[00:19] feliz natal senhores do grande ubuntu-br [00:35] NETfellow: o/ [00:54] alguem [00:54] q entenda de nmap? [01:03] lalaou, Pedir ajuda assim é quase garantia de não conseguir. Explica logo de antemão qual é sua dúvida ou problema. Não espere alguém se manifestar. [01:03] [KurtKraut]: to sofrendo [01:04] atakes ddos na porta 7777 [01:04] quero identificar o ip q ta me atakando [01:04] pra denunciar [01:04] qual comando no nmap pra descobrir isso? [01:04] lalaou, o nmap não tem relação com isso. Você usa Windows? [01:04] KurtKraut: uso aki [01:05] mais o servidor q ta sofrendo [01:05] atakes é linux [01:05] debian [01:05] lalaou, Você pode preferir não responder, vou entender, mas por curiosidade, o que você roda nesse servidor para atrair ataque? [01:05] [KurtKraut]: servidor de samp [01:05] tem 1 pirralho de 12 anos aki [01:05] atakando [01:05] e se intuitando hacker [01:05] lalaou, o que é samp? [01:05] deve ter comprado algum vps [01:06] >KurtKraut<: no $$ pra ficar atacando [01:06] KurtKraut san andreas [01:06] multiplayer [01:06] gta [01:06] Ahhhh bacana. [01:06] o ping na porta 7777 [01:06] ta a 1500 ms [01:06] so q o servidor ta normal [01:06] ping no dos [01:06] responde 60 ms [01:06] oO [01:06] lalaou, Agora vamos para outra parte: como você chegou a conclusão da porta 7777, de onde tirou essa informação? [01:06] ele ta floodando so a porta [01:06] ja nao sei oq faço [01:06] lalaou, como mediu isso? [01:06] [KurtKraut]: pq [01:07] o servidor roda na 7777 [01:07] e no samp pra windows [01:07] cliente [01:07] mostra q o ping [01:07] lalaou, ah então você está presumindo, você não tem certeza que é nessa porta, certo? [01:07] ta 1500 ms [01:07] e tem ninguem on [01:07] tenho certeza [01:07] o fedelho ta aki no skype [01:07] falando q é ele q ta atakando [01:07] q é do anonymous [01:07] so kero saber o ip [01:07] pra acabar com a farra da criança [01:08] pra eu denunciar no DC responsavel pelo ip [01:08] lalaou, Primeira providência que você tem que tomar e vai por mim, tenho quase 20 anos disso daqui: não responda este rapaz. [01:08] Não xingue ele, não ameace ele, não interaja, não reaja, não dirija a palavra a ele. [01:08] kkkk [01:08] KurtKraut to chingando [01:08] esse pirralho [01:08] ta a 3 dias [01:08] pakotando [01:08] e vem no skype falar aqui é o Vipper do Anonymous [01:08] maluco [01:08] lalaou, Se seu servidor estivesse pegando fogo você colocaria gasolina? [01:08] keria saber onde esse fedelho mora [01:09] pra dar umas mokas nele [01:09] KurtKraut nao [01:09] mais ta foda 3 dias de atake [01:09] lalaou, Toda vez que você reage, demonstra que o que ele faz te incomoda, mais ele vai te atacar. [01:09] lalaou, Não tem desculpa. Se ele é pirralho haja você como o adulto. Ignore absolutamente qualquer interação com ele. [01:09] alguem quer pizza com borda de catupiri? [01:09] lalaou, Acredite em mim, eu sei o que estou fazendo/dizendo. [01:09] tou cheio 0.O [01:10] lalaou, segunda parte, com poderes de root digite: lsof -nPi | fgrep ":7777" [01:10] lalaou, vai listar todos os IPs se comunicando com teu servidor nessa porta [01:10] justamente [01:10] lsof acha tudo nas portas [01:10] parecido com netstat [01:11] lalaou, Mas mais importante que qualquer providência técnica que possamos tomar aqui a mais importante é você NÃO reagir. Está me entendendo? [01:11] root@debian:~# lsof -nPi | fgrep ":7777" [01:11] -bash: lsof: command not found [01:11] lalaou, apt-get install lsof [01:11] instalar ele [01:11] ¡!KurtKraut!