На собственное удивление обнаружил, что сайты на некоторых площадках хостинг-провайдеров не способны справиться с атакой, которую может реализовать даже школьник. Внимание! Помните, за действия, описанные под катом я не несу никакой ответственности.
Как же осуществляется DDoS-атака на сайт?
А очень просто! Не потребуется никаких ботнетов, никаких высокопроизводительных серверов. Все что Вам потребуется - это Браузер чтобы увидеть результат, командная строка, установленный в системе Apache и конечно же прямые руки.
Первым делом берем подопытный сайт на хостинге у которого не установлена защита.
Помните, не нужно нарушать работу чужих сайтов! Это не законно!
Теперь открываем командную строку. И пишем следующие команды:
cd /usr/local/apache/bin/
./ab -c 300 -t 120 http://адрес_сайта:80/
Не знаете что это за команда? Объясняю. «ab» расшифровывается как Apache Benchmark. Это утилита, используемая для проверки площадок на устойчивость к повышенной нагрузке. Очень удобная и мирная вещь. В нашем же случае она сыграет зловещую роль. 🙂
Запускаем Benchmark и ждем.
Через несколько секунд обновляя сайт видим сообщение об ошибке 503 (Service Temporarily Unavailable) или же просто "Невозможно отобразить страницу". Данный эффект будет продолжаться до тех пор пока работает Benchmark. Когда тест завершится сайт восстановит свою работу через несколько секунд. Но что собственно мешает запустить тест на весь день.
Помните, что DDoS атака подпадает под статью 273 УК и нарушает Конституцию, закон о связи, закон об информации, информационных технологиях и защите информации и Гражданский кодекс. Все действия вы производите на свой страх и риск!
Но, как же все-таки защитить свою площадку от флуда бечмарком "ab"?
Вариантов может быть несколько, но они не относятся только к настройке непосредственно веб-сервера. Речь идёт о нежелательных соединениях - и можно поручить эту работу фаерволу, к примеру CSF или APF. Например, ограничить число соединений по HTTP с одного хоста.
Убедитесь, что есть кэширование (на том, что можно кешировать) - чтобы не создавать лишние процессы на запросы, где это не требуется. Ну и кроме автоматики есть логи - пусть фаервол и защитит от подобного в большинстве случаев, особенно упорные могут менять адреса, или, ещё хуже, организовать DDoS (в этом есть и хорошая сторона - Ваш проект достоин того, чтобы такую атаку проводили, есть над чем задуматься и улучшать безопасность).