Hide css class/button on sites.
Hiw to hide element on different sites using css and javascript.
Recent Posts
Dziedziczenie, polimorfizm
Omówienie dziedziczenia, polimorfizmu, rzutowania dynamic_cast, override, final, wirtualnych destruktorów w C++, wycieków pamięci podczas dziedziczenia.
Wyrażenie lambda λ w C++
Geneza
Nazwa wywodzi się od „Rachunku Lambda” stworzonego przez Alonzo Churcha w 1936r. w tym również greckiego λ oznaczającego wszystko co można wywołać przez funkcje. Co ciekawe Alonzo Church nigdy przekonująco nie wyjaśnił dlaczego obrał właśnie tą literę greckiego alfabetu, objaśniając to „eeny, meeny, minym noe lambda” co można przełożyć „Entliczek, pentliczek, czerwony stoliczek”. A sama lambda przysłużyła się do zaprzeczeniu możliwości rozwiązania problemu Hilbera.
Zastosowanie lambdy w C++
Wyrażenie lambda jest czymś bez czego można żyć i można tworzyć oprogramowanie w C++, jednak wymaga to nieco więcej tworzenia kodu i powoduje kod bardziej złożonym. Wyrażenie lambda jest używane głównie przy wykorzystaniu biblioteki standardowej STL przy wykorzystaniu algorytmów _if (std::remove_if, std::find_if, std::count_if), a także tam gdzie potrzebne jest porównanie wartości (std::sort, std::nth_element, std::lower_bound). Ogólnie można powiedzieć, że jest wykorzystywane wszędzie tam gdzie jest potrzebne jakieś kryterium w formie funkcji.
std::find_if(kontener.begin(), kontener.end(), kryterium)
ale czym dokładnie jest lambda? Lambda jest anonimową funkcją, a dlaczego anonimową, ponieważ nie posiada własnego identyfikatora. Identyfikator nie jest potrzebny, ponieważ zastosowaniem funkcji lambda z założenia jest krótkotrwały użytek np w tym samym bloku kodu.
Implementacja wyrażenia
poniżej napisałem porównanie wyrażenia lambda, zwykłego wywołania funkcji oraz obiektu funkcyjnego z przeładowanym operatorem(), co istotne w tym przykładzie i na co warto zwrócić uwagę to mniejsza ilość kodu i pomijając kwestię trudności składni wyrażenia lambda, którą objaśnię w dalszej części, to kod jest bardziej czytelny.
#include <QCoreApplication>
#include <QDebug>
#include <iostream>
#include <vector>
using namespace std;
bool kryterium(int x)
{
return x < 5;
}
class Funktor
{
public:
bool operator()(int x)
{
return x < 5;
}
};
int main(int argc, char *argv[])
{
QCoreApplication a(argc, argv);
std::vector<int>wektor{1, 2, 3, 4, 5, 6, 7, 8};
std::vector<int>wektorFunkcja{wektor};
std::vector<int>wektorFunktor{wektor};
std::vector<int>wektorLambda{wektor};
replace_if(wektorFunkcja.begin(), wektorFunkcja.end(), kryterium,60);
replace_if(wektorFunktor.begin(), wektorFunktor.end(), Funktor(),60);
replace_if(wektorLambda.begin(), wektorLambda.end(), [](int x) { return x < 5;},60);
for(size_t i =0; i<wektor.size(); i++)
qDebug() << "Wektor: " << wektor.at(i)
<< "\t Wektor funkcja: " << wektorFunkcja.at(i)
<< "\t Wektor funktor: " << wektorFunktor.at(i)
<< "\t Wektor lambda: " << wektorLambda.at(i);
return a.exec();
}
// wynik działania
Wektor: 1 Wektor funkcja: 60 Wektor funktor: 60 Wektor lambda: 60
Wektor: 2 Wektor funkcja: 60 Wektor funktor: 60 Wektor lambda: 60
Wektor: 3 Wektor funkcja: 60 Wektor funktor: 60 Wektor lambda: 60
Wektor: 4 Wektor funkcja: 60 Wektor funktor: 60 Wektor lambda: 60
Wektor: 5 Wektor funkcja: 5 Wektor funktor: 5 Wektor lambda: 5
Wektor: 6 Wektor funkcja: 6 Wektor funktor: 6 Wektor lambda: 6
Wektor: 7 Wektor funkcja: 7 Wektor funktor: 7 Wektor lambda: 7
Wektor: 8 Wektor funkcja: 8 Wektor funktor: 8 Wektor lambda: 8
Powyższa funkcje pomimo różnic w implementacji mają za zadanie zamienić wszystkie wartości wektora które są mniejsze od 5 na liczbę 60. Jak widać notacja lambdy jest najkrótsza ponieważ zapisana jest w jednej linijce i w przeciwieństwie do funktora i funkcji nie jest wywoływana poza ciałem main, co stanowi jej atut po przyswojeniu jej składni.
