Атака китайских ботов

[hd321kbps]

Сегодня заметил на нескольких форумах наплыв ботов из китая от 100-300 одновременно, которые создают нагрузку на хостинг.
Все заходят с телефона Android и iphone Os.
Адреса ботов:
54.222.*.*
54.223.*.*
52.80.*.*
52.81.*.*
52.82.*.*
52.83.*.*
220.243.*.*
139.217.*.*
139.219.*.*
У кого наблюдается такое-же отпишитесь)


---------------------------
Варианты блокировки ботов:
Re: Атака китайских ботов - от Nekstati
Re: Атака китайских ботов - от Kuskow, php
Re: Атака китайских ботов - от Kuskow, nginx

[Leo Angel]

Какой в итоге сейчас рабочий скрипт для 7.4 ср всеми доками, что выше предложили вам добавить ?

Для php7.4 работоспособность не проверял, у меня php8.3.

Отправлено спустя 4 минуты 36 секунд:

А как Вы определяете, в какой теме они сидят? Сам phpBB показывает только раздел (форум).

У меня показывает так

Untitled.jpg

[Kuskow]

Ко мне эти боты с адресов 47.79.x.x тоже заходят пачками, но ни одного ответа 200 они не получили - только 403. Из чего делаю вывод, что переделка моего скрипта привела к появлению дыры.

Код: Выделить всё

47.79.51.113 - - [05/Apr/2026:12:28:54 +0500] "GET /viewtopic.php?start=80&t=6100&view=print HTTP/2.0" 403 226 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/144.0.0.0 Safari/537.36"
47.79.11.183 - - [05/Apr/2026:12:35:48 +0500] "GET /viewtopic.php?t=10076 HTTP/2.0" 403 226 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36"
47.79.51.72 - - [05/Apr/2026:12:35:49 +0500] "GET /viewtopic.php?start=80&t=3447 HTTP/2.0" 403 226 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36"
47.79.51.121 - - [05/Apr/2026:12:38:07 +0500] "GET /viewtopic.php?t=6584 HTTP/2.0" 403 226 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36"
47.79.15.96 - - [05/Apr/2026:12:38:53 +0500] "GET /viewtopic.php?t=899&view=print HTTP/2.0" 403 226 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/143.0.0.0 Safari/537.36"
47.79.10.199 - - [05/Apr/2026:12:42:42 +0500] "GET /viewtopic.php?start=46200&t=6638 HTTP/2.0" 403 226 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/145.0.0.0 Safari/537.36"

[dotez]

dotez, а какая у Вас версия phpBB? А то, может быть, проще уже перейти на PHP 8.3 - оно и побыстрее будет.

Для 7.4 мне нужен финальный скрипт

[Leo Angel]

Ко мне эти боты с адресов 47.79.x.x тоже заходят пачками, но ни одного ответа 200 они не получили - только 403. Из чего делаю вывод, что переделка моего скрипта привела к появлению дыры.

OK!
Значит, вернусь к Вашему скрипту и проверю. Из своего оставлю только страницу html.

[MasterX]

Ко мне эти боты с адресов 47.79.x.x тоже заходят пачками, но ни одного ответа 200 они не получили - только 403. Из чего делаю вывод, что переделка моего скрипта привела к появлению дыры.

Это боты сканеры, они ищут уязвимости, им не нужно хождение по ссылкам, поэтому и 403

[Kuskow]

MasterX, что значит "поэтому"? Этот 403 я им выдал, потому что определил их как ботов. То есть, логика в обратную сторону. Мой скрипт определил бота и запретил ему вход на сайт с ответом 403. И он ни разу не пропустил его к phpBB, а если бы пропустил, было бы 200.

[dotez]

скрипт который в коммон рнр вносили перестал помогать, опять несколько тысяч ботов онлайн на форуме и вот такое в аналитике-

[MasterX]

потому что проблема в движке. И ее приходится купировать на уровне .htaccess
Никакие расширения не уберут тяжелые и массовые MySQL-запросы, народ, да проснитесь вы уже!

[southklad]

Почему так и может ли это говорить о чём-то?

У меня так бывало, когда ссылка появлялась на достаточно крупном ресурсе и была популярно и ее оттуда тянула в другие места и сразу же был всплеск ботов.

[MasterX]

MasterX, что значит "поэтому"? Этот 403 я им выдал, потому что определил их как ботов. То есть, логика в обратную сторону. Мой скрипт определил бота и запретил ему вход на сайт с ответом 403. И он ни разу не пропустил его к phpBB, а если бы пропустил, было бы 200.

Если скрипт внешний, не расширение, PHPBB, то норм!
Если это расширение, то как раз пропустил, потому что его выдал движок! И выдал тогда, когда получил все тяжелые SQL запросы.
Когда 403 выдает сервак, тогда и нет нагрузки на движок, иначе это лишь имитация решения.

[Kuskow]

Пока разбирался, почему у вас не работает и пропускает некоторых ботов, нашёл ошибку у себя. Так что, сегодняшняя почти окончательная версия выглядит так. Для тех, кто не читал предыдущее обсуждение: этот код нужно добавить в конец файла config.php.