¡: entendi [01:11] mais eu vou denunciar [01:11] a maquina do pirralho [01:11] eu duvido q isso é hackiado [01:11] ouxe [01:11] deve ter alugado 1 vps [01:11] ele deve ter varias [01:11] em algum canto [01:11] lalaou, Denunicar é uma coisa, alimentar o tesão do pirralho com o que ele está fazendo com você é outra :D [01:12] geralmente quem faz isso tem varios servers [01:12] lalaou, qualquer reação que ele vê, ouve ou lê que você dê a ele vai dar mais tesão nele e ele vai continuar atacando [01:12] porque se um cair ele fica com outro :/ [01:12] kernel duvido q tenha [01:12] pq o ping da ssh ta normal [01:12] so a porta do jogo ta lixo [01:12] ta 1500 de ping [01:12] eu pingo o ip da ssh no dos [01:12] da 60 ms de ping [01:13] KurtKraut queria saber [01:13] muda a porta do jogo [01:13] oq leva 1 fedelho [01:13] atakar 24 horas [01:13] :| [01:13] a porra de 1 jogo [01:13] diversao [01:14] lalaou, o que leva ele atacar 24h o seu servidor!? Os seus xingamentos :D [01:14] kkkkkkkk [01:14] root@debian:~# lsof -nPi | fgrep ":7777" [01:14] samp03svr 2758 root 4u IPv4 5375 0t0 UDP *:7777 [01:14] lalaou, poutz, é UDP! [01:14] Ihhhhh... agora vai ser difícil [01:15] user datagram protocol [01:15] KurtKraut, udp é imposivel de proteger? [01:15] lalaou, por ser UDP e não TCP não é mantida a relação de quais IPs estão se comunicando [01:15] :| [01:15] [KurtKraut]: pouts [01:15] lalaou, servidor roda nos EUA, certo? [01:15] pensei que tinha como saber [01:15] KurtKraut: sim [01:15] roda na fdcservers [01:15] FDC é boa [01:16] KurtKraut [01:16] ele nao ta offando a maquina [01:16] so ta floodando [01:16] a porta do jogo [01:16] lalaou, eu tô achando que é isso não hein [01:16] o ping na porta 7777 ta 1500 [01:16] é [01:16] po [01:16] vo te mandar [01:16] o ip [01:16] no pvt [01:16] lalaou, como você mediu esse 'ping na porta 7777'? [01:16] e tu pinga ai [01:17] [(KurtKraut)]: pelo client q conecta [01:17] pra jogar gta [01:17] aparece o ping la [01:17] do lado da quantidade de players on [01:17] no server [01:17] ta 1500 ms [01:17] e geral saindo [01:17] lalaou, Faz um teste para mim, reinicia o daemon do jogo, o software. [01:17] Esse 'samp03svr' [01:17] lalaou, e entra em seguida e me diz se o ping registrado no jogo continua alto [01:17] pronto [01:18] ping continua em 1800 ms [01:18] lalaou, ué, mediu rápido assim? [01:18] [KurtKraut]: sim [01:18] kkkkkkkkk [01:18] so da f5 [01:18] no client [01:18] olha no pvt [01:18] 1869 ms [01:18] lalaou, eu vi aqui [01:18] de ping [01:18] [KurtKraut]: 0 players [01:18] cara [01:18] eu acho q e bug desse samp [01:18] pra esse fdp [01:18] lalaou, yeap, por isso te pedi para reiniciar ele. [01:19] fuder o ping assim [01:19] lalaou, a FDC te deu mais de um IP para esse servidor? [01:19] Ou te deu um só? [01:19] so 1 [01:19] é vps [01:19] pior q o ip [01:19] ta normal [01:20] esse lixo q ta floodando a 7777 [01:20] o pior q nem adianta mudar [01:20] pq o nome dos servers sao listado [01:20] ai ele caça e pakota a outra porta [01:20] kernel ajude-me [01:20] Se o IP do servidor tá normal, o problema deve ser o cliente que não tá aguentando os pacotes. [01:20] KurtKraut vo mandar email [01:20] pra fdc [01:20] da 1 jeito [01:20] lalaou, Seu e-mail tem que ser bem fudamentado [01:21] eles vao perguntar o motivo desse ataque [01:21] por ter certeza [01:21] kernel pirralho [01:21] lalaou, e