART+14,21);if(t>=st && t<=et) {print $0}}’ | awk ‘{print $1}’ | sort | uniq -c | sort -nr > $logfile/log_ip_top10
  15. ip_top=`cat $logfile/log_ip_top10 | head -1 | awk ‘{print $1}’`
  16. ip=`cat $logfile/log_ip_top10 | awk ‘{if($1>2)print $2}’`
  17. # 单位时间[1分钟]内单ip访问次数超过2次的ip记录入black.log,这里为了测试设置2,你需要改成其它的数字
  18. for line in $ip
  19. do
  20. echo $line >> $logfile/black.txt
  21. echo $line
  22. # 这里还可以执行CF的API来提交数据到CF防火墙
  23. done
  24. # 填Cloudflare Email邮箱
  25. CFEMAIL=“freehao123@gmail.com”
  26. # 填Cloudflare API key
  27. CFAPIKEY=“xxxxxxxxxxxxxxxxxxxxxxxx”
  28. # 填Cloudflare Zones ID 域名对应的ID
  29. ZONESID=“xxxxxxxxxxxxxxxxxxxxxxxxxxx”
  30. # /data/wwwlogs/black.txt存放恶意攻击的IP列表
  31. # IP一行一个。
  32. IPADDR=$(</data/wwwlogs/black.txt)
  33. # 循环提交 IPs 到 Cloudflare 防火墙黑名单
  34. # 模式(mode)有 block, challenge, whitelist, js_challenge
  35. for IPADDR in ${IPADDR[@]}; do
  36. echo $IPADDR
  37. curl -s -X POST “https://api.cloudflare.com/client/v4/zones/$ZONESID/firewall/access_rules/rules” \
  38. -H “X-Auth-Email: $CFEMAIL” \
  39. -H “X-Auth-Key: $CFAPIKEY” \
  40. -H “Content-Type: application/json” \
  41. –data ‘{“mode”:”block”,”configuration”:{“target”:”ip”,”value”:”‘$IPADDR‘”},”notes”:”CC Attatch”}’
  42. done
  43. # 删除 IPs 文件收拾干净
  44. rm -rf /data/wwwlogs/black.txt

上面的脚本在下载中心,可以提供给大家下载使用,代码如下:

  1. wget https://www.ucblog.net/shell/attack-ip.sh
  2. chmod +x /qicmd/cfblockip.sh
  3. ./cfblockip.sh
  4. wget https://www.ucblog.net/shell/attack-ip.sh
  5. chmod +x /qicmd/attack-ip.sh
  6. ./attack-ip.sh
  7. wget https://www.ucblog.net/shell/cf-block-attack-ip.sh
  8. chmod +x /qicmd/cf-block-attack-ip.sh
  9. ./cf-block-attack-ip.sh

最后,设置一个定时任务,让脚本每过一分钟检测一次(请根据需要来调整)

  1. * * * * * /bin/bash /root/cf-block-attack-ip.sh > /tmp/ou1t.log 2>&1

自动添加恶意IP到CloudFlare防火墙的效果如下:

Cloudflare自动拉黑恶意IP到防火墙

二、Cloudflare自动切换5秒盾脚本

网站:

  1. https://github.com/Machou/Cloudflare-Block

当你的服务器受到攻击时,系统负载就会爆增,利用脚本自动检测系统负载,当压力超过一定的值时就可以切换为” I’m Under Attack! “模式了。操作步骤如下:

  1. #下载
  2. cd /root && git clone https://github.com/Machou/Cloudflare-Block.git DDoS
  3. #打开Cloudflare.sh,修改配置
  4. API_KEY You’re Global API Key (https://dash.cloudflare.com/profile)
  5. MAIL_ACCOUNT Email of your Cloudflare account
  6. DOMAIN Zone ID (https://dash.cloudflare.com/_zone-id_/domain.com)
  7. #设置定时任务
  8. crontab -e
  9. */1 * * * * /root/DDoS/Cloudflare.sh 0 # check every 1 minute if protection is not enabled
  10. */20 * * * * /root/DDoS/Cloudflare.sh 1 # check every 20 minutes if protection is enabled

脚本默认的是检测系统负载为10,启动” I’m Under Attack! “模式,你以根据需要来调整。如下图:

Cloudflare自动切换5秒盾脚本

完整的脚本代码如下:

  1. #!/bin/bash
  2. # $1 = 1min, $2 = 5min, $3 = 15min
  3. loadavg=$(cat /proc/loadavg|awk ‘{printf “%f”, $1}’)
  4. # load is 10, you can modify this if you want load more than 10
  5. maxload=10
  6. # Configuration API Cloudflare
  7. # You’re Global API Key (https://dash.cloudflare.com/profile)
  8. api_key=
  9. # Email of your account Cloudflare
  10. email=
  11. # Zone ID (https://dash.cloudflare.com/_zone-id_/domain.com)
  12. zone_id=
  13. # create file attacking if doesn’t exist
  14. if [ ! -e $attacking ]; then
  15. echo 0 > $attacking
  16. fi
  17. attacking=./attacking
  18. hasattack=$(cat $attacking)
  19. if [ $(echo “$loadavg > $maxload”|bc) –eq 1 ]; then
  20. if [[ $hasattack = 0 && $1 = 0 ]]; then
  21. # Active protection
  22. echo 1 > $attacking
  23. curl -s -X PATCH “https://api.cloudflare.com/client/v4/zones/$zone_id/settings/security_level” \
  24. -H “X-Auth-Email: $email” \
  25. -H “X-Auth-Key: $api_key” \
  26. -H “Content-Type: application/json” \
  27. –data ‘{“value”:”under_attack”}’
  28. fi
  29. else
  30. if [[ $hasattack = 1 && $1 = 1 ]]; then
  31. # Disable Protection
  32. echo 0 > $attacking
  33. curl -s -X PATCH “https://api.cloudflare.com/client/v4/zones/$zone_id/settings/security_level” \
  34. -H “X-Auth-Email: $email” \
  35. -H “X-Auth-Key: $api_key” \
  36. -H “Content-Type: application/json” \
  37. –data ‘{“value”:”high”}’
  38. fi
  39. fi
  40. exit 0

三、总结

Cloudflare是一个非常好用的防御DDos和CC攻击的工具,免费版本的Cloudflare结合API可以实现更加灵活的功能,对于普通的防御足够自己使用了。

Cloudflare防护也有一定的问题,那就是启用了Cloudflare后获取到用户的IP都是Cloudflare CDN节点的IP,我们还需要在服务器配置中做进一步的优化。

文章出自:挖站否 ,部分内容参考自 9sep 版权所有。

About 辣椒

辣椒【声明】:站内所有资源均来自网络,由于网络资源安全性未知,使用前请自行甄别。本站从不强制任何人使用本站介绍的资源,如因自愿选择使用造成的损失自行承担!本博客若无意侵犯到您的权利,请及时与我们联系,我们将在48小时内删除侵权内容!

赞(0)
未经允许不得转载:辣椒资源网-专注互联网建站资源分享 » Cloudflare防CC攻击,自动拉黑恶意IP到防火墙脚本和自动切换5秒盾脚本
分享到: 更多 (0)
标签:

评论 抢沙发

8 + 7 =
  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址