Zalety wyrażenia lambda
Aby zachęcić Cię do skorzystania wyrażenia lambda postanowiłem najpierw zwrócić Twoją uwagę na jej zalety, a mianowicie:
- posiada taką samą szybkość wykonywania jak inline
- jest prosta w zapisie
- można ustalić stan wewnętrzny, czyli pobrać elementy które znajdują się w zakresie klasy lub zakresie lokalnym{}, w przeciwieństwie do funkcji
- jest uniwersalne (re używalne) ponieważ inne kryterium może mieć taką samą deklaracje funkcji
Składnia wyrażenia
Składnie wyrażenia lambda można w najbardziej ogólnym skrócie przedstawić w następujący sposób:
[](){ }
czyli
[lokalne zmienne wychwytywane](argumenty){treść wyrażenia tzw. ciało}
[&](int a){return a + 7;}
patrząc na powyższy przykład to znak
[&] – oznacza że wysyłamy wszystkie zmienne lokalne jako referencje, można byłoby wysłać takie zmienne również przez wartość [=]
następnie
(int a) jest to wartość którą wysyłamy do funkcji
i ostatni element
{return a+7;} – ciało funkcji i co ono zwraca.
Co istotne i może się różnic od funkcji to skąd wiemy jaką zmienną zwraca wyrażenie lambda? Lambda ustala to automatycznie, ale w określonych okolicznościach jak poniżej może podczas kompilacji wywalić błąd:
replace_if(wektor.begin(), wektor.end(),
[](int x) {
if(x > 7)
return 5;
return 9.0;
},555);
return type 'double' must match previous return type 'int' when lambda expression has unspecified explicit return type
Dzieje się tak ponieważ kompilator nie może ustalić czy ma zostać zwrócona zmienna typu int czy double, aby takiej sytuacji uniknąć należy do składni dodać następujący kod:
replace_if(wektor.begin(), wektor.end(),
[](int x)->double {
if(x > 7)
return 5;
return 9.0;
},555);
Dzięki zmianie
[]()->typ_zwracany{}
kompilator wie jaka ma być zmienna zwracana.Tworzenie obiektów na lambdy słowem kluczowym auto
Jeżeli nie jesteśmy w stanie ustalić co lambda zwraca to nasuwa się pytanie jak przypisać lambdę do typu wyrażenia skoro nie wiemy jaki typ jest zwracany?
Odnośnie typu zwracanego można to zrobić w następujący sposób:
auto lambda =[]( int &x ) { std::cout << "lambda " << ++x << " !\n"; };
int x{5}; // deklaracja w nowym stylu zamiast int x(5) lub int x = 5
lambda(x);
lambda(x);
W rezultacie tego otrzymamy następujące wyniki:
lambda 6 ! lambda 7 !
Nazywanie obiektów lambdy szablonem std::function
Dla bardziej dociekliwych i nie lubiących słowa auto czyli od wszystkiego do niczego, mamy możliwość notacji poniżej:
std::function <void(double)> kwadrat = [](double x){qDebug() << "kwadrat" << x *x << endl;};
kwadrat(5);
należy pamiętać o dodaniu dołączeniu funkcji bibliotecznej #include <functional> przed przystąpieniem do implementacji. Jak nie trudno się domyśleć dzięki takiej notacji możemy również przesyłać lambdę do funkcji.
