Chống DDOS với iptables

 Lang thang trên mạng mình tìm được script này chống DDOS của Ruslan Abuzant

#!/bin/sh
#------------------------------------------------------------------------------
#
# File: SIG-antiDDoS.sh
#
# Compiler: Ruslan Abuzant <ruslan@abuzant.com>
#           PS> Collected From Lots Of Sources
#           PS> Credits: Real Authors (no idea)
#
# URL: http://www.liteforex.org/
#
# License: GNU GPL (version 2, or any later version).
#
# Configuration.
#------------------------------------------------------------------------------

# For debugging use iptables -v.
IPTABLES="/sbin/iptables"
IP6TABLES="/sbin/ip6tables"
MODPROBE="/sbin/modprobe"
RMMOD="/sbin/rmmod"
ARP="/usr/sbin/arp"


# Logging options.
#------------------------------------------------------------------------------
LOG="LOG --log-level debug --log-tcp-sequence --log-tcp-options"
LOG="$LOG --log-ip-options"


# Defaults for rate limiting
#------------------------------------------------------------------------------
RLIMIT="-m limit --limit 3/s --limit-burst 8"


# Unprivileged ports.
#------------------------------------------------------------------------------
PHIGH="1024:65535"
PSSH="1000:1023"


# Load required kernel modules
#------------------------------------------------------------------------------
$MODPROBE ip_conntrack_ftp
$MODPROBE ip_conntrack_irc


# Mitigate ARP spoofing/poisoning and similar attacks.
#------------------------------------------------------------------------------
# Hardcode static ARP cache entries here
# $ARP -s IP-ADDRESS MAC-ADDRESS


# Kernel configuration.
#------------------------------------------------------------------------------

# Disable IP forwarding.
# On => Off = (reset)
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 0 > /proc/sys/net/ipv4/ip_forward

# Enable IP spoofing protection
for i in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $i; done

# Protect against SYN flood attacks
echo 1 > /proc/sys/net/ipv4/tcp_syncookies

# Ignore all incoming ICMP echo requests
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all

# Ignore ICMP echo requests to broadcast
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# Log packets with impossible addresses.
for i in /proc/sys/net/ipv4/conf/*/log_martians; do echo 1 > $i; done

# Don't log invalid responses to broadcast
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

# Don't accept or send ICMP redirects.
for i in /proc/sys/net/ipv4/conf/*/accept_redirects; do echo 0 > $i; done
for i in /proc/sys/net/ipv4/conf/*/send_redirects; do echo 0 > $i; done

# Don't accept source routed packets.
for i in /proc/sys/net/ipv4/conf/*/accept_source_route; do echo 0 > $i; done

# Disable multicast routing
for i in /proc/sys/net/ipv4/conf/*/mc_forwarding; do echo 0 > $i; done

# Disable proxy_arp.
for i in /proc/sys/net/ipv4/conf/*/proxy_arp; do echo 0 > $i; done

# Enable secure redirects, i.e. only accept ICMP redirects for gateways
# Helps against MITM attacks.
for i in /proc/sys/net/ipv4/conf/*/secure_redirects; do echo 1 > $i; done

# Disable bootp_relay
for i in /proc/sys/net/ipv4/conf/*/bootp_relay; do echo 0 > $i; done

# Default policies.
#------------------------------------------------------------------------------

# Drop everything by default.
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT DROP

# Set the nat/mangle/raw tables' chains to ACCEPT
$IPTABLES -t nat -P PREROUTING ACCEPT
$IPTABLES -t nat -P OUTPUT ACCEPT
$IPTABLES -t nat -P POSTROUTING ACCEPT

$IPTABLES -t mangle -P PREROUTING ACCEPT
$IPTABLES -t mangle -P INPUT ACCEPT
$IPTABLES -t mangle -P FORWARD ACCEPT
$IPTABLES -t mangle -P OUTPUT ACCEPT
$IPTABLES -t mangle -P POSTROUTING ACCEPT

# Cleanup.
#------------------------------------------------------------------------------

# Delete all
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F

# Delete all
$IPTABLES -X
$IPTABLES -t nat -X
$IPTABLES -t mangle -X

# Zero all packets and counters.
$IPTABLES -Z
$IPTABLES -t nat -Z
$IPTABLES -t mangle -Z

# Completely disable IPv6.
#------------------------------------------------------------------------------

# Block all IPv6 traffic
# If the ip6tables command is available, try to block all IPv6 traffic.
if test -x $IP6TABLES; then
# Set the default policies
# drop everything
$IP6TABLES -P INPUT DROP 2>/dev/null
$IP6TABLES -P FORWARD DROP 2>/dev/null
$IP6TABLES -P OUTPUT DROP 2>/dev/null

# The mangle table can pass everything
$IP6TABLES -t mangle -P PREROUTING ACCEPT 2>/dev/null
$IP6TABLES -t mangle -P INPUT ACCEPT 2>/dev/null
$IP6TABLES -t mangle -P FORWARD ACCEPT 2>/dev/null
$IP6TABLES -t mangle -P OUTPUT ACCEPT 2>/dev/null
$IP6TABLES -t mangle -P POSTROUTING ACCEPT 2>/dev/null

# Delete all rules.
$IP6TABLES -F 2>/dev/null
$IP6TABLES -t mangle -F 2>/dev/null

# Delete all chains.
$IP6TABLES -X 2>/dev/null
$IP6TABLES -t mangle -X 2>/dev/null

# Zero all packets and counters.
$IP6TABLES -Z 2>/dev/null
$IP6TABLES -t mangle -Z 2>/dev/null
fi

# Custom user-defined chains.
#------------------------------------------------------------------------------

# LOG packets, then ACCEPT.
$IPTABLES -N ACCEPTLOG
$IPTABLES -A ACCEPTLOG -j $LOG $RLIMIT --log-prefix "ACCEPT "
$IPTABLES -A ACCEPTLOG -j ACCEPT

