Zabezpieczenie ts3

[DaFFX 14]

Wotajcie

Mam pewny problem i pytanie. Mam serwer dedykowany w ovh i zmagam sie z atakami exploitem 'ts3fuck' Czy istnieje możliwość wyciecia tego softem albo fw od ovh?

[Pan Kot 1535]

Tak, np. http://www.mpcforum.pl/topic/1492922-limitowanie-ts3fucka-ts3dropera/?do=findComment&comment=12643610

Edytowano Luty 2, 2017 przez Archi (zobacz historię edycji)

[DaFFX 14]

Moglbys troche mnie nakierowac? Blokując np przez iptables na zasadzie hex i limitujac liczbe polaczen na sekunde nadal da sie floodowac ten port.

@up mam to zastosowane

Edytowano Luty 2, 2017 przez DaFFX (zobacz historię edycji)

[Pan Kot 1535]

Da się bo zabawki do wywalania TS3 nie należą do grupy rocket science i nie załatasz firewallem dziur w protokole. Możesz niwelować najbardziej znane ataki bazując np. na nagłówkach pakietów i ich typów, ale jedyne prawidłowe rozwiązanie to przeanalizować cały protokół UDP używany przez TSa i napisać regułki, które będą wpuszczać tylko prawidłowy ruch sprecyzowany z góry, a nie blokować nieprawidłowy który wysyłają exploity.

 

Problem jest taki, że i to może nic nie dać jeśli exploit wykorzystuje specyficzną kombinację prawidłowego ruchu, wtedy musiałbyś się bawić w precyzowanie np. ile tego prawidłowego ruchu może być w danej sekundzie/minucie, i tak dalej.

 

TL;DR - Zabawa w kotka i myszkę. Po 5 latach hostowania serwera TS3 wyniosłem się z tego gównianego softu i zastanawiam się tylko czemu nie zrobiłem tego wcześniej.

 

Nikt Ci na tacy takich rozwiązań nie da - osoby, które umieją takie regułki pisać swoje zarabiają i zabezpieczają największe serwisy hostujące TSa. Ja swoje napisałem, i sprzedałem na wyłączność jednej firmie podpisując NDA .

Edytowano Luty 2, 2017 przez Archi (zobacz historię edycji)

[DaFFX 14]

Da się bo zabawki do wywalania TS3 nie należą do grupy rocket science i nie załatasz firewallem dziur w protokole. Możesz niwelować najbardziej znane ataki bazując np. na nagłówkach pakietów i ich typów, ale jedyne prawidłowe rozwiązanie to przeanalizować cały protokół UDP używany przez TSa i napisać regułki, które będą wpuszczać tylko prawidłowy ruch sprecyzowany z góry, a nie blokować nieprawidłowy który wysyłają exploity.

 

Problem jest taki, że i to może nic nie dać jeśli exploit wykorzystuje specyficzną kombinację prawidłowego ruchu, wtedy musiałbyś się bawić w precyzowanie np. ile tego prawidłowego ruchu może być w danej sekundzie/minucie, i tak dalej.

 

TL;DR - Zabawa w kotka i myszkę. Po 5 latach hostowania serwera TS3 wyniosłem się z tego gównianego softu i zastanawiam się tylko czemu nie zrobiłem tego wcześniej.

Wlasnie mam problem z blokowaniem tego bo ataki posiadają randomowe ciagi znakow generowane co kazdy pakiet :/

[Pan Kot 1535]

Wlasnie mam problem z blokowaniem tego bo ataki posiadają randomowe ciagi znakow generowane co kazdy pakiet :/

 

I dlatego mówię, że bez perfekcyjnej znajomości protokołu TS3 i tego co robi w swoim UDP nigdzie nie zajedziesz. Możesz co najwyżej wykupić serwer gdzieś gdzie dostajesz zabezpieczenia z góry i nie są to typowe anty-ddosy, a konkretne filtrowanie L7.

 

Nie umiem niestety doradzić "gdzie", bo od zawsze hostowałem się tylko na swoich blachach i kleiłem własne rozwiązania - być może ktoś inny pomoże. Chyba Spoofy z multigaming.pl coś klei.

 

BTW, jedną z przyczyn dla których rzuciłem ten soft w cholerę jest właśnie m.in to, że znudziło mi się pisanie własnego firewalla, który naprawia to czego soft sam nie potrafi.

