Samrush Bot 이라는 놈한테 공격당했습니다...

평상시는 신경 못쓰다 최근 서버를 재정비하면서 에러 체크하는 과정에서 발견했습니다. Samrush Bot이라는 놈들인데, 멀쩡하게 검색 크롤러 같은 회사처럼 보이는데 하는 짓이 라이믹스 게시판과 회원 패스워드 크래킹에 엄청난 물량으로 쏟아내네요. 접근하는 링크가,

/index.php?act=dispMemberLoginForm ...

/index.php?act=dispMemberSignUpForm ...

/index.php?act=dispBoardWrite ...

/index.php?act=dispBoardDelete ...

이 4가지를 접속 ip를 계속 바꿔가며(185.191.171.1~185.191.171.255) 몇일동안 끊임업이 시도하고 있습니다. 해당 사이트 일부에 비회원이 임시로 패스워드를 넣고 글을 쓸수 있는 기능이 있는데 말이죠... 모듈에 여러가지 추가 보완을 해놓기는 했지만 저런식이면 장담 못할 상황...

하필 서버를 재설치하느라 임시 서버로 옮겨놓은 상황이고, 임시 서버가 위치한 해당 데이터센터 하드웨어단 파이어월 기능이 뭣 같아서 포트를 오픈하거나 클로즈는 되는데 특정 아이피 블럭킹 기능이 거시기하고, 임시 서버에 Ubuntu를 설치더니 내장 iptables 가 ip를 못 막아주더군요. 아래 명령어가 안먹힘...

% iptables -A INPUT -s 185.191.171.0/24 -j DROP

우선 Nginx 서비스에서 ip 접근은 막았지만 access log가 계속 증가하는 것은 못막더군요 ........ 하필 디버깅 중인데 다른 로그들을 볼수도 없게 만듬 ㅎㅎㅎ.

deny 185.191.171.0/24;

왜 안될까 한참 고민하다 찾은 것이 아래 iptables 명령은 먹힙니다 ㅎ.

% iptables -I INPUT -p tcp -s 185.191.171.0/24 -j DROP

여기저기 다 찾아봐도 다들 -A 로 하면 막힌다고 나와 있지만 -I로 줘야 합니다.   그 이유가, 웹 서버를 설치하면서 처음부터 당연히 443 포트를 열어 놨겠죠? 그런데, 나중에 공격 당한다고 특정 IP로 부터의 접속을 차단하려고 -A 를 써서  ip를 차단해봐야, 이미 443 포트를 제한없이 연 이후에 막겠다고 하는 것이라 먼저 실행된 "열겠다"라는 명령어에 우선권이 있어 나중에 "차단" 명령어는 효과가 없습니다.

따라서,  -I 옵션을 줘서 명령어 앞줄에 끼워 넣어 실행시켜야, 특정 ip를 먼저 막고 그 이후에 443 포트를 제한없이 열겠다는 뜻이 되어 효과가 있구요.

검색해봐도 이걸 설명해 주는 데가 없어 한참 고민했습니다.

아무트 검색해보니까 저 놈들 유명한것 같은데, 이글 읽는 분들도 아직 안하셨다면 저 ip는 파이어월단에서 차단해버리세요. 봇들이 사이트를 긁어가 트래픽을 높인다고 투덜대는 것은 봤어도 해킹을 시도하는 것은... 참내 분하네요...

참고로, CentOS에서는 iptables 대신에 firewall-cmd 명령을 씁니다.

(추가) 아래 분들 의견을 보고, 일단 추가 모니터링을 위해 일반 접속 log하고 bot 접속 로그를 분리했습니다. 다음과 같이 하니까 되네요.

/etc/nginx/conf.d/bot.conf 을 새로 만들어 다음을 추가하고 (추후 bot 이름에 따라 확장필요)

map $http_user_agent $log_include_ua{

    default 1;

    ~bot 0;

    ~crawler 0;

    ~Yahoo! 0;

    ~proximic 0;

    ~megaindex 0;

}

map $log_include_ua $log_exclude_ua{

    default 0;

    0 1;

}

/etc/nginx/sites-available/mydomain_abcd.conf (각자 사용하는 이름에 따라 달라짐)에 다음을 추가 했습니다. 

    access_log /var/log/nginx/access.log combined if=$log_include_ua;

    access_log /var/log/nginx/bot_access.log combined if=$log_exclude_ua;

그런 후 nginx 서비스 다시 시작 (systemctl reload nginx).... 일단 로그가 분리되네요.