# LOG packets, then DROP.
$IPTABLES -N DROPLOG
$IPTABLES -A DROPLOG -j $LOG $RLIMIT --log-prefix "DROP "
$IPTABLES -A DROPLOG -j DROP

# LOG packets, then REJECT.
# TCP packets are rejected with a TCP reset.
$IPTABLES -N REJECTLOG
$IPTABLES -A REJECTLOG -j $LOG $RLIMIT --log-prefix "REJECT "
$IPTABLES -A REJECTLOG -p tcp -j REJECT --reject-with tcp-reset
$IPTABLES -A REJECTLOG -j REJECT

# Only allows RELATED ICMP types
# (destination-unreachable, time-exceeded, and parameter-problem).
# TODO: Rate-limit this traffic?
# TODO: Allow fragmentation-needed?
# TODO: Test.
$IPTABLES -N RELATED_ICMP
$IPTABLES -A RELATED_ICMP -p icmp --icmp-type destination-unreachable -j ACCEPT
$IPTABLES -A RELATED_ICMP -p icmp --icmp-type time-exceeded -j ACCEPT
$IPTABLES -A RELATED_ICMP -p icmp --icmp-type parameter-problem -j ACCEPT
$IPTABLES -A RELATED_ICMP -j DROPLOG

# Make It Even Harder To Multi-PING
$IPTABLES  -A INPUT -p icmp -m limit --limit 1/s --limit-burst 2 -j ACCEPT
$IPTABLES  -A INPUT -p icmp -m limit --limit 1/s --limit-burst 2 -j LOG --log-prefix PING-DROP:
$IPTABLES  -A INPUT -p icmp -j DROP
$IPTABLES  -A OUTPUT -p icmp -j ACCEPT

# Only allow the minimally required/recommended parts of ICMP. Block the rest.
#------------------------------------------------------------------------------

# TODO: This section needs a lot of testing!

# First, drop all fragmented ICMP packets (almost always malicious).
$IPTABLES -A INPUT -p icmp --fragment -j DROPLOG
$IPTABLES -A OUTPUT -p icmp --fragment -j DROPLOG
$IPTABLES -A FORWARD -p icmp --fragment -j DROPLOG

# Allow all ESTABLISHED ICMP traffic.
$IPTABLES -A INPUT -p icmp -m state --state ESTABLISHED -j ACCEPT $RLIMIT
$IPTABLES -A OUTPUT -p icmp -m state --state ESTABLISHED -j ACCEPT $RLIMIT

# Allow some parts of the RELATED ICMP traffic, block the rest.
$IPTABLES -A INPUT -p icmp -m state --state RELATED -j RELATED_ICMP $RLIMIT
$IPTABLES -A OUTPUT -p icmp -m state --state RELATED -j RELATED_ICMP $RLIMIT

# Allow incoming ICMP echo requests (ping), but only rate-limited.
$IPTABLES -A INPUT -p icmp --icmp-type echo-request -j ACCEPT $RLIMIT

# Allow outgoing ICMP echo requests (ping), but only rate-limited.
$IPTABLES -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT $RLIMIT

# Drop any other ICMP traffic.
$IPTABLES -A INPUT -p icmp -j DROPLOG
$IPTABLES -A OUTPUT -p icmp -j DROPLOG
$IPTABLES -A FORWARD -p icmp -j DROPLOG

# Selectively allow certain special types of traffic.
#------------------------------------------------------------------------------

# Allow loopback interface to do anything.
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A OUTPUT -o lo -j ACCEPT

# Allow incoming connections related to existing allowed connections.
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow outgoing connections EXCEPT invalid
$IPTABLES -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Miscellaneous.
#------------------------------------------------------------------------------

# We don't care about Milkosoft, Drop SMB/CIFS/etc..
$IPTABLES -A INPUT -p tcp -m multiport --dports 135,137,138,139,445,1433,1434 -j DROP
$IPTABLES -A INPUT -p udp -m multiport --dports 135,137,138,139,445,1433,1434 -j DROP

# Explicitly drop invalid incoming traffic
$IPTABLES -A INPUT -m state --state INVALID -j DROP

# Drop invalid outgoing traffic, too.
$IPTABLES -A OUTPUT -m state --state INVALID -j DROP

# If we would use NAT, INVALID packets would pass - BLOCK them anyways
$IPTABLES -A FORWARD -m state --state INVALID -j DROP

# PORT Scanners (stealth also)
$IPTABLES -A INPUT -m state --state NEW -p tcp --tcp-flags ALL ALL -j DROP
$IPTABLES -A INPUT -m state --state NEW -p tcp --tcp-flags ALL NONE -j DROP

# TODO: Some more anti-spoofing rules? For example:
# $IPTABLES -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
# $IPTABLES -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
# $IPTABLES -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
$IPTABLES -N SYN_FLOOD
$IPTABLES -A INPUT -p tcp --syn -j SYN_FLOOD
$IPTABLES -A SYN_FLOOD -m limit --limit 2/s --limit-burst 6 -j RETURN
$IPTABLES -A SYN_FLOOD -j DROP

# TODO: Block known-bad IPs (see http://www.dshield.org/top10.php).
# $IPTABLES -A INPUT -s INSERT-BAD-IP-HERE -j DROPLOG

# Drop any traffic from IANA-reserved IPs.
#------------------------------------------------------------------------------

