wiki.matoken.org

snippet.bash

$ sudo apt install libapache2-mod-evasive
$ sudo a2enmod evasive
Module evasive already enabled

設定ファイル : /etc/apache2/mods-available/evasive.conf

• DOSHashTableSize ハッシュテーブルサイズ．大きくすると高速になるけどメモリ使用量が増える．
• DOSPageCount 同一ページでのDOSカウント
• DOSSiteCount サイト単位でのODSカウント
• DOSPageInterval 同一ページでのDOSカウント間隔(秒)
• DOSSiteInterval サイト単位でのODSカウント間隔(秒)
• DOSBlockingPeriod DOSと判定されたときのブロック時間(秒)
• DOSEmailNotify DOSと判定されたときの通知メール宛先(mailコマンドでメールが送れるように設定しておく)
• DOSSystemCommand DOSと判定されたときに実行するコマンド(動作未確認)
• DOSLogDir DOSと判定されたときに作られるログファイル格納ディレクトリ( dos-<IP address> というファイル名)
• DOSWhitelist DOSと判定されないアドレスを設定(複数行設定可能)

mod_evasive20.c より既定値

#define DEFAULT_HASH_TBL_SIZE   3079ul  // Default hash table size
#define DEFAULT_PAGE_COUNT      2       // Default maximum page hit count per interval
#define DEFAULT_SITE_COUNT      50      // Default maximum site hit count per interval
#define DEFAULT_PAGE_INTERVAL   1       // Default 1 Second page interval
#define DEFAULT_SITE_INTERVAL   1       // Default 1 Second site interval
#define DEFAULT_BLOCKING_PERIOD 10      // Default for Detected IPs; blocked for 10 seconds
#define DEFAULT_LOG_DIR         "/tmp"  // Default temp directory

テスト用のperl script がある．

$ perl /usr/share/doc/libapache2-mod-evasive/examples/test.pl

しかしバグがあるので修正が必要．

https://wiki.matoken.org/linux/debian/buster/apache2/libapache2-mod-evasive#%E3%83%AD%E3%82%B0%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%81%8C%E5%87%BA%E5%8A%9B%E3%81%95%E3%82%8C%E3%81%AA%E3%81%84

snippet.bash

$ sudo apt build-dep libapache2-mod-evasive
$ sudo apt source libapache2-mod-evasive
$ cd libapache-mod-evasive-1.10.1
$ #修正
$ debuild -uc -us -b
$ sudo apt install ../libapache2-mod-evasive_1.10.1-3_amd64.deb

400になってしまう．

snippet.bash

$ perl /usr/share/doc/libapache2-mod-evasive/examples/test.pl
HTTP/1.1 400 Bad Request
HTTP/1.1 400 Bad Request
HTTP/1.1 400 Bad Request
  :

改行コードを \n から \r\n に変更する．

snippet.bash

@@ -10,7 +10,7 @@
   my($SOCKET) = new IO::Socket::INET( Proto   => "tcp",
                                       PeerAddr=> "127.0.0.1:80");
   if (! defined $SOCKET) { die $!; }
-  print $SOCKET "GET /?$_ HTTP/1.0\n\n";
+  print $SOCKET "GET /?$_ HTTP/1.0\r\n\r\n";
   $response = <$SOCKET>;
   print $response;
   close($SOCKET);

snippet.bash

$ perl /usr/share/doc/libapache2-mod-evasive/examples/test.pl
HTTP/1.1 200 OK       
HTTP/1.1 200 OK       
HTTP/1.1 200 OK                                                                                                                
HTTP/1.1 200 OK                                    
HTTP/1.1 403 Forbidden                                                                             
HTTP/1.1 200 OK       
HTTP/1.1 403 Forbidden                                  
HTTP/1.1 200 OK                                                   
HTTP/1.1 200 OK                      
HTTP/1.1 200 OK                          
  :

メールは送信されるが， To: , Subject: も body の中に入ってしまっている．

From: www-data <www-data@vmi264672.contaboserver.net>

To: matohara@gmail.com
Subject: HTTP BLACKLIST 98.240.193.8

mod_evasive HTTP Blacklisted 98.240.193.8

mod_evasive20.c の MAILER に -t オプションを加える．

#define MAILER "/usr/bin/mail -t %s"

$ man mail | grep '\-t,' -A1
       -t, --to
              read recipients from the message header

• \#776635 \- libapache2\-mod\-evasive: mails are badly formated \- Debian Bug report logs

1度目のDoS検出でログ( dos-<ip address> )が作られ，2度目以降の検出時に403は返すが，syslogやメールに記録されない． 以下のissueによると制限解除時に該当ログファイルのクリーンアップ処理が必要．

• \#931813 \- libapache2\-mod\-evasive: failure to remove dos\-\* log files breaks further logging and notifications \- Debian Bug report logs

• \#833448 \- libapache2\-mod\-evasive: Wrong prime number\. Should be 3079 instead of 3097 \- Debian Bug report logs

3097 から 3079 に変更する．