como ele está causando falha na aplicação e não na conectividade, a FDC não tem muito o que fazer por você [01:21] com falta de vagina [01:21] pode* [01:21] lalaou, Nas configurações do servidor tem como você retirar o anúncio do servidor de lista pública? [01:21] KurtKraut: po [01:21] ««KurtKraut»»: nao tem nenhum firewall q de pra proteger a porta disso? [01:21] KurtKraut nao tem [01:21] ja tentei isso [01:21] ele lista automatico [01:21] nao existe proteção para DDOS [01:21] q nem cs [01:21] Poutz, tosco isso hein? [01:22] sim [01:22] nem fala [01:22] mais o server [01:22] é maneirinho [01:22] ta batendo 70 a 120 players [01:22] on [01:22] cara [01:22] lalaou, existe só uma prova dos nove que é você fazer o seguinte: criar uma regra de firewall que somente o seu IP de sua casa pode se comunicar na porta 777 UDP com o servidor [01:22] eu vo enxer esse muleke de cascudos [01:22] Se você fizer isso e o ping voltar ao normal você terá provado que essa é a causa. [01:22] mais se eu fizer isso [01:22] ai ninguem entra [01:23] eu teria que descobrir as maquinas q ele usa [01:23] e por os ips [01:23] no firewall [01:23] seria o mais ideal [01:23] lalaou, Exato. [01:23] lalaou, Mas primeiro eu faria essa prova dos nove. [01:23] lalaou, você já parou de xingar ele? [01:23] |KurtKraut|: ja [01:23] hiuaheua [01:23] ele ta falando [01:23] sozinho [01:23] peça descupas [01:23] * KurtKraut acredita duvidando. [01:24] auieaeh [01:24] falando que vai derrubar tudo [01:24] kernel pra 1 pirralho de 12 anos? [01:24] sim [01:24] deve ter nem pelo no saco [01:24] ta loco [01:24] kernel, eu sou defensor da filosofia do fantasma [01:24] cara [01:24] Ninguém consegue lutar contra um fantasma. Ele não reage, você não sabe se seus golpes acertam ele. [01:24] servidor de game e 1 bosta [01:24] Depois de um tempo sem reação, o atacante se cansa e para. [01:24] KurtKraut, sou defensor da filosofia de que eu perdi [01:24] iuaheiuae [01:24] KurtKraut: Perfeito [01:25] lalaou, Faz a prova dos 9 aí enquanto eu filosofo aqui com algum amigo como a gente pode listar quem andou se comunicando em UDP com teu servidor [01:26] KurtKraut, voce é professor de filosofia ne [01:26] hahaha [01:26] KurtKraut disculpe minha newbice [01:26] mais como crio 1 regra no iptables? [01:26] ;~~ [01:26] kernel [01:26] só sei que nada sei [01:26] te dou 20 r$ [01:26] se der uns supapos [01:26] no fedelho [01:27] lalaou: http://www.vivaolinux.com.br/artigo/Manual-do-IPtables-Comentarios-e-sugestoes-de-regras [01:28] kernel, hahahaha... professor sim, de fiolosofia não, por que diz isso? [01:28] KurtKraut: Hau! [01:28] ggolden priguiça de ler agora [01:28] mais vlw pelo link [01:28] pqatsi, eu nunca tinha me dado conta desse detalhe, que com UDP é mais pedreira. [01:28] depois do 1 olhada [01:28] vo falar com a namorada no skype [01:28] KurtKraut: UDP é enjoado, mas wireshark resolve [01:28] lalaou, ahhhh filhão, tá com preguiça? Continua com seu servidor ferrado :P [01:29] e deixar o fedelho atakando [01:29] jaja ele se cansa [01:29] UAHuHauHauHAuHAuhAuhUA [01:29] opa [01:29] menos de 10 linhas e vem uma perola :P [01:29] pqatsi oq eu faço [01:29] lalaou, conversei com o Dr. pqatsi e ele me deu o diagnóstico [01:29] pra identificar o ip dele? [01:29] lalaou, você tem que usar o software wireshark para analisar o tráfego do servidor [01:29] wireshark monitora o trafego de red [01:29] lalaou, e usar o pcap para