Przesyłanie wyrażenia lambda do funkcji
void funkcjaKserokopii(int iloscKopii, std::function<void(int)> proceduraKopiowania){
if(proceduraKopiowania == nullptr)
{
cout << "Niepoprawny adres procedury sądowej!" << endl;
return;
}
proceduraKopiowania(iloscKopii);
}
int main()
{
funkcjaKserokopii(5, [](int odbitki){
for(int i{0}; i < odbitki; i++)
qDebug() << " Sporządzono" << i + 1 << " odbitkę";
} );
}
Wybnik operacji:
Sporządzono 1 odbitkę
Sporządzono 2 odbitkę
Sporządzono 3 odbitkę
Sporządzono 4 odbitkę
Sporządzono 5 odbitkę
Wykorzystanie zmiennych lokalnych w wyrażeniu lambda
Jeżeli chcielibyśmy skorzystać ze zmiennej lokalnej można to zrobić w następujący sposób:
int z = 90;
replace_if(wektor.begin(), wektor.end(),
[a](int x) {
qDebug() << a;
return x > 5;
},555);
można również zadeklarować więcej zmiennych:
int a = 90;
int b = 30;
replace_if(wektor.begin(), wektor.end(),
[a,b](int x) {
qDebug() << a << b;
return x > 5;
},555);
oraz przesłać wszystkie zmienne w różny sposób:
int a = 0, b = 1, c = 2;
[ & ] {};
// &a, &b, &c przesyłamy domyślnie wszystkie wyrażenia przez referencje
[ &, a ] {};
// a, &b, &c przesyłamy domyślnie wszystkie wyrażenia przez referencje a wyrażenie a przez wartość
[ = ] {};
//a, b, c przesyłamy domyślnie wszystkie zmienne przez wartość */
[ =, & b ] {};
// a, &b, c przesyłamy domyślnie wszystkie wyrażenia przez wartość a b przez referencje
Od wprowadzenia standardu c++14 można również definiować nowe zmienne w nawiasach [] np [int z= 9]
Lambda mutable
Lambda ma jedną bardzo ciekawe zabezpieczenie polegające na niemożności zmiany wartości kopii przesłanej zmiennej lokalnej przez wartość. To zabezpieczenie zostało wprowadzone intencjonalnie, aby programiści bezzasadnie nie zmieniali wartości kopii co nie ma większego sensu. Jednym dla opornych wymyślono rozwiązanie polegające udostępnienie takiej możliwości poprzez modyfikator „mutable”.
W definicji lambdy, po „parameter list” możemy umieścić słowo kluczowe mutable.
| int a = 0; auto lambda = [a]() mutable {return ++a;}; qDebug() << lambda(); // wywołanie lambdy |
Powyższa linijka tworzy lambdę, która ma zostać preinkrementowana. Normalnie nie moglibyśmy tej operacji wykonać. Ale dzięki umieszczeniu słówka kluczowego mutable kompilator nie będzie protestował i posłusznie wykona żądaną przez programistę czynność.
Warto zwrócić uwagę na ostatnią linijkę w której lambdę wywołujemy jak funkcję. Można również zrobić to też w taki sposób:
auto lambda = [](int c, int k, int m) {return c+k-m;};
qDebug() << lambda(7,5,2);
wynikiem takiej operacji wówczas będzie liczba 10.
Natychmiastowe wywołanie funkcji lambda
Jeżeli użyjemy w składni [](typ_zmiennej zmienna){}(wartosc_zmiennej); to możemy natychmiast wywołać wyrażenie lambda.
qDebug() << [](int x) {return x;}(7);
qDebug() << [](int x, int y) {return x+y;}(7,16);
W kolejnym artykule postaram się przedstawić wykorzystanie lambdy w Qt. Zachęcam do pozostawienia komentarzy szczególnie tych krtycznych, które w uzasadniony i w miarę kulturalny sposób zmotywują mnie do pisania dalszych artykułów z innymi zagadnieniami.
Fail2Ban do odraczania włamania
Fail2Ban to narzędzie linuxowe do wykrywania anomalii w uzyskiwaniu dostępu. Umożliwia ono blokowanie adresów ip które próbują się zalogować do naszego VPS-a lub serwera.
Ububtu virtualbox do not show usb list
First you should install „virtualbox vm extension pack” on site https://www.virtualbox.org/wiki/Downloads after that add right to user: sudo usermod -a -G vboxusers $USER to check your user is in group execute command: groups $USER szymon : szymon adm cdrom sudo dip plugdev lpadmin sambashare libvirtd libvirtd vboxusers […]
Ochrona przed atakiem DDoS w 2018r.