$IPTABLES -A INPUT -s 0.0.0.0/7 -j DROP
$IPTABLES -A INPUT -s 2.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 5.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 7.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 10.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 23.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 27.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 31.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 36.0.0.0/7 -j DROP
$IPTABLES -A INPUT -s 39.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 42.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 49.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 50.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 77.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 78.0.0.0/7 -j DROP
$IPTABLES -A INPUT -s 92.0.0.0/6 -j DROP
$IPTABLES -A INPUT -s 96.0.0.0/4 -j DROP
$IPTABLES -A INPUT -s 112.0.0.0/5 -j DROP
$IPTABLES -A INPUT -s 120.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 169.254.0.0/16 -j DROP
$IPTABLES -A INPUT -s 172.16.0.0/12 -j DROP
$IPTABLES -A INPUT -s 173.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 174.0.0.0/7 -j DROP
$IPTABLES -A INPUT -s 176.0.0.0/5 -j DROP
$IPTABLES -A INPUT -s 184.0.0.0/6 -j DROP
$IPTABLES -A INPUT -s 192.0.2.0/24 -j DROP
$IPTABLES -A INPUT -s 197.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 198.18.0.0/15 -j DROP
$IPTABLES -A INPUT -s 223.0.0.0/8 -j DROP
$IPTABLES -A INPUT -s 224.0.0.0/3 -j DROP

# Selectively allow certain outbound connections, block the rest.
#------------------------------------------------------------------------------

# Allow outgoing DNS requests. Few things will work without this.
$IPTABLES -A OUTPUT -m state --state NEW -p udp --dport 53 -j ACCEPT
$IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT

# Allow outgoing HTTP requests. Unencrypted, use with care.
$IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT

# Allow outgoing HTTPS requests.
$IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 443 -j ACCEPT

# Allow outgoing SMTPS requests. Do NOT allow unencrypted SMTP!
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 465 -j ACCEPT

# Allow outgoing "submission" (RFC 2476) requests.
$IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 587 -j ACCEPT

# Allow outgoing POP3S requests.
$IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 995 -j ACCEPT

# Allow outgoing SSH requests.
$IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT

# Allow outgoing FTP requests. Unencrypted, use with care.
$IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 21 -j ACCEPT

# Allow outgoing NNTP requests. Unencrypted, use with care.
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 119 -j ACCEPT

# Allow outgoing NTP requests. Unencrypted, use with care.
# $IPTABLES -A OUTPUT -m state --state NEW -p udp --dport 123 -j ACCEPT

# Allow outgoing IRC requests. Unencrypted, use with care.
# Note: This usually needs the ip_conntrack_irc kernel module.
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 6667 -j ACCEPT

# Allow outgoing requests to various proxies. Unencrypted, use with care.
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 8080 -j ACCEPT
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 8090 -j ACCEPT

# Allow outgoing DHCP requests. Unencrypted, use with care.
# TODO: This is completely untested, I have no idea whether it works!
# TODO: I think this can be tightened a bit more.
$IPTABLES -A OUTPUT -m state --state NEW -p udp --sport 67:68 --dport 67:68 -j ACCEPT

# Allow outgoing CVS requests. Unencrypted, use with care.
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 2401 -j ACCEPT

# Allow outgoing MySQL requests. Unencrypted, use with care.
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 3306 -j ACCEPT

# Allow outgoing SVN requests. Unencrypted, use with care.
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 3690 -j ACCEPT

# Allow outgoing PLESK requests. Unencrypted, use with care.
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 8443 -j ACCEPT

# Allow outgoing Tor (http://tor.eff.org) requests.
# Note: Do _not_ use unencrypted protocols over Tor (sniffing is possible)!
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 9001 -j ACCEPT
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 9002 -j ACCEPT
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 9030 -j ACCEPT
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 9031 -j ACCEPT
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 9090 -j ACCEPT
# $IPTABLES -A OUTPUT -m state --state NEW -p tcp --dport 9091 -j ACCEPT

# Allow outgoing OpenVPN requests.
$IPTABLES -A OUTPUT -m state --state NEW -p udp --dport 1194 -j ACCEPT

# TODO: ICQ, MSN, GTalk, Skype, Yahoo, etc...

# Selectively allow certain inbound connections, block the rest.
#------------------------------------------------------------------------------

# Allow incoming DNS requests.
$IPTABLES -A INPUT -m state --state NEW -p udp --dport 53 -j ACCEPT
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT

# Allow incoming HTTP requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT

# Allow incoming HTTPS requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 443 -j ACCEPT

# Allow incoming POP3 requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 110 -j ACCEPT

# Allow incoming IMAP4 requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 143 -j ACCEPT

# Allow incoming POP3S requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 995 -j ACCEPT

# Allow incoming SMTP requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 25 -j ACCEPT

# Allow incoming SSH requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT

# Allow incoming FTP requests.
$IPTABLES -A INPUT -m state --state NEW -p tcp --dport 21 -j ACCEPT

# Allow incoming NNTP requests.
# $IPTABLES -A INPUT -m state --state NEW -p tcp --dport 119 -j ACCEPT

# Allow incoming MySQL requests.
# $IPTABLES -A INPUT -m state --state NEW -p tcp --dport 3306 -j ACCEPT

# Allow incoming PLESK requests.
# $IPTABLES -A INPUT -m state --state NEW -p tcp --dport 8843 -j ACCEPT

# Allow incoming BitTorrent requests.
# TODO: Are these already handled by ACCEPTing established/related traffic?
# $IPTABLES -A INPUT -m state --state NEW -p tcp --dport 6881 -j ACCEPT
# $IPTABLES -A INPUT -m state --state NEW -p udp --dport 6881 -j ACCEPT