capturar, o wireshark para analisar [01:29] [KurtKraut]: um [01:29] lalaou, e pode se preparar que isso dá trabalho [01:29] Ou o tshark também [01:30] é trabalhoso [01:30] vish [01:30] lalaou, aí você verá o IP que o moleque usa e poderá bloqueá-lo [01:30] mais é melhor que a regra dos 7 [01:30] tshark == wireshark de linha de comando com sintaxe de tcpdump [01:30] ops [01:30] dos 9 [01:30] aIUEHuiAHEUAEUAE [01:30] KurtKraut é [01:30] melhor opcao e isso mesmo [01:30] asim eu denuncio a maquina dele [01:30] e acabo com o game boy dele [01:31] lalaou: a ideia é você capturar uma pá de pacotes (Uns 5 minutos?) e pegar o pcap. Dai abre no wireshark na sua máquina e pede as estatisticas. Algum IP vai sobressair [01:31] Sobre denuncia, se for NET, ou DDoS, meus pêsames, aqui não vira nada :P [01:31] Negocio é filtro de pacote no IP dele e fim de papo [01:31] oO [01:31] mais deve ser ddos [01:31] de vps [01:31] pqatsi se for vps dos state [01:31] duvido q nao bloqueiem a maquina [01:32] Se forem poucos IPs vc tem sorte, basta dar um drop no cara e mandar email pro abuse@ [01:32] (E ai vc pega o IP, olha no whois, etc, etc, etc) [01:32] e isso [01:32] lalaou, existe forma de você bloquear países inteiros na firewall. Você pode permitir que na porta UDP do jogo só possa conectar IP Brasileiro. Mas ainda assim não é 100% perfeito (eu diria que tem uns 75% de acerto) e dá trabalho fazer. [01:32] q pretendo fazer [01:32] pegar o ip [01:32] da whois [01:32] e mandar pro abuse@dodc [01:33] exato [01:33] KurtKraut [01:33] lalaou, mas é o tipo de coisa que se você fizer, vai ser uma "melhoria" para teu servidor para sempre. A todo momento existem mães parindo moleques script-kiddies. Só hoje o berçário está cheio deles [01:33] essa solucao [01:33] Lá fora dá certo. Aqui, se for com a Net, esquece :P [01:33] ai evitaria ataques [01:33] ja q maioria dos servidores pra ataque [01:33] esses fedelhos [01:33] usam de fora [01:33] e meus players são tudo br [01:33] Mano [01:34] GeoIP no seu server e reject pra IP de fora [01:34] simples [01:34] pqatsi [01:34] duvido q é net residencial [01:34] minha vps é da fdc [01:34] com banda larga do brasil [01:34] nao faria nem concegas la [01:34] ai ai, bobinho [01:34] lalaou, Como o ataqui é em Layer 7 dá para fazer ataque de banda larga residencial sim [01:34] A natureza do ataque é em embaralhar o jogo, não em saturar o link do servidor [01:34] por isso o ping ICMP está normal [01:35] tanto que em trafego vc n tem volume [01:35] ou nao deveria ter [01:35] mas o cara manda requests que o server demora pra responder, ai fode a parada [01:35] pow [01:35] isso desanima [01:35] server tava crescendo [01:35] 3 dias zuado [01:36] é, estudar é bão tb [01:36] esses caras que só jogam [01:36] * pqatsi corre pra chuchu [01:36] lalaou, com grandes poderes vêm grandes responsabilidades. No mundo do jogo, no GTA, você não é Deus? Então, para proteger esse mundo do demônio dá trabalho :D [01:36] ;~~ [01:36] pqatsi jogar é legal pow [01:36] eu trampo tb [01:37] mais fds e quando chego do trampo [01:37] é de lei da 1 jogada [01:37] lalaou, pense pelo lado positivo. Você ganhou um puta estímulo para estudar iptables :D [01:37] A física é implacável, já ouviu falar na lei do primeiro DDoS? [01:37] (Deu até saudade da USP agora :P) [01:37] nao [01:38] KurtKraut [01:38] Pois é, ela diz que na primeira chance que tiverem, você toma um DDoS na fuça, e se você não for um