Jest wiele sposobów aby zbudować ochronę przeciwko atakowi DDoS za pomocą reguł iptables. W poniższym artykule zostaną przedstawione najbardziej ogólne założenia takiej ochrony.
Dzięki temu tutorialowi dowiesz się jak:
- Wybrać najlepszy zespół reguł i łańcuchów zapobiegający atakowi DDoS
- Dowiesz się jak można zabezpieczyć jądro systemu Linuxa.
- Dowiesz się jak blokować ruch oparty o protokół TCP, który nosi znamiona ataku.
- Dowiesz się jak użyć reguł SYNPROXY do blokowania ataku SYN floods polegającego na wysyłaniu dużej ilości pakietów z nagłówkiem synchronizacji.
Proszę zwrócić uwagę że artykuł został napisany dla użytkowników którzy zajmują się serwerami linuxowymi na codzień.
Jeżeli tylko chcesz ochronić swój serwer przed atakami typy DDos, możesz użyć usług twojego dostawcy VPS-a przed tego rodzaju atakami.
Niestety ale na chwilę obecną nie ma dobrego rozwiązania hardwerowego do zatrzymania takiego typu ataków. Jednak dobrą informacją jest to że dzięki iptables możemy filtrować ruch i wychwytywać wrogi ruch (ilość odpytań lub anomalie związane z ruchem).
W tym artykule skupimy się wyłącznie na ochronie związanej z ruchem TCP. Większość ataków związanych z protokołem UDP polega na zapchaniu transferu ruchem sieciowym na karcie sieciowej. Jednak z drugiej strony protokuł UDP nie jest tak często wykorzystywany i przy większości usług może być zablokowany. Ksiązkowym przykładem jest streaming audio/video w trybie live.
Czym jest iptables?
jest poleceniem/filtrem użytkownika służącym do konfiguracji pakietów sieciowych jądra systemowego w systemach linuksowych. Polecenia tego może używać jedynie superużytkownik. Za pomocą tego polecenia można w szczególności ustawiać reguły służące do filtrowania i zmieniania pakietów, jak również wyświetlać istniejące reguły.
Iptables jest domyślnym narzędziem dla firewali w systemach linuxowych. Każdy kto pracował na systemach linuxowych powinien przynajmniej słyszeć o czym takim jak iptables.
Iptables jest używany aby filtrować pakiety, blokować źródło tych pakietów albo cel jak również adres IP zarówno źródłowy i docelowy. Iptables potrafi przekazywać również pakiety jak i blokować ich przekazywanie.
Przy pomocy iptables możemy blokować również niektóre usługi wykorzystujące różne porty jak ftp w trybie aktywnym oraz torrenty, za pomocą zbiorów sygnatur.
Dlaczego reguły iptables mogą cię przerazić?
Do zrozumienia jak funkcjonują reguły iptables i jak uchornić się przed atakiem DDoS musisz najpierw zrozumieć ogólny zarys jak działają reguły iptables.
Samo iptables można potraktować jako polecenie wykonywane na terminalu które daje kontrolę nad tabelką adresów ip, portów, adresów mac i reguł. Są różne tablice dla różnych reguł i różnego przeznaczenia.
Tabele IPTABLES
– Filter – odrzuca niechciane pakiety,
– Nat – zmienia adresy źródłowe lub docelowe pakietu. Jeżeli pakiet tworzy nowe połącznei tablica NAT sprawdza jego reguły
– Mangle – modyfikuje lub oznacza pakiety, może zmieniać nagłówek
– Raw – udostępnia pakiety przed ich przetworzeniem przez część kernela (np. w trybie śledzenia połączeń (conntrack)),
– Security – używana przy zaawansowanych modelach bezpieczeństwa w Linuksie (np. SELinux).
Jak widzisz jest pięć tabel w systemach linuxowych, z czego najważniejsze są Filter, Nat, Mangel i Raw i to one są zwykle zainstalowane wraz z jądrem na każdym systemie. Każda z tych tabeli wspiera różne łańcuchy.