# Allow incoming nc requests.
# $IPTABLES -A INPUT -m state --state NEW -p tcp --dport 2030 -j ACCEPT
# $IPTABLES -A INPUT -m state --state NEW -p udp --dport 2030 -j ACCEPT

# Explicitly log and reject everything else.
#------------------------------------------------------------------------------
# Use REJECT instead of REJECTLOG if you don't need/want logging.
$IPTABLES -A INPUT -j REJECTLOG
$IPTABLES -A OUTPUT -j REJECTLOG
$IPTABLES -A FORWARD -j REJECTLOG


#------------------------------------------------------------------------------
# Testing the firewall.
#------------------------------------------------------------------------------

# You should check/test that the firewall really works, using
# iptables -vnL, nmap, ping, telnet, ...

# Exit gracefully.
#------------------------------------------------------------------------------

    exit 0

NTFS Alternate data streams (ADS)

NTFS ADS bắt đầu có từ Windown NT 3.1 để biết về nó ta phải phải có cái nhìn trong thế giới Macintosh.như chúng ta biết Macintosh tập tin thường không có phần mở rộng.Nhưng hệ điều hành vẫn nhận biết được ai đang sử dụng ứng dụng gì và thực thi nó.Điều này giải thích Macintosh có 2 nhánh (forks).Có nguồn tài nguyên chức thông tin này.Trong nhánh dữ liệu này chứa các mã thực thi chính nó.Khi Win NT 3.1 ra đời nó hỗ trợ khả năng tương thích cho Appletalk có nghĩa người sử dụng NT và MacOS có thể tra đổi dữ liệu với nhau.Tất nhiên điều nay gây ra một vấn để , vì không có cách nào để sao chép các nhánh dữ liệu và nhánh tài nguyên trực tiếp lên hệ thống Win NT.Nhưng có thể sử dụng một stream riêng biệt.nói cách khác dữ diệu và dòng tài nguyên không chức trên một đĩa vật lý.Microsoft đã thực hiện NTFS ADS điều này có nghĩ là NT sẽ coi resource forks như một dòng dũ liệu khác và có thể sao chép với tập tin và máy tinh Macintosh
Với Windows NT 4, ADS trên một vị trí quan trọng trong trái tim của hệ điều hành NT.
NT 4 bắt đầu hỗ trợ Liên kết cứng (Liên kết cứng là một cái gì đó từ thế giới Unix, đó là khả năng "bản đồ" một cách hợp lý một tập tin hoặc thư mục với nhau.VD Ví dụ,  c:\mymusic\mp3\alex\rock\heavy\2002 có thể được ánh xạ đến C:\Heavy Rock 2002. Trong khi điều này có vẻ giống như một phím tắt, phím tắt là một tập tin thêm rằng Bạn có thể không trực tiếp làm các hoạt động tập tin trên một
shortcut, và bạn không thể sử dụng nó tại dấu nhắc lệnh.Một liên kết cứng là một shortcut vật lý "
") và một số công ty chống virus bắt đầu viết tổng kiểm tra đặc biệt
ADS. Tuy nhiên, không chính thức API đã được thực hiện cho các Liên kết cứng, và kiểm traADS . thực sự hiếm.  Điều này thay đổi trong Windows 2000.
Windows 2000 đã mang lại một số tính năng mới để NTFS, các file thưa thớt, tóm tắt
thông tin dữ liệu, ACL và File hệ thống mã hóa, và dễ dàng sử dụng API để
create hard links. tạo liên kết cứng. Tất cả các thông tin này được lưu trữ trong ADS của một tập tin. For Đối với Ví dụ, kích chuột phải vào một bộ phim và đi đến tài sản cho phép bạn nhập . các thông tin như "Tác giả, Tiêu đề, từ khoá". Thông tin này không được viết bằng tập tin riêng của mình, nhưng trong một ADS. Mã hóa một tập tin cũng sẽ tạo ra một đặc biệt ADS.  Kể từ khi ADS được nhiều người biết đến, một số virus cũng được biết đến để khai thác ADS. ? Tại sao?  Bởi vì Microsoft đã để lại rất nhiều lỗ hổng trong việc thực hiện.
   

Giao thức xác thực CHAP (Challenge-handshake authentication protocol)

Tạm dịch là giao thức xác thực thử thách-bắt tay.Tại sao lại thử thách - bắt tay.Ta sẽ đi tìm hiểu từng khái niệm để làm rõ giáo thức này vậy
Chap là mô hình xác thực dựa trên username và password.Ta xét trường hợp 2 router sử dụng giao thức xác thực Chap.
Router 1 và Router 2 có cùng một password chung được thiết lập trước đó.Router 1 muốn kết nối đến router 2 thì nó phải chứng minh được rằng nó nắm bí mật (chính là password) giữa chúng.Khác với giao thức PAP truyền pass dưới dạng clear text .Giao thức Chap truyên một giá trị hash mà giá trị đầu vào là password và các trường khác .Để vượt qua được thử thách thì giá trị hash sau khi tính toán của 2 bên phải giống nhau
 Các bước như sau
Bước 1: Router1 Gửi yêu cầu kết nối tới Router 2

