오렌지 블루님의 글입니다.

http://www.koreaphp.co.kr 

php와 웹호스팅 사이트를 운영하면서 참으로 많은 일들을 당합니다. 

해킹으로 인한 서버 데이터 날린것두 몇번 되구요. 
물론 koreaphp시작하기도 전에.... 

고의적이든 아니든 해킹으로 많은 피해를 봤읍니다. 
지금이야 텔넷을 막고 서비스가 가능하니 큰 해킹의 어려움은 없지만 
하고 생각하였는데 왠 dos공격...흘흘... 

지금까지 공격당한 것은 해킹의 책이나 강좌에 나오는 모든 종류의 
공격들이였읍니다. 
koreaphp서버는 공격 당하지 않았고  (주)베스트한컴의 웹호스팅 서버중에 
한대를 공격 당했읍니다. 

1. 2001년 1월 2일 dos공격 판단까지... 

먼저 오전 11시경 서버의 지연처리 속도가 너무 많이 걸렸다. 
먼저 텔넷으로 접속하여 해킹의 위험요소를 확인한바 
해킹의 흔적은 발견 되지 않았다. 
백도어,24시간 이내 만들어진 파일, suid파일,로그파일 등등 

역시 저번에 발표한 kidc내 서버 해킹 방지 대책이 어느 정도 효과를 
누리는 것 같았다, 물론 텔넷을 막아둔 것과 쓸데없는 데몬을 모두 죽이고 
기타 다른 설정을 해둔것이 도움이 된듯했다. 

top으로 cpu점유율과 메모리 사용량을 체크하였으나 급속적인 
cpu사용률이나 메모리 점유는 없으나 idle이 97%이상을 차지하는 등 
이상 증상 발견.... 

하드웨어 이상일 수 있다는 판단에 오후 2시 서버 리붓 ..... 

2. 리붓후에... 

리붓후 급격한 서버 속도 증가와 다른 서비스가 이상없이 진행됨에 
안도를 하였으나 추이를 지켜봄. 

오후 에는 dos공격이 일시 중지된듯함.. 

3. 밤9시 
서버의 속도가 또 떨어지기 시작... 
보통 소스자료실에 제가 올린 서버성능 테스트를 통하면 
웹연결0초 처리속도 0.001초 정도인 서버가 
2초대로 처리 지연 급상승.. 

top, pstree등으로 이상 접속현황 확인 
pstree했을 경우 httpd 앞에 숫자가 150으로 막스클라이언트 숫자에 
도달해 있었음.. 
idle도 98%이상 사용중 
netstat -an 으로 현재 port 상황 확인 
syn_rec상태인 port발견 
syn_rec 웹서버가 요청을 받으면 요청한 ip에 해당하는 응답을 
해야 하는데 응답하는데 걸리는 ip가 가짜이고 응답에 반응을 하지 않으면 
연결이 끊길동안 지속적으로 연결을 응하다 중지된 상태로 
서버에 막대한 부하를 줍니다. 

특정 ip에서 포트를 바꾸어 가면서 집중적으로 80포트(아파치서버 http포트)만을 
집중 공격하는 것으로 판단.. 

-1차 조치 : 해당 아이피를 라우터에서 접근 금지 시킴. 
1차 ip접근 금지 이후 현저한 속도 향상 및 좀비 프로세스 감소 시작 

하지만 특정 ip 접근 금지 이후 다른 ip로 자동변환되어 
다시 계속적인 공격...... 
- 2차 조치 : 공격중인 ip를 모두 라우터에서 차단 
  사이버 테러 대응센터에 신고, 인터넷제국에서의 라우터 감시 실시 

테러대응 센터 왈 : dos공격은 막을 수도 없으며 잠시 서버를 죽이거나 
파이어월 안으로 서버를 옮기는 방법밖에 없다고 조언함. 

하지만 우리 koreaphp팀이 누구인가...흘흘..... 
우선 대책 마련을 위해 일시 서버 정지, 좀비 프로세스 킬 등을 하였으나 
지속적인 방지책으로 생각들지 않아 또 다른 방법 강구 

4 11시 
해결의 실마리... 

dos공격이 성공하는 이유는 웹서버는 요청에 대하여 응답을 하고 응답이 없을 경우 
일정 시간 응답이 올때까지 프로세스를 살려두고 소켓을 열어둔다. 
이러한 열려진 소켓이 많아지고 요청에 일일히 응답을 하려 하지만 
가짜 ip주소에 응답하면 서버의부하만 가중될뿐이다. 

