Атака китайских ботов

[hd321kbps]

Сегодня заметил на нескольких форумах наплыв ботов из китая от 100-300 одновременно, которые создают нагрузку на хостинг.
Все заходят с телефона Android и iphone Os.
Адреса ботов:
54.222.*.*
54.223.*.*
52.80.*.*
52.81.*.*
52.82.*.*
52.83.*.*
220.243.*.*
139.217.*.*
139.219.*.*
У кого наблюдается такое-же отпишитесь)


---------------------------
Варианты блокировки ботов:
Re: Атака китайских ботов - от Nekstati
Re: Атака китайских ботов - от Kuskow, php
Re: Атака китайских ботов - от Kuskow, nginx

[KEMnEP]

Код: Выделить всё

User-agent: ClaudeBot
Disallow: /

в robots.txt решает проблему с ClaudeBot, как ни странно, но этот бот послушный.

[Siava]

Поставил Antibot

Сомнительная радость. Тем более, что по любому чиху вылазит капча, что жутко раздражает.

[Пчелкин]

claudebot

Тока не путайте мерикосного чат бота - разведчика с более чем 500 000 ипишек и Китайского бота работающего на их КГБ.

[Leo Angel]

Да какая разница... Пусть он будет хоть от аборигенов, что сьели Кука, и которые работают на путан-трансвеститов Пхукета.
Главное, чтобы форум от их посещений не валился!

[southklad]

Никого вчера не атаковали? У меня вчера вечером просто положили форум, один работал на поддомене, другой просто лежал. Так и не понял причину или все же ддос был или боты. Всего раз смог зайти на форум, и увидел разом 45 гостей, наплыв на не рабочий форум большой, IP были разные и разные и похожие, заходили в один момент, но форум их видел как гостей, не как ботов.

[Leo Angel]

Да вроде, всё было тихо.

[southklad]

Походу это не боты, а ддос какой то. Сегодня снова повторился

Отправлено спустя 2 минуты 34 секунды:
Гости идут с разных IP в основном России и с таким агентом

Код: Выделить всё

Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/125.0.6422.41 Safari/537.36

[Siava]

southklad, сочувствую. Я с таким наплывом с этой зимы периодически сталкиваюсь. Причём они прут на все открытые веб-сервисы и даже на VPN-порты моего сервака. С помощью fail2ban удалось уменьшить 100% загрузку канала до уровня 40-60%, но полностью остановить не вышло. Не больше 2 дней обычно идёт такой наплыв. Слабые серваки валятся легко. Можно ещё кеширование на уровне nginx сделать, чтобы гостям статику выдавать, но всё равно канал до 100% нагружают.

[Пчелкин]

Во вчера 21.06 китайцы выдали. Сервак два раза пришлось перезагружать. Нагрузка на проц 99%. А ведь сервак не слабый. Что это было - не знаю. Читал краем уха что китайцы очень недовольны поездками кое кого кое куда. Ревнуют чтоль..

[Triniti]

А где-то есть все адреса Сингапура? По ссылке на стр.1 нашла небольшой список, но там нет тех, которые у меня заходят сейчас.

У меня такой файл htaccess

Код: Выделить всё

php_value upload_max_filesize 64M
php_value post_max_size 64M

<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond %{SERVER_PORT} ^80$ [OR]
RewriteCond %{HTTP} =on
RewriteRule ^(.*)$ https://forum.theosophyportal.ru/$1 [R=301,L]

    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteRule ^(.*)$ app.php [QSA,L]
#
# Uncomment the statement below if URL rewriting doesn't
# work properly. If you installed phpBB in a subdirectory
# of your site, properly set the argument for the statement.
# e.g.: if your domain is test.com and you installed phpBB
# in http://www.test.com/phpBB/index.php you have to set
# the statement RewriteBase /phpBB/
#
RewriteBase /

#
# Uncomment the statement below if you want to make use of
# HTTP authentication and it does not already work.
# This could be required if you are for example using PHP via Apache CGI.
#
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L]