IPtables Chains
PREROUTING: raw, nat, mangle
- Dotyczy pakietów które są na wejściu do karty sieciowej – network interface card (NIC)
INPUT: filter, mangle
- Dotyczą pakietów które są adresowane do lokalnego adresu
FORWARD: filter, mangle
- Dotyczy pakietów które są routowane i przekazywane dalej poprzez serwer np. do sieci urządzenia lokalnego
OUTPUT: raw, filter, nat, mangle
- Dotyczą pakietów które serwer wysyła, a są lokalnie wygenerowane
POSTROUTING: nat, mangle
- Dotyczy pakietów które mają opuścić serwer
W zależności od tego z jakiego rodzaju pakietami mamy doczynienia możemy je zablokować, zmodyfikować wybrać rodzaj tablicy i łańcuch który dana tablica wspiera.
Oczywiście nadal brakuje na wyjaśnienia co można i jak można z pakietem zrobić a więc (ACCEPT, DROP, REJECT, etc.), ale zakładając że czytasz ten artykuł wiesz o co chodzi.
A więc wyjaśnijmy dlaczego reguły iptables mogą zatrzymać atak DDoS bez uczenia cię jak działają reguły.
Jeżeli chcesz zablokować atak DDoS za pomocą reguł iptables, to wiedz że wydajność reguł iptables jest niezwykel istotna. Większość ataków DDoS za pomocą protokołu TCP używa dużej ilości pakietów które mają za zadanie zalać serwer odpytaniami i doprowadzić do jego zawieszenia w ten sposób. Dlatego też powinieneś mieć pewność że potrafisz przetworzyć i zablokować atak prz zalewaniu Twojego serwera niechcianymi odpytaniami.
Jeżeli byłeś już zainteresowany tematem i znalazłeś tutoriale opisujące jak to zrobić z pewnością natknąłeś się na tablice filter i łańcuch CHAIN który ma cię ochronić przed atakiem DDoS.
Jednak należy zdać sobie sprawę że przy tym podejściu do tematu łańcuch INPUT jest wyłącznie przetwarzany po łańcuchu PREROUTING i FORWARD a w związku z tym nie pasuje do żadnego z nich. To powoduje opóźnienia w filtrowaniu pakietów a zasoby komputera zanim dojdą do tego pakietu są zużywane. Dlatego tak ważne jest efektywne używanie reguł jak to tylko możliwe, aby zapobiec takiemu atakowi zanim serwer się zawiesi na czym zależy atakującemu.
Pierwszym łańcuchem który użyjemy jest łańcuch PREROUTING, który chcemy przefiltrować ze złych pakietów/
Należy zauważyć że tablica fiter nie wspiera PREROUTING-u, a więc aby ominąć ten problem wykorzystamy tablicę mangle. Wspiera ona większość jeżeli nie wszystkie reguły filter.
Teraz powinieneś wiedzieć dlaczego iptables może zawodzić przed atakiem DDoS. Dzieje się tak ponieważ jeżeli używasz tablicy filter do blokowania wrogich pakietów!
Najlepszym rozwiązaniem które zwiększy wydajność twoich reguł iptables i uchroni cię przed atakiem (TCP) DDoS jest użycie tablicy mangle oraz łańcucha PREROUTINGU.
Rozszerzenia reguł
Wiele funkcji dostępnych jest poprzez rozszerzenia, ładowane przez -m (patrz teżman iptables-extensions): –
-m tcp/udp – jest automatycznie ładowany razem z -p udp/tcp; pozwala ustalić m.in. port źródłowy i docelowy –sport/–dport,
-m conntrack – wybiera stan połączenia –ctstate, m.in.: INVALID, NEW, ESTABLISHED, RELATED,
-m comment – pozwala na dowolny komentarz –comment,
-m limit – dzięki –limit ogranicza liczbę pakietów na jednostkę czasu,
-m time – pozwala włączyć regułę o –datestart i wyłączyć o –datestop,
-m connlimit – używając –connlimit-above pozwala ograniczyć liczbę połączeń z jednego adresu.
Najlepsze ustawienia jądra systemowego do łagodzenia ataków DDoS
Kolejnym błędem popełnianym przez administratorów systemów jest brak optymalizacji jądra systemowego które może łagodzić objawy ataku.
Zwróć uwagę że ten poradnik skupia się na systemie CentOS 7 i uwzględnia implementacje mechanizmu SYNPROXY będący nowym modułem iptables.
Musisz mieć więc na uwadze że niektóre opcje kernela muszą być dostosowane do Twojej dystrybucji linuxa.
