脱☆DDOS攻撃処女wwww

「攻撃される！」と君が言ったから六月十一日はDDOS記念日

はい、ふざけたタイトルですがこのブログ、攻撃されていました。

超びっくりしました。

すぐに対応策から知りたい人はこちら

経緯

一次対応

6/11　ブロクにアクセスしたところ、「データベース接続確立エラー」とか「Error establishing a database connection」という表示が出てくる。

エラーメッセージ＋wordpressで検索を掛けてみたところ、原因は以下の２つじゃねーの？とのこと。

１．レンタルサーバ側の問題

２．設定ミス

１．AWS Cloud WatchとStatus Checkを確認してみる。特におかしいところはなさそうだ。リアルタイム検索でAWS系のことについてもひっかからない。

２．についてはここ最近特に何も変えていない…しかし、念のため確認してみる。

wp-config.phpに書いてある情報でwebサーバからDBサーバに入れるか？

mysql -u username -p -h db-host

できた。そもそも昨日まではアクセスできてたんだよね。さすがに設定が間違えていた説はないか次。

ログを読む

データベース接続確立エラーってくらいだからDBかな？

DBサーバを確認　※結局違かった

dbサーバにログインして、mysqlに入ってみる。

show processlist;でプロセスを確認してみる。うわ、なんか変なのがめっちゃいる。（スクショとるの忘れた）

変なプロセスが溜まったせいで重くなったとか？

service mysql stop

service mysql start

とりあえずmysql restartしてみた。

一瞬大丈夫になるけど、すぐに「データベース接続確立エラー」になる。

じゃあwebサーバかな？

webサーバへのログインができない。できてもめっちゃ重くてまともに動かない。

topコマンドで確認したところ、ロードアベレージが40を超えている…(普段のロードアベレージは0.2くらい）

t2.microインスタンスなのでいくらなんでもこれは異常。

httpがやたらとCPUを喰っているので、httpを停止させる。

service httpd stop

すぐに落ち着くロードアベレージ。これで落ち着いて確認ができそうだ。

もしこれで、sshもtopもstopもできないくらい重いならAWSコンソールから一旦再起動をさせる＋セキュリティグループで80ポートを閉じるのが良いと思う。

/var/log/http/error-log

確認。変なものは出てなさそうだ。

/var/log/http/access-log

確認。なんかやたら変なところへのアクセスがある。これだけで1ページ埋まるくらいでてる。

「xmlrpc.php」で検索したところ、xmlrpc.phpの脆弱性を利用したDDoS攻撃らしい。まじかよ。

対応法

原因は「xmlrpc.phpの脆弱性を利用したDDoS攻撃」だとわかったので、どんな対応をしたか。にうつります。

.htaccessにxmlrpc.phpへのアクセスを禁止する記述をする

.htaccessの内容を以下のように変更しました。これで、URL/xmlrpc.phpにアクセスしても0.0.0.0に飛ばされるようになる。

ぬいぐるみは管理コンソールからしか記事を書いていないので、これでOKでしたが、他のアプリ経由で記事を書いている方はこれだと自分のアクセスも弾かれてしまいます。こちらのページが詳しく解説していて分かりやすかったです。

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^xmlrpc\.php$ "http\:\/\/0\.0\.0\.0\/" [R=301,L]
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
<files wp-config.php>
order allow,deny
deny from all
</files>
# END WordPress