Код: Выделить всё

### Барьер для защиты от ботов, атакующих phpBB-сайты
### Авторы: Kuskow & AI on Google Search
if (PHP_SAPI === 'cli') { return; } // В cli не надо ничего проверять

# 1. Шлагбаум: извесных ботов не пускаем даже к дому
preg_match('/ChatGPT|keys-so|python|Firefox\/72|Mediapartners/i', $ua = $_SERVER['HTTP_USER_AGENT']) +
preg_match('/wp-|profile\.php/i', $uri = $_SERVER['REQUEST_URI'])
and die(header('HTTP/1.1 403'));

# 2. Домофон: разглядываем пришедшего без cookies
empty($_SERVER['HTTP_COOKIE'])
# Полезным ботам открыты все двери без дополнительных проверок
and !preg_match('/Yandex|Googlebot|Google-|Applebot|bingbot|Yahoo|Baiduspider|GPTBot|whatsapp|telegram|facebookext|meta-ext/i', $ua)
# Запросивших главную или тяжёлые страницы, переключаем на домофон
and (str_ends_with($uri, '/') + str_contains($uri, '/?') + preg_match('/index|view|member|search|post|app|ucp|config/i', $_SERVER['SCRIPT_NAME']))
# Домофон через закрытую дверь спрашивает: "Кто там?"
and die(header('HTTP/1.1 403') . '<meta charset=utf-8><h1>Если Вы человек, обновите эту страницу - и всё увидите. Такой вот у нас антиспам.</h1><script>document.cookie="human=1;Path=/;Max-Age=600;SameSite=Lax"</script>');

# 3. Гардероб: разуваем гостей, но не персонал
$noise = 'sid|hilit|gclid|yclid|ysclid|fbclid|utm_\w+';
preg_match('/^(?!.*(adm\/|cp\.php|hash=|mark_)).*?(\/index\.php(?:\?|&|$)|(' . $noise . ')=)/i', $uri)
and exit(header('Location: ' . preg_replace(["/([?&])($noise)=[^&]*(&|$)/i", '/\/index\.php(?:\?|&|$)/i'], ['$1', '/'], $uri), true, 308));

[Kuskow]

И да, у меня по-прежнему гостей меньше, чем зарегистрированных пользователей. Можете посмотреть в ссылке из моего профиля.

[dotez]

Пока разбирался, почему у вас не работает и пропускает некоторых ботов, нашёл ошибку у себя. Так что, сегодняшняя почти окончательная версия выглядит так. Для тех, кто не читал предыдущее обсуждение: этот код нужно добавить в конец файла config.php.

Код: Выделить всё

### Барьер для защиты от ботов, атакующих phpBB-сайты
### Авторы: Kuskow & AI on Google Search
if (PHP_SAPI === 'cli') { return; } // В cli не надо ничего проверять

# 1. Шлагбаум: извесных ботов не пускаем даже к дому
preg_match('/ChatGPT|keys-so|python|Firefox\/72|Mediapartners/i', $ua = $_SERVER['HTTP_USER_AGENT']) +
preg_match('/wp-|profile\.php/i', $uri = $_SERVER['REQUEST_URI'])
and die(header('HTTP/1.1 403'));

# 2. Домофон: разглядываем пришедшего без cookies
empty($_SERVER['HTTP_COOKIE'])
# Полезным ботам открыты все двери без дополнительных проверок
and !preg_match('/Yandex|Googlebot|Google-|Applebot|bingbot|Yahoo|Baiduspider|GPTBot|whatsapp|telegram|facebookext|meta-ext/i', $ua)
# Запросивших главную или тяжёлые страницы, переключаем на домофон
and (str_ends_with($uri, '/') + str_contains($uri, '/?') + preg_match('/index|view|member|search|post|app|ucp|config/i', $_SERVER['SCRIPT_NAME']))
# Домофон через закрытую дверь спрашивает: "Кто там?"
and die(header('HTTP/1.1 403') . '<meta charset=utf-8><h1>Если Вы человек, обновите эту страницу - и всё увидите. Такой вот у нас антиспам.</h1><script>document.cookie="human=1;Path=/;Max-Age=600;SameSite=Lax"</script>');

# 3. Гардероб: разуваем гостей, но не персонал
$noise = 'sid|hilit|gclid|yclid|ysclid|fbclid|utm_\w+';
preg_match('/^(?!.*(adm\/|cp\.php|hash=|mark_)).*?(\/index\.php(?:\?|&|$)|(' . $noise . ')=)/i', $uri)
and exit(header('Location: ' . preg_replace(["/([?&])($noise)=[^&]*(&|$)/i", '/\/index\.php(?:\?|&|$)/i'], ['$1', '/'], $uri), true, 308));

можно для 7.4 версию тоже)

[Leo Angel]

нашёл ошибку у себя

А в чём была ошибка, если не секрет?

[southklad]

Kuskow, Ваш вариант последний, не пускает никого, я просто перешел с Гуру к вам и мне предложило сразу же обновить страницу, все же это будет отталкивать если для всех входящих будет так или это меня е пропустил только, хотя я просто перешел и все. Браузер Яндекса