Edytowano Luty 2, 2017 przez Archi (zobacz historię edycji)

[DaFFX 14]

Da się bo zabawki do wywalania TS3 nie należą do grupy rocket science i nie załatasz firewallem dziur w protokole. Możesz niwelować najbardziej znane ataki bazując np. na nagłówkach pakietów i ich typów, ale jedyne prawidłowe rozwiązanie to przeanalizować cały protokół UDP używany przez TSa i napisać regułki, które będą wpuszczać tylko prawidłowy ruch sprecyzowany z góry, a nie blokować nieprawidłowy który wysyłają exploity.

 

Problem jest taki, że i to może nic nie dać jeśli exploit wykorzystuje specyficzną kombinację prawidłowego ruchu, wtedy musiałbyś się bawić w precyzowanie np. ile tego prawidłowego ruchu może być w danej sekundzie/minucie, i tak dalej.

 

TL;DR - Zabawa w kotka i myszkę. Po 5 latach hostowania serwera TS3 wyniosłem się z tego gównianego softu i zastanawiam się tylko czemu nie zrobiłem tego wcześniej.

 

Nikt Ci na tacy takich rozwiązań nie da - osoby, które umieją takie regułki pisać swoje zarabiają i zabezpieczają największe serwisy hostujące TSa. Ja swoje napisałem, i sprzedałem na wyłączność jednej firmie podpisując NDA .

 

 

Nie chcę na tacy gotowca który w pełni mnie zabezpieczy, analizuję ruch na porcie serwera i z łatwością byłoby wyciąć ruch ze starego 'ts3fuck', ale tutaj każdy pakiet wygląda inaczej i nic się nie powtarza, to jest ten problem. Co prawda, mogę odciąć kraje typu chiny/usa itd, ale mam użytkowników z nich i taka opcja to ostateczność.

 

Aktualnie jedyne czym mogę skojarzyć większość ataków ze sobą to tylko początki,

a prawidłowe,

[SchErk 16]

 

 

Nie chcę na tacy gotowca który w pełni mnie zabezpieczy, analizuję ruch na porcie serwera i z łatwością byłoby wyciąć ruch ze starego 'ts3fuck', ale tutaj każdy pakiet wygląda inaczej i nic się nie powtarza, to jest ten problem. Co prawda, mogę odciąć kraje typu chiny/usa itd, ale mam użytkowników z nich i taka opcja to ostateczność.

 

Aktualnie jedyne czym mogę skojarzyć większość ataków ze sobą to tylko początki, fckts3.png

a prawidłowe,

fckts32.png

 

A nie lepiej będzie zablokować cały ruch dla portu 9987 i odblokować go przy pomocy modułu "geoip" (chodzi tu o zezwolenie połączeń na port 9987 dla wybranych krajów) do iptables'a?

 

np.

 

iptables -I INPUT -p udp --dport 9987 -m geoip --src-cc PL,DE -j ACCEPT

iptables -A INPUT -p udp --dport 9987 -j REJECT

 

 

Edytowano Luty 2, 2017 przez SchErk (zobacz historię edycji)

[DaFFX 14]

 

A nie lepiej będzie zablokować cały ruch dla portu 9987 i odblokować go przy pomocy modułu "geoip" (chodzi tu o zezwolenie połączeń na port 9987 dla wybranych krajów) do iptables'a?

 

np.

 

iptables -I INPUT -p udp --dport 9987 -m geoip --src-cc PL,DE -j ACCEPT

iptables -A INPUT -p udp --dport 9987 -j REJECT

 

 

 

Jak pisałem wyżej, to jest rozwiązanie ostateczne. Wielu moich "użytkowników" korzysta z vpnów lub po prostu przesiaduje w innych krajach, więc jako "łagodne" rozwiązanie takie coś odpada.

[SchErk 16]

Na sofcie nie ma sensu tego wycinać, gdyż szkoda tyrać maszynę i CPU.

Softowe zapory dobre są jedynie do ograniczania, ale przy większym ruchu i tak serwer tego nie wytrzyma.

 

Jedynie musisz korzystać z uprzejmości dostawcy i pomocy przy filtrowaniu ataków aplikacyjnych. OVH oferuje domyślnie w konfiguracji "Firewall Network" tylko 20 regułek, które nie pozwolą tobie zbytni poszaleć w tym temacie, ale po wprowadzeniu "Anty-DDOS GAME" ovh filtruje aplikacje takie jak np. ts3, gta:sa, rust.

 

Radziłbym przejść np. na serwer z data center hosteam.pl lub serwer z ovh game (przy pomocy reseller'a).

 

[adelgazar230 0]

np. też https://blog-adelgazar.com