Bước 2: Router2 sẽ gửi lại Router 1 một bản tin có các trường chính sau đây:
01 - Xác định loại bản tin là: challenge
ID - Xác định phiên đó - trường này có tác dụng chống hình thức tấn công gửi lại khi bên thứ 3 bắt được gói tin
random - số ngẫu nhiên sinh bởi Router 2
Router2 - Tên xác thực của nó - Tên của router 2 .tên này sẽ có trong cơ sở dữ liệu của router 1 và tương ứng sẽ là password kèm theo user này.
Bước 3: Route1 nhận được bản tin challenge(code=01) sẽ xử lý như sau:
Lấy ID, random ở bản tin challenge gửi sang, rồi căn cứ vào tên xác thực là router2 để tìm ra password xác thực. - lúc này router 1 đã có các thông tin như : ID , số ngẫu nhiên và password tương ứng với username router2-
3 thông số đó được lấy làm đầu vào hàm băm MD5 Hash. Đầu ra là một giá trị gọi là số hassh.
Sau khi xử lý xong, Router 1 sẽ gửi lại Router2 một bản tin có code =02, gọi là bản tin response.
Trong bản tin này có 2 trường vẫn giữ nguyên giá trị như bản tin challenge là: ID và random. Ngoài ra còn có thêm kết quả của hàm hash, tên xác thực của Router1 cũng được gửi đi.
Bước 4: Router 2 nhận được kết bản tin response từ Router1. Nó tìm kiếm password tương ứng với username mà nó nhận được.
Sau đó nó cũng tính toán giá trị MD5 Hash với 3 thông số đầu vào: ID, random và password vừa tim.
Cuối cùng nó so sánh giá trị 2 hàm Hash: giá trị nó tự tính toán và giá trị nó nhận được.
Bước 5:
- Nếu giá trị nó tính và giá trị nó nhận được giống nhau thì gửi bản tin có code=03, succcess
- Nếu không giống nhau thì gửi bản tin có code=04, faile.

Nếu Router1 nhận được bản tin code=03 thì quá trình xác thực kết thúc.
Còn không thì xác thực ko thành công và kết nối bị Faile.

Authentication

Đây là bài viết của tác giả Dương Ngọc Thái trên http://vnhacker.blogspot.com
Tôi cũng định tìm hiểu viết một bài về chủ đề này nhưng đọc bài của anh Thái rất hay rõ ràng xin chép lại nguyên văn nội dung của tác giả

Chữ A đầu tiên: authentication

Cốc cốc cốc
Ai gọi đó
Tôi là thỏ
Nếu là thỏ
Cho xem tai

Cốc cốc cốc
Ai gọi đó
Tôi là nai
Nếu là nai
Cho xem gạc

Cốc cốc cốc
Ai gọi đó
Tôi là gió
Nếu là gió
Xin mời vào

Bạn có đang nhớ về tuổi thơ của mình như tôi? Ừh, nhớ thật đó. Nhưng mà tôi vô cái blog này không phải để đọc đồng dao, đây là blog bảo mật thông tin kia mà? Ấy bạn đừng nóng, nào hãy cùng ngồi xuống với tôi, uống một ngụm trà (và vài con nghêu hấp xã chẹp chẹp) rồi ta cùng đi vào chủ đề chính nào.

Bạn thấy tiêu đề của bài viết này không? Authentication, tạm dịch là xác thực. Authentication là chữ A đầu tiên trong bộ tứ Authentication, Authorization, Availability và Authenticity như bốn trụ chống trời nâng đỡ thế giới bảo mật. Hôm nay chúng ta sẽ bàn về chữ A đầu tiên, nghĩa là đi tìm câu trả lời (hay tìm cách hỏi) cho câu hỏi: bạn có phải là người mà bạn tự nhận không?

Bạn và tôi mỗi ngày đều xác thực ít nhất vài lần, có khi là chúng ta xác thực người khác, có khi người khác xác thực chúng ta. Ví dụ như khi bạn đi gửi xe chẳng hạn, người ta sẽ cho bạn một mẩu giấy, mà thuật ngữ gọi là token, trên đó thường có ghi thông tin về chiếc xe của bạn (biển số chẳng hạn). Mẫu giấy này chính là một thứ gì đó mà bạn sở hữu (something you have) giúp bạn chứng minh với người giữ xe rằng: bạn chính là người chủ của chiếc xe. Chỉ có những người có mẩu giấy đó mới được phép lấy chiếc xe của bạn ra ngoài. Nhiệm vụ của bạn là phải giữ nó an toàn, mất là rất phiền toái đấy nhé.

Một ví dụ khác chính là bài đồng dao ở trên. Nếu bạn là thỏ ư, chắc hẳn tai bạn phải dài lắm, cho tôi xem đi nào rồi tôi mới tin. Ở đây, tôi xác thực bằng một đặc điểm trên cơ thể của bạn (something you are). Dấu vân tay, võng mạc hay giọng nói là những đặc điểm thường được sử dụng. Còn có một cách xác thực khác khá phổ biến, đó là dựa trên những điều mà bạn biết (something you know). Bạn đang chat trên Yahoo! Messenger? Thế làm sao bạn đăng nhập vào đó được? Bạn phải biết mật khẩu, chính mật khẩu là thông tin giúp Yahoo! xác thực bạn là chủ nhân của tài khoản đang đăng nhập. Tất cả những ai biết mật khẩu đều có thể đăng nhập vào tài khoản của bạn.

Ngoài ra còn một cách xác thực nữa là dựa vào sự tin tưởng (something you trust). Cách xác thực này thường được áp dụng trong các trường hợp những cá nhân đơn lẻ có nhu cầu xác thực danh tính lẫn nhau. Khi đó họ sẽ dựa vào một bên thứ ba mà cả hai cùng tin tưởng để làm trung gian. Ví dụ như người ta tin tưởng vào thông tin trong chứng minh thư của bạn không phải vì họ tin tưởng bạn mà vì họ tin tưởng vào tổ chức cấp chứng minh thư đó cho bạn, ở đây là cơ quan công an. Cũng có trường hợp họ áp dụng tính bắt cầu trong niềm tin để xác thực. Ví dụ như anh A tin chị B, chị B tin anh C, nên anh A sẽ tin anh C (vì anh A tin rằng chị B đã xác thực danh tính anh C trước đó rồi).

