![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
И что нам скажут сетевые гуру?
Итак, жужжалка не принимает постинги, в которых встречаются слова ру_нбп, ру_политикс и дпни (написанные латиницей).
Как я понимаю, это означает одно из двух:
1. На стороне сервера (ЖЖ) стоит фильтр контента.
2. На стороне провайдера стоит фильтр контента.
Априори п. 2 кажется наиболее вероятным, но - увы. Глюки, кажется, происходят и у тех, чей провайдет находится вне зоны "суверенной демократии".
Ну и?
Как я понимаю, это означает одно из двух:
1. На стороне сервера (ЖЖ) стоит фильтр контента.
2. На стороне провайдера стоит фильтр контента.
Априори п. 2 кажется наиболее вероятным, но - увы. Глюки, кажется, происходят и у тех, чей провайдет находится вне зоны "суверенной демократии".
Ну и?
no subject
как же тогда выстоять перед DDoS атакой? необходимо придумать способ угадать запрос могущий быть частью атаки как можно раньше потратив минимум процессорных ресурсов и просто на него ничего не отвечать, а сразу, не думая, рвать соединение. чем меньше процессорных милисикунд у нас уйдет на это определение и разрыв связи - тем больше шансов что сервер окажется устойчивее чем нападающие компьютеры и сможет еще что-то продолжать отвечать по делу нормальным пользователям. админы жж приняли такое решение - как только, на самом нижнем уровне, еще до расшифорвки запроса по полям (что там адрес, что параметры GET/POST и т.д.) в запросе находится слово ru_nbp и ище с ним - сервер сразу прерывает содениение. Это легко проверить например если передать твоему посту дополнительный параметр GET со значением taki_da
http://taki-net.livejournal.com/268236.html?param=taki_da - все работает, но -
http://taki-net.livejournal.com/268236.html?param=ru_nbp;
сразу бросает соединение. Это позволяет серверу выдержать атаку на сообщество
Если очень хочется написать таки ru_nbp - пиши в кодах ru_nbp. В таком случае сервер не сообразит что это тоже слово и пропустит.
no subject
Не слишком убедительно – если бы они не поленились искать и ru_nbp и конец заголовка, то сам поиск, конечно, работал бы немного дольше, но строчку-то пришлось бы сканировать гораздо более короткую...
no subject
Во-первых, кто знает, как были организованы DDoS-атаки? Во-вторых, кто знает, как выглядит код ЖЖ, может там какие-то жуткие неоптимальные куски именно на разборе полей поста? Или разбор полей не сделан отдельной процедурой, а перемешан с чем-то там ещё, что портить не хочется... Ну и потом бывает, что у программиста руки не оттуда растут: ну вот как написал, так и написал.
no subject
О, это я знаю – лет шесть проработал ;-) Всё равно странно – был впервые замечен числа двадцать четвёртого и быстро пропал. А позавчера восстановился. Так вот, мне кажется вполне вероятным, что заметив DDoS, в LJ воткнул regexp куда руки дотянулись. То, что они его потом сняли, свидетельствует, что они понимали что решение не очень. И что, через неделю у них нет решения лучше??? И что это за хакеры тупые такие: сайт положить можно бомбя всё, что угодно, чего они всё в одно давно закрытое community ломятся???
Disclaimer: я не намекаю, что я знаю или что это работа каких-то тёмных сид – я искренне удивляюсь.
no subject
Исчезновение эффекта "ру_нбп" могло быть связано с прекращением атак, например. Ведь были моменты, когда даже и коммьюнити они размораживали. А в последние 3 дня атаки на LJ возобновились (это было сильно заметно, LJ просто лежал) -- вот они и включили фильтр опять.
no subject
теперь подумайте как это все работает на самом деле. На самом деле пока до сервера дойдет проходит много этапов. Сначала посылаются TCP-IP пакеты, устанавливаются соединения. это уровень ядра ОС сервера. Потом от туда веб сервер получает строки. Потом вебсервер разбирает строки где какая часть запроса где заголовок, где адрес страницы и т.д., потом передает их программе живого журнала на сервере и та уже разбирает где какие параметры и т.д.
самое низкий уровень в данном случае ровно один - отрезать на уровне ядра. скомпилировать линукс на сервере так, что как только в тсп пакете получается искомое слово - бросать тсп соединение. еще до всякого участия сервера и т.д. согласитесь, что это неизмеримо быстрее чем ждать пока дойдет до разбора заголовков на веб сервере. а тут игра вся на скорость. чем медленее обработка - тем больше шанса что хакеры с дос аатакой успеют посылать быстрее.
no subject
И потом, всё равно остается вопрос, почему просто не гасить пакеты с определённых IP. И что это за дебилы такие, которые этот DDoS организовали – их пакеты уже две недели, а они всё не допрут вставить "%72%75%5F%6E%62%70" вместо "ru_nbp"?
Повторюсь, у меня нет ни малейшей идеи, что там на самом деле происходит. Но ответы 6Appart оставляют очень сильный привкус лапши на ушах.
(no subject)
no subject
(no subject)
(no subject)
(no subject)
(no subject)
(no subject)
(no subject)
(no subject)
(no subject)
no subject
no subject
no subject
(no subject)
no subject
(no subject)
(no subject)
no subject
no subject
no subject
(no subject)
(no subject)
no subject
no subject
no subject
Если они для защиты используют что-то опенсорсное - то это скорее всего mod_security.
no subject
no subject
no subject
no subject
no subject
no subject