Атака китайских ботов

[hd321kbps]

Сегодня заметил на нескольких форумах наплыв ботов из китая от 100-300 одновременно, которые создают нагрузку на хостинг.
Все заходят с телефона Android и iphone Os.
Адреса ботов:
54.222.*.*
54.223.*.*
52.80.*.*
52.81.*.*
52.82.*.*
52.83.*.*
220.243.*.*
139.217.*.*
139.219.*.*
У кого наблюдается такое-же отпишитесь)


---------------------------
Варианты блокировки ботов:
Re: Атака китайских ботов - от Nekstati
Re: Атака китайских ботов - от Kuskow, php
Re: Атака китайских ботов - от Kuskow, nginx

[Siava]

95.163.0/255.0/255

Это что за чудо-юдо?

Deny from 1.2.3.0/24
или
Deny from 1.2.3.0/255.255.255.0
или
Deny from 1.2.3.

Результат будет одинаковый.

[Gubkin]

со 185.112.х.х чот жуткая активность
замечает кто, не ?

[doremyka]

У меня "рекорд посещаемости" сегодня был: 673 в 17 с чем-то. Наверно, то самое.

[cher]

Аналогично. Рекорд посещаемости за сутки был: 38564, между Вс 24. фев 2019 и Пн 25. фев 2019
Форум вчера лежал. Спасибо Вашей теме - сегодня удалось понять и победить эту напасть!

[Pazh]

Со второй половины августа пошла очередная волна атаки китайстой бот сети. Выражается в огромном количестве запросов в основном по главной странице. Долбят по доменному имени. Бот-нет имеет более сотни подсетей - блокировать по ip подсети задолбаешься. НО, у всех ботов один из 3-х кусков в user-agent (вероятность с такими user-agent заблокировать живого юзера ИМХО, крайне мала):

Код: Выделить всё

zh-CN;OPPO.A33
OPPO.A33.Build/LMY47V;wv
FRD-AL00.Build.HUAWEIFRD-AL00

Решение проблемы (частное - под конкретный бот-нет, проверено на 3-х форумах) - бот будет долбиться, но сразу получать 403 ошибку:
Если фронт обрабатывается apache-ем, то в .htaccess после строки

Код: Выделить всё

RewriteEngine on

вставить:

Код: Выделить всё

#CHINANET
RewriteCond %{HTTP_USER_AGENT} ^.*zh-CN;OPPO.A33.*$ [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^.*OPPO.A33.Build/LMY47V;wv.*$ [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^.*FRD-AL00.Build.HUAWEIFRD-AL00.*$ [NC]
RewriteRule ^ - [F]  

если фронт на nginx, то в frontend конфиг вставить такой код:

Код: Выделить всё

if ($http_user_agent ~* "zh-CN;OPPO.A33"){ return 403; }
if ($http_user_agent ~* "OPPO.A33.Build/LMY47V;wv"){ return 403; }
if ($http_user_agent ~* "FRD-AL00.Build.HUAWEIFRD-AL00"){ return 403; }

[rxu]

С сотовых телефонов уже долбят что ли.

[Pazh]

rxu, хз, скорее всего скрипты с предустановленным user-agent. Или зараженная прошивка для какой-то модели телефона, которую потом используют.

[Siava]

блокировать по ip подсети задолбаешься

Да нормально блокируется всё. Периодически скармливать содержимое этого файлика и нет проблем.
http://www.ipdeny.com/ipblocks/data/countries/cn.zone
А вот user-agent у них как раз постоянно меняется и всех всё равно не отследишь.

[Perfecthus]

Это должно помочь Запрет доступа к сайту с китайских IP адресов

[southklad]

Сейчас сидит куча гостей у меня под таким IP : 159.138.155.248 и похожими

[Gubkin]

опять какая-то нереальноа активность с
inetnum: 159.138.144.0 - 159.138.159.255
netname: Huawei-HK-CLOUDS
descr: Huawei HongKong Clouds

[TaLLeR43]

у китаез походу пукан рвет.

[southklad]

Gubkin, deny 159.138.0.0/16;

У самого была такая проблема недавно, они мне гостей до 38000 за сутки давали форуму

[Gubkin]

deny 159.138.0.0/16

что это значит, запрет с 159.138.0.0 по 159.138.0.16 ? всего 16 IP ? Бесполезно абсолютно тогда
нифига не пойму этой системы
я прописал просто deny 159.138.

[nissin]

Gubkin,
Маска подсети
Маска /16 или 255.255.0.0 это 65536 адресов