Cách xác thực bằng mật khẩu là cách thông dụng nhất vì tính đơn giản và dễ triển khai của nó. Tuy nhiên, qua thời gian cách này bộc lộ nhiều điểm yếu mà dễ thấy nhất là: mật khẩu rất dễ bị đánh cắp. Sự thực là bất kì thứ gì lưu trữ trên máy tính đều rất dễ bị đánh cắp. Nhưng tôi đâu có lưu mật khẩu trên máy tính đâu? Tôi nhớ chúng trong não và chỉ khi nào cần thiết tôi mới gõ chúng ra kia mà? Bạn có lưu đấy. Có thể bạn không lưu xuống ổ cứng nhưng khi bạn gõ ra nghĩa là bạn đang lưu mật khẩu của mình vào RAM. Và chỉ trong tích tắc, mật khẩu "tối mật" của bạn sẽ được chuyển đến tay một kẻ khác! Nhưng bạn an tâm, đã có rất nhiều giải pháp cho vấn đề này, trọn vẹn hay không trọn vẹn.

Tôi có mở tài khoản ở một ngân hàng, chủ yếu để nhận tiền lương từ công ty mà tôi làm chuyển vào. Tôi thường rút tiền thông qua máy ATM. Làm thế nào tôi chứng minh cho ngân hàng biết tôi là chủ tài khoản? Tôi phải trình ra được thẻ ATM của mình (something you have) và nhập vào đúng số PIN gắn với thẻ ATM đó (something you know). Rõ ràng cách làm này an toàn hơn việc chỉ sử dụng mật khẩu. Muốn đánh cắp tiền của tôi, kẻ trộm phải vừa chôm được thẻ ATM, vừa biết được mã PIN của tôi. Nói cách khác hắn phải chôm được hai yếu tố mới xác thực được.

Đây chính là ý tưởng chủ đạo của việc nâng câo tính an toàn khi xác thực: kết hợp nhiều yếu tố khác nhau (multi-factor authentication), mà thông dụng nhất là xác thực hai yếu tố (two-factor authentication) và xác thực ba yếu tố (three-factor authentication). Người ta sẽ gộp 4 yếu tố ở trên (thông thường là 3 yếu tố đầu), để tạo ra các tổ hợp yếu tố dùng để xác thực. Thông dụng nhất là sự kết hợp giữa something you know và something you have như cách làm của thẻ ATM. Dĩ nhiên bạn hoàn toàn có thể làm n-factor authentication với n > 3 nhưng lúc đó hệ thống của bạn sẽ chẳng có người nào sử dụng cả bởi vì nó quá bất tiện. Bảo mật bao giờ cũng phải là sự cân bằng giữa an toàn và tiện dụng. Vả lại, không có gì là an toàn tuyệt đối. Two-factor hay n-factor đi chăng nữa cũng chỉ giúp bạn giảm xác suất bị tấn công xuống một mức nào đó, nhưng không bao giờ là zero.

Một hôm nào đó chúng ta sẽ tìm hiểu chữ A thứ hai, authorization, còn bây giờ xin chào tạm biệt.

-Thái.

.htaccess

Giới thiệu

Bài viết này sẽ giới thiệu vè tập tin .htaccess và sức mạnh của nó để cải thiện website của bạn.htaccess là một tập tin đặc biệt cho phép thay đổi hoạt động của máy chủ apache ở tầng thư mục , phổ biến là có khả năng tùy chỉnh cho trang erro 404 .htaccess không phải là khó sử dụng mà thực sự chỉ với một vài câu lệnh trong một file text đơn giản.Chúng ta cùng làm mấy cái “đơn giản ” xem nó có phức tạp không nào.^_^

Câu hỏi đặt ra đầu tiên là xem host của mình có hỗ trợ htaccess không ?
Đây là câu hỏi khó nhất cho một câu trả lời đơn giản.Nhiều host hỗ trợ htaccess nhưng nó không thực sự public và nhiều user trên host đó không được cho phép htaccess.Nếu máy chủ của bạn chạy Unix , Linux hoặc một số phiên bản của máy chủ Apache sẽ hỗ trợ htaccess mặc cho host của bạn không cho phép bạn sử dụng nó.
Một dấu hiệu để biết host bạn cho phép tập tin htaccess là chúng hỗ trợ bảo vệ thư mục bằng mật khẩu.Điều này họ cần cung cấp htaccess (mặc dù trong một vài trường hợp họ sẽ cung cấp bảo vệ thư mục bằng mật khẩu nhưng không cho phép sử dụng .htaccess)

Những điều ta có thể làm với .htaccess ?

Có một phạm vi lớn các việc .htaccess có thể làm : bảo vệ thư mục bằng mật khẩu , chuyển hướng người dung tự động , tùy chỉnh lỗi trang , thay đổi phần mở rộng tập tin của bạn , cấm người dùng dựa vào IP, chỉ cho phép người dùng thuộc một dải IP , dừng danh sách thư mục và sử dụng file khác như một file index.