ASN - é melhor saber o que fazer [01:38] esse server de sa-mp [01:38] tb é meio bugado [01:38] pq isso ai o pessoal da team q coda [01:38] podia resolver [01:38] nunca vi do nada travar por meia duzia de ataques [01:38] Dá pra vc fazer marreta [01:39] lalaou, mas acho que isso é abadonware, não? Jogo antigo, não deve ter mais atualizações.... correto? [01:39] cria um wrapper que intercepta esse tipo de chamada e bloqueia o cara [01:39] e chamadas válidas ele repassa via socket ou outra porta local [01:39] Dá trampo, mas é uma forma de não depender dos devels [01:41] lalaou, olha o que achei: http://www.youtube.com/watch?v=LuE0wk8ESEw - um vídeo em que um russo que gosta de rap americano mostra como usar uma ferramenta de DoS desse servidor SAMP; Ele apenas digita o IP do alvo e ploft, pronto, o servidor senta e chora. [01:41] KurtKraut tem atualizacoes [01:41] direto [01:41] tanto que o pacote que rodo [01:41] é proprio pra linux [01:41] www.sa-mp.com [01:41] LOL, adoro protocoloz bugados [01:41] o site do desenvolvedor [01:42] binario fechado? que medonho [01:42] pqatsi [01:42] o click 21 [01:42] tinha servidor disso [01:42] lalaou, esse post deve te ajudar: http://forum.sa-mp.com/showthread.php?t=452159 [01:42] e nunca vi off [01:42] concerteza criaram alguma regra [01:42] Uia, uma brasnet! [01:42] * pqatsi corre [01:43] lalaou: então, provavelmente kernel com l7 e uma pá de regras. Mas tem que saber minimamente o protocolo do programa [01:44] KurtKraut [01:44] vo instalar esse firewall [01:44] ai [01:44] agora, ve se da jeito [01:44] lalaou, esse csf é bom, eu já usei [01:44] Ele faz um quintilhão de perguntas na conf, dá para configurar muita coisa [01:44] e ele faz o GeoIP para você [01:44] (Não lembro se ele faz por porta) [01:44] GeoIP é coisa linda do capeta! [01:47] lalaou, pqatsi, pelo o que estou vendo aqui, é fácil atacar esse daemon: http://www.youtube.com/watch?v=j__IjMNaipM [01:47] lalaou, pqatsi, se for esse tipo de ataque que o moleque está usando o GeoIP cai por terra, porque ele estará atacando de casa. [01:47] LEMBRANDO: Caso quiser bloquear IPS você pode dar csf -d IP assim bloqueará conexões de um determinado IP, no meu caso, eu recebia ataques de botnets estrangeiros, então bloquei todas faixas de IPS vindo de fora do Brasil e não sofri mais ataques. Porém, tem um detalhe, ao bloquear IPS estrangeiros seu servidor só poderá ser acessado por gente brasileira, então, bastante cuidado nessa part [01:47] mas ja ajuda kurt [01:47] Portas a menos são sempre problemas a menos [01:48] embora esse nao seja o pior problema dele. [01:48] pqatsi, Sim, já ajuda e aí para o restante o lalaou faz o que ele colou aqui: identifica todo o dia o IP que o moleque usa e adiciona na lista de IPs bloqueados [01:48] KurtKraut [01:48] nego faz isso com ssh, pq n daria certo com isso ai [01:48] pra add ip nesse firewall [01:48] csf -d IP [01:48] tenke por ip todo [01:48] ou posso por a range toda? [01:49] tipo bloquear 72.x.x.x [01:49] 208.x.x.x ? [01:49] range? Ta querendo colocar um /16 ou um /12? [01:49] Grosso [01:49] lalaou, Para bloquear range você tem que usar a notação CIDR... que termina em /XX sendo XX um número. Conhece isso? [01:49] (KurtKraut)~%: nop [01:49] keria bloquear tudo [01:49] tipo [01:50] 208.x.x.x 204.x.x.x [01:50] bloqueia so por geoip [01:50] so deixar 200.x.x.x 201.x.x.x e 189.x.x.x. [01:50] que sao brs [01:50] ALTO LA! [01:50] pqatsi [01:50]