Tak więc umieść poniższe ustawienia w pliku:
/etc/sysctl.conf i zatwierdź poleceniem sysctl -p.
Anti-DDoS Kernel Settings (sysctl.conf)
kernel.printk = 4 4 1 7 kernel.panic = 10 kernel.sysrq = 0 kernel.shmmax = 4294967296 kernel.shmall = 4194304 kernel.core_uses_pid = 1 kernel.msgmnb = 65536 kernel.msgmax = 65536 vm.swappiness = 20 vm.dirty_ratio = 80 vm.dirty_background_ratio = 5 fs.file-max = 2097152 net.core.netdev_max_backlog = 262144 net.core.rmem_default = 31457280 net.core.wmem_max = 67108864 net.core.somaxconn = 65535 net.core.rmem_max = 67108864 net.core.wmem_default = 31457280 net.core.optmem_max = 25165824 net.ipv4.neigh.default.gc_thresh1 = 4096 net.ipv4.neigh.default.gc_thresh2 = 8192 net.ipv4.neigh.default.gc_thresh3 = 16384 net.ipv4.neigh.default.gc_interval = 5 net.ipv4.neigh.default.gc_stale_time = 120 net.netfilter.nf_conntrack_max = 10000000 net.netfilter.nf_conntrack_tcp_loose = 0 net.netfilter.nf_conntrack_tcp_timeout_close_wait = 10 net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 20 net.netfilter.nf_conntrack_tcp_timeout_established = 1800 net.netfilter.nf_conntrack_tcp_timeout_close = 10 net.netfilter.nf_conntrack_tcp_timeout_last_ack = 20 net.netfilter.nf_conntrack_tcp_timeout_syn_recv = 20 net.netfilter.nf_conntrack_tcp_timeout_syn_sent = 20 net.netfilter.nf_conntrack_tcp_timeout_time_wait = 10 net.ipv4.tcp_slow_start_after_idle = 0 net.ipv4.ip_local_port_range = 1024 65000 net.ipv4.ip_no_pmtu_disc = 1 net.ipv4.route.flush = 1 net.ipv4.route.max_size = 8048576 net.ipv4.icmp_echo_ignore_broadcasts = 1 net.ipv4.icmp_ignore_bogus_error_responses = 1 net.ipv4.tcp_congestion_control = htcp net.ipv4.tcp_mem = 65536 131072 262144 net.ipv4.udp_mem = 65536 131072 262144 net.ipv4.tcp_rmem = 4096 87380 33554432 net.ipv4.udp_rmem_min = 16384 net.ipv4.tcp_wmem = 4096 87380 33554432 net.ipv4.udp_wmem_min = 16384 net.ipv4.tcp_max_tw_buckets = 1440000 net.ipv4.tcp_tw_recycle = 0 net.ipv4.tcp_tw_reuse = 1 net.ipv4.tcp_max_orphans = 400000 net.ipv4.tcp_window_scaling = 1 net.ipv4.tcp_rfc1337 = 1 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_synack_retries = 1 net.ipv4.tcp_syn_retries = 2 net.ipv4.tcp_max_syn_backlog = 16384 net.ipv4.tcp_timestamps = 1 net.ipv4.tcp_sack = 1 net.ipv4.tcp_ecn = 2net.ipv4.tcp_fack = 1 net.ipv4.tcp_fin_timeout = 10 net.ipv4.tcp_keepalive_time = 600 net.ipv4.tcp_keepalive_intvl = 60 net.ipv4.tcp_keepalive_probes = 10 net.ipv4.tcp_no_metrics_save = 1 net.ipv4.ip_forward = 0 net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.send_redirects = 0 net.ipv4.conf.all.accept_source_route = 0 net.ipv4.conf.all.rp_filter = 1
Powyższe ustawnienia zmaksymalizują wydajność podczas ataku typu DDoS.
Co da Ci realną ochronę przed atakiem DDoS?
Ataki DDoS są złożone i jest wiele rodzajów ataków niemożliwych do zatrzymania na podstawie sygnatur dla nich wspólnych ponieważ jest zbyt wiele.
Ale na szczęście jest coś takiego jak śledzenie połączenia (connection tracking – nf_conntrack) wbudowane w jądro systemu, które umożliwia złagodzenie każdego rodzaju ataku które nie używa pakietów SYN. To uwzględnia wszystkie pakiety ACK i SYN-ACK a także fałszywe pakiety z flagą TCP.