Tạo một tập tin .htaccess
Tạo một tập tin htaccess có thể gây cho bạn một vài vấn đề .Viết một file là dễ dàng bạn chỉ cần nhập code và một trình soạn thảo văn bản (như notepad chẳng hạn ).bạn có thể gặp vấn đề với lưu file bởi vì .htaccess là một tập tin lạ (không có tên nhưng có đến 8 ký tự mở rộng) nó có thể không được chấp nhận nhất là trên Windown(như 3.1).Bạn phải lưu với tên như “.htaccess”
Nếu nó không làm việc thì bạn lưu thành htaccess.txt rồi tải lên máy chủ sau đó đổi tên bằng một chương trình FTP

Cảnh Báo
Mặc dù sử dụng htaccess trên server của bạn nếu có vấn đề thì chỉ đơn giản là không làm việc nhưng bạn nên thận trọng nếu bạn đang sử dụng Microsoft FrontPage Extensions .Các phần mở rộng của Frontpage sử dụng tập tin .htaccess vì vậy bạn không nên chỉnh sửa nó để thêm thông tin của riệng bạn.Nếu bạn không muốn bạn có thể tải tập tin htaccess từ máy chủ về rồi thêm code vào.

Tùy chỉnh trang lỗi


Ứng dụng đầu tiên của file htaccess là việc tùy chỉnh trang lỗi điều này sẽ cho phép bạn có một trang lỗi cá nhân thay vì sử dụng các trang báo lỗi của máy chủ hoặc không có trang điều này làm cho web của bạn có vẻ chuyên nghiệp hơn hay thong báo cho bạn nếu có lỗi bằng cách sử dụng shell script.Bạn có thế tùy chỉnh cho bất kỳ lỗi nào miễn là bạn biết số của nó (như 404 là không tìn thấy máy chủ ) bằng cách thêm dòng sau vào tập tin .htaccess
ErrorDocument errornumber /file.html ErrorDocument errornumber / file.html
Đây là một số lỗi phổ biến :
401 - Authorization Required
400 - Bad request
403 - Forbidden
500 - Internal Server Error
404 - Wrong page
Sau đó tất cả nhừng gì bạn cần làm là tạo ra một tập tin để hiện thị khi lỗi xảy ra và tải tập tin đó lên server . thay đổi trong tập tin .htaccess

Phần sau minh sẽ giới thiệu về các lệnh .htaccess và việc bảo vệ thư mục bằng mật khẩu
D4ngh3t

Chống DDOS trong linux với MOD_DOSEVASIVE

Khi xây dựng một webserver vấn nạn DoS và DDoS luôn làm các webmaster điên đầu .Hiện nay chưa có một hệ thống nào dám tuyên chiến với tấn công từ chối dịch vụ.Xem ra chúng ta còn phải chịu đựng chúng dài dài.Tuy nhiên có nhiều phương pháp được đưa ra để hạn chế chúng.Mình xin giới thiệu một phương pháp sử dụng mod_dosevasive .Đây là một mod trong apache nó cho phép user apache có thể sử dụng iptables để chặn IP DDoS nó phản ứng lại với HTTP DoS và hình thức tấn công Brute Force
Một khả năng bổ sung của module này là nó có thể thực thi các lệnh hệ thống khi cuộc tấn công DoS được xác định.Điều này cung cấp khả năng gửi địa chỉ IP tấn công vào các ứng dụng bảo mật khác như tường lửa để chặn các IP vi phạm
Tuy nhiên nhược điểm của mod_dosevasive là tốn băng thông cũng như bộ vi xử lý
Cách thức làm việc của Mod_Dosevasive : Mod_Dosevasive xác định các cuộc tấn công bằng các tạo và sử dụng một bảng băm nội bộ linh hoạt cặp IP và URI dựa trên các yêu cầu nhận được.Khi một yêu cầu mới đến Mod_dos sẽ thực hiện các nhiệm vụ sau :

Địa chỉ IP của khách hàng được kiểm tra trong danh sách đen tạm thời của bảng băm. Nếu địa chỉ IP có trong list thì sẽ bị cấm (403 forbidden)

Nếu khách hàng không trong danh sách đen, sau đó các địa chỉ IP của khách hàng và các Universal Resource Identifier (URI) yêu cầu được băm vào một phím. Mod_Dosevasive sau đó sẽ kiểm tra của bảng băm người nghe để xác minh nếu có các băm cùng tồn tại . Nếu có, nó sau đó sẽ đánh giá tổng số băm lần xuất hiện và khung thời gian mà họ đã được yêu cầu trong so với ngưỡng quy định trong file httpd.conf của các chỉ thị Mod_Dosevasive.

. Nếu yêu cầu không được từ chối bởi cáclần kiểm tra trước, thì chỉ cần địa chỉ IP của máy khách được băm vào một phím. Các module sau đó sẽ kiểm tra bảng băm trong thời trang như trên. Sự khác biệt duy nhất với kiểm tra này là nó không phải là nhân tố trong URI là kiểm tra. Nó sẽ kiểm tra xem số lượng khách hàng đã yêu cầu ở trên ngưỡng đặt cho toàn bộ trang web theo các khoảng thời gian quy định. 
Nói Chung
Các module mở rộng mod_dosevasive cố gắng để phát hiện và từ chối yêu cầu vô nghĩa bằng cách hạn chế số lượng truy vấn trong một khoảng thời gian nhất định từ một trong những khách hàng yêu cầu. 