1차 조치 아파치 설정부분의 keepalive 를 오프시킴 먼저 서버측에서 요청에 
응답을 하고 나서 상대방에게서 연결을 끊어버림으로서 서버의 무식한 
헤딩하는 것을 방지 하기 위해서 
timeout 시간을 300초에서 10초 줄여서 좀비 프로세스가 10초후엔 삭제 되도록 
조치.... 

syn_rec상태의 좀비 프로세스들이 Time_wait상태로 변경됨 
좀비 프로세스를 10초 단위로 죽이므로서 
pstree시에 현재 httpd사용자 숫자 20이하로 감소 
top에서 연결 유지 섹션 1이하로 감소 stop프로세스 20여개 
전체 프로세스 60여개로 감소 idle은 90%에 육박하지만 
서버의 사양이 워낙 고급사양이다 보니 충분히 처리함 

cpu점유율 3%미만, 메모리 사용률 조금 증가후 10초후 감소 등으로 
전체 메모리의 10% 미만만 사용중이고 서버의 처리지연속도 
0.001초대로 회복.... 

아파치 설정만으로도 어느정도 효과를 본것 같다. 

5. 20001년 1월 3일 오전 10시 
어제와 다름없이 서버는 아주 원활히 처리되구 속도도 정상적이다. 
보통 웹호스팅 서버의 한달 요청히트수는 30만히트정도 인데 
1월2일 하루 히트숫자는 120만이 넘었었다. 

하루 히트수 300만이상 충분히 감수하고도 충분한 서버임을 다시 
증명하였다. 좀비프로세스에 의한 아파치의 황당하고 무식한 연결 
설정만 아니라면 하루 1000만 히트 정도는 무난히 감수하리라 본다. 
120만 히트시에 서버 cpu점유율은 겨우 3% 미만이였으니깐... 

아무튼 80포트에 이루어진 dos공격에 서버를 죽여야 할지 
말아야 할지 결정하여야 했지만 리눅스 꽤나 한다는 
테러 대응센터 및 기타 리눅스 관리자의 말처럼 
해보지도 않고 지레 포기하는 것은 방편이 아니라 봤던 우리의 
판단이 옳았다. 

다른 포트에대한 공격이라면 순간적으로 데몬을 죽이거나 
서비스를 중지 해도 되지만 웹호스팅 업체에서 80포트를 닫는 것은 
영업 정지이상의 의미가 있기 때문이다. 

해킹을 시도하지만 뚫지 못해서 dos공격을 하는것인지 
아니면 그냥 젤루 간단하고 막강한 방법이라 그런지 모르지만.... 
언젠가는 여러대의 서버에서 무차별적인 집중 dos공격이 이루어질 수 있다. 
하지만 우리는 또 막아 낼것이다. 

다음에 만약 파상적인 공격을 해오면 가상 ip로 서버의 위치를 속이는 방법 
과 기타 다른 방편을 마련하여 꼭 막아내고 다시는 그런 공격이 
유효하지 않다는 것을 명심시켜 서버를 지켜 낼것이다. 
(안되면 안되는데 흑흑 왜 우리만 공격하징....하지마 크래커얌..) 


해킹에서부터 dos공격 멜퍽탄 등 수 많은 공격에도 
해킹의 지식이 전혀 없는 우리로서 많은 공부하게 해준 크래커에게 
고맙게 생각한다. 

하지만 너무도 많은 공격법만 있고 방지 대책 조차 없는 이러한 
리눅스에 대한 강좌는 몬가 잘못되어가고 있다. 

어디서 조차 dos공격을 막는 법이나 ip추적을 하는 방법 조차 없이 
파이어월 안으로 숨으라고만 강요하기 보다 보다 적극적인 자세로 
방지해야 하지 않을까 생각한다. 

더 좋은 정보나 내용 아시는 분 저에게 꼭 이메일로 알려주세요. 
저는 www.koreaphp.co.kr운영자 오렌지 블루였슴돠. 
해킹없는 세상에 살고픈 오렌지블루......가 신사년 새해에 또 소망합니다.