#
# The following 3 lines will rewrite URLs passed through the front controller
# to not require app.php in the actual URL. In other words, a controller is
# by default accessed at /app.php/my/controller, but can also be accessed at
# /my/controller
#
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ app.php [QSA,L]

#
# If symbolic links are not already being followed,
# uncomment the line below.
# http://anothersysadmin.wordpress.com/2008/06/10/mod_rewrite-forbidden-403-with-apache-228/
#
#Options +FollowSymLinks
</IfModule>

# Apache content negotation tries to interpret non-existent paths as files if
# MultiViews is enabled. This will however cause issues with paths containg
# dots, e.g. for the cron tasks
<IfModule mod_negotiation.c>
	Options -MultiViews
</IfModule>

# With Apache 2.4 the "Order, Deny" syntax has been deprecated and moved from
# module mod_authz_host to a new module called mod_access_compat (which may be
# disabled) and a new "Require" syntax has been introduced to mod_authz_host.
# We could just conditionally provide both versions, but unfortunately Apache
# does not explicitly tell us its version if the module mod_version is not
# available. In this case, we check for the availability of module
# mod_authz_core (which should be on 2.4 or higher only) as a best guess.
<IfModule mod_version.c>
	<IfVersion < 2.4>
		<Files "config.php">
			Order Allow,Deny
			Deny from All
		</Files>
		<Files "common.php">
			Order Allow,Deny
			Deny from All
		</Files>
	</IfVersion>
	<IfVersion >= 2.4>
		<Files "config.php">
			Require all denied
		</Files>
		<Files "common.php">
			Require all denied
		</Files>
	</IfVersion>
</IfModule>
<IfModule !mod_version.c>
	<IfModule !mod_authz_core.c>
		<Files "config.php">
			Order Allow,Deny
			Deny from All
		</Files>
		<Files "common.php">
			Order Allow,Deny
			Deny from All
		</Files>
	</IfModule>
	<IfModule mod_authz_core.c>
		<Files "config.php">
			Require all denied
		</Files>
		<Files "common.php">
			Require all denied
		</Files>
	</IfModule>
</IfModule>
<Limit GET POST>
  order allow,deny
  deny from 58.185.18.0/28
  deny from 194.4.48.0/22
  allow from all
</Limit>

Можно вот так в конце него приписать рекомендованные тоже на 1й странице коды?

И как узнать их диапазоны? Отключаю по одному, но это как-то непроизводительно. Диапазоны указала только те, которые нашла по ссылке на 1й странице.

[Triniti]

Как задать диапазон адресов, например 110.238.104.0 110.238.111.255

Отправлено спустя 2 минуты 25 секунд:
Например, так можно: Deny from 110.238.104/111.0/255

[southklad]

Приветствую, смотрю сейчас тормозит сайт, зашел на сервер, а там нагрузка 100% почти, думал опять гости или боты ломятся, но сейчас что-то новое, в логах

Код: Выделить всё

2025/03/26 14:01:04 [error] 9660#9660: *9734689 access forbidden by rule, client: 44.215.100.135, server: сайт мой, request: "GET / HTTP/1.1", host: "сайт мой", referrer: "куча разных сайтов"

Лупят по 20-30 запросов в секунду.

В других логах такие записи

Код: Выделить всё

[26/Mar/2025:18:11:56 +0300] "GET / HTTP/1.1" 403 560 "https://stylecaster.top" "\x09Mozilla/5.0 (X11; U; Linux i686; en-US) AppleWebKit/534.12 (KHTML like Gecko) Chrome/9.0.579.0 Safari/534.12"
203.74.125.18

Сайты так же самые разные, это что-то такое и куда копать, как блокировать?

[Михаил Молчанов]

southklad, а есть мысли, для чего они это делают?

[southklad]

ЧТобы были мысли нужно понимать что происходит. Скорее всего или такой ддос или что-то подобное

[southklad]

Первый раз такое, боты фагачили с зачислением с статистику Метрики, обычно она их не видел, а тут смотрю посещаемость выросла. думаю круто, но когда она выросла до 15К в сутки стало понятно, что это какая то проблема, оказалось с китайских IP заходы, но они считались метрикой.