Cài đặt và cấu hình
Download mod_dosevasive.1.9.tar.gz trên http://tools.l0t3k.net/Hardening/MD5SUM 



tar zxvf mod_dosevasive_1.10.tar.gz
cd mod_dosevasive
/usr/local/apache/bin/apxs -i -a -c mod_dosevasive.c

If you're using Apache 2, use this command instead of ^:
/usr/local/apache/bin/apxs -i -a -c mod_dosevasive20.c

Add the following to httpd.conf

<IfModule mod_dosevasive20.c>
DOSHashTableSize 3097
DOSPageCount 2
DOSSiteCount 50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10
DOSEmailNotify you@email.com
DOSSystemCommand "su - user -c '/sbin/... %s ...'"
</IfModule>

Descriptions:

- DOSHashTableSize: the size of the table of URL and IP combined
- DOSPageCount: the number of same page requests from the same IP during an interval that will cause that IP to be added to the block lt.
- DOSSiteCount: the number of pages requested of a site by the same IP during an interval which will cause the IP to be added to the block lt.
- DOSPageInterval: the interval that the hash table for IPs and URLs erased (in seconds)
- DOSSiteInterval: the intervale that the hash table of IPs erased (in seconds)
- DOSBlockingPeriod: the time the IP blacked (in seconds)
- DOSEmailNotify: can be used to notify by sending an email everytime an IP blocked
- DOSSystemCommand: the command used to execute a command when an IP blocked. It can be used to add a block the user from a firewall or router.
- DOSWhiteLt: can be used to whitelt IPs such as 127.0.0.1


Đã Test .Chống DoSHTTP cực kỳ hiệu quả

D4ngh3t

Start

Mỗi khi con người ta muốn bắt đầu một cái gì đó.Có thể là một công trình còn dang dở, một sáng kiến mới mang theo trong nó những mường tượng về tương lai hoàn mỹ.Đấy chính là cái xuất phát mọi vấn đề.Tôi còn nhớ năm tôi lơp 8 lần đầu tiên học môn hóa học.Tên nó đã cảm thấy chuối cả nải nhưng thôi.Tôi đang đứng thứ 3 thứ 4 gì đấy trong lớp nhất định môn này tôi phải đứng nhất , đến lớp phải thu nhặt không sót một kiến thức nào của cô giáo , về nhà rồi sẽ học nâng cao.Tương lai đẹp thật , à đã đẹp thế thì phải đầu tư.Không ngại bỏ tiền túi ra mua một quyển vở đẹp mặc dù vở tôi được tặng còn cả tập.Nhưng để có tương lai kia thì có đáng gì.Mở sách giáo khoa ra ta đọc trước và đây "Lời mở đầu".Ta bắt đầu đọc ."Bài giới thiệu" ta vẫn không bỏ xót một chữ.Nhưng ta bắt đầu đọc nhanh hơn.Mấy bác viết gì mà nhiều thế nhỉ.Bỏ qua một đoạn lại một đoạn nữa.Rồi tốc độ ta đọc nhanh hơn nhưng hình như chữ vào đầu ít hơn thì phải.Ta suy nghĩ đọc cái này có ý nghĩa gì đâu nhỉ." Trọng tâm " cái này chuẩn phải đọc trọng tâm bài ngày mai.ngày nào mấy bác cà vạt chẳng bảo phải đi tắt đón đầu.Vậy ta phải đi tắt.Đây rồi bài 1.Được vài dòng ta hiểu ra là ta chẳng hiểu gì. Tại sao nhỉ.chắc là môn này khó mà đã khó thi phải để cô giáo dạy.Cô dạy xong ta sẽ về nhà học tiếp.Thông minh thật vừa đỡ mất thời gian mõ mẫm.Quyết định cuối cùng để ngày mai.Rồi ngày mai cô giáo chỉ giới thiệu bài học.Về nhà ta tự nhủ ta đã học bài mở đầu rồi còn gì.Xem lại vẫn thế.Ô thế là nghiễm nhiên một buổi tối không bài vở và lại đề ngày mai ta sẽ bắt đầu học thực hiện hoài bão lớn kia cũng chẳng muộn.Kết quả thi đại học điểm Hóa của " thiên tài trong tươnglai " đạt 4,75 khối A.May mà Toán Lý tôi điểm cao nên vẫn đỗ.Nhưng Hóa khối B lại làm tôi tan giấc mộng Công nghệ Sinh.Hiện giờ thì trường tôi không học hóa nên tôi không còn nghĩ nhiều về nó nữa nhưng với mỗi sinh viên chúng ta bước chân qua cảnh cổng đại học ai chẳng mang cho minh nhiều hoài bão nhiều ước mơ nhưng "Để mai ta bắt đầu" ,"Để môn sau tao làm lại " "Kỳ sau sẽ được học bổng" v.v.Ta tự nhủ với bản thân bao lần.Để rồi dần dần những tố chất của một con mọt sách cày đêm ngày thi đại học dời xa ta mà người ta ngày một nặng hơn sức ì ngày một lớn.đễ khi ra trường mang theo trong đầu không phải là các kiến thức góp nhặt được mà chẳng có gì trong đấy hết ngoài sụ tiếc nuối thời gian và phân vân mức lương ta muốn mỗi khi điền vào tờ đơn xin việc.Ta nhận ra rằng để có một tương lai đẹp không phải là phải xuất phát tại một thời điểm đẹp một thời điểm có ý nghĩ,Thành công là một quá trình không phải là một điểm đến.Thời điểm đẹp nhất chính là ngay bây giờ.Địa điểm tốt là chính nơi đây là bạn đồng hành lý tưởng chính là ta.Để khi ra ngoài đời ta tự tin điền vào mức lương ta muốn có 4,5 X 2.Tôi đã tứng nghe Xuân Diệu dục dã:
Mau với chứ, vội vàng lên với chứ
Em em ơi, tình non sắp già rồi
Gấp đi em, anh rất sợ ngày mai
Đời trôi chảy, lòng ta không vĩnh viễn.