A więc zacznijmy od prostej reguły która zatrzymuje atak DDoS na protokole TCP.
Blokowanie nieprawidłowych PAKIETÓW
iptables -t mangle -A PREROUTING -m conntrack --ctstate INVALID -j DROP
Poniższa reguła blokuje wszystkie pakiety które nie służą do zestawienia połączenia TCP przy użyciu pakietów SYN.
Blokowanie nowych połączeń TCP które nie są inicjowane przez pakiety SYN
iptables -t mangle -A PREROUTING -p tcp ! --syn -m conntrack --ctstate NEW -j DROP
Poniżej zablokujemy pakietu które są nowe (nie służą do zestawienia połączenia) i nie używają flagi SYN. Poniższe reguły są podobne do „Blokowania nieprawidłowych pakietów” ale zauważ że przechwytują pakiety których inne reguły nie przechwytują
Blokowanie pakietów MSS o niprawidłowej wartości
iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP
Powyższe reguły blokują tylko takie z flagą SYN niektóre ale nie wszystkie również TCP MSS to pozwala zapobiec atakom SYN FLOOD.
Blokowanie pakietów ze błędną flagą TCP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
Powyższe reguły blokują błędne pakiety flagi TCP które nie zostaną użyte.
Blokowanie pakietów z podsieci (Spoofing)
iptables -t mangle -A PREROUTING -s 224.0.0.0/3 -j DROP iptables -t mangle -A PREROUTING -s 169.254.0.0/16 -j DROP iptables -t mangle -A PREROUTING -s 172.16.0.0/12 -j DROP iptables -t mangle -A PREROUTING -s 192.0.2.0/24 -j DROP iptables -t mangle -A PREROUTING -s 192.168.0.0/16 -j DROP iptables -t mangle -A PREROUTING -s 10.0.0.0/8 -j DROP iptables -t mangle -A PREROUTING -s 0.0.0.0/8 -j DROP iptables -t mangle -A PREROUTING -s 240.0.0.0/5 -j DROP iptables -t mangle -A PREROUTING -s 127.0.0.0/8 ! -i lo -j DROP
Reguły blokują ruch podsieci lokalnych. Zwykle w sieciach publicznych nie chesz otrzymywać pakietów z sieci lokalnych od urządzeń podpiętych pod nią.
Powyższe reguły dotyczą również twojego interfejsu loopback – 127.0.0.0/8.
Dodatkowe reguły
iptables -t mangle -A PREROUTING -p icmp -j DROP
Dzięki tej regule nie będziesz spingowany a host nie uzyska odpowiedzi. Używane jest to tylko po to aby atakujący nie wiedział czy widniejsz w sieci. Dość dużo ataków jest automatyzowanych a dzięki tej regule po ‚spingowaniu’ skrypt atakujący może uznać że urządzenia/serwera pod tym adresem IP nie ma. Reguła ta też blokuje atak typu ping flood i ICMP fragmentation flood.
iptables -A INPUT -p tcp -m connlimit --connlimit-above 80 -j REJECT --reject-with tcp-reset
Powyższa reguła nakłada limit połączeń powyżej 80. Należy wziąść pod uwagę że ten limit przy niektórych usługach może być zaniżony.
iptables -A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 60/s --limit-burst 20 -j ACCEPT iptables -A INPUT -p tcp -m conntrack --ctstate NEW -j DROP
Powyższe reguły ograniczają ilość połączeń na sekundę. Takie reguły mogą być pomocne przeciwko atakom, ale nie przed atakiem typu SYN floods ponieważ takie ataki zwykle wukorzystują dużą ilość adresów IP.
iptables -t mangle -A PREROUTING -f -j DROP
Powyższa reguła blokuje pofragmentowane pakiety, zwykle nie potrzebujesz blokowanie takich pakietów ale może to uchronić się przed atakiem typu UDP fragmentation flood. Jednak zwróć uwagę że taki typ ataku raczej ma wyczerpać przepustowość Twojej karty sieciowej, a więc reguła raczej jest opcjonalna i nie jest użyteczna,
iptables -A INPUT -p tcp --tcp-flags RST RST -m limit --limit 2/s --limit-burst 2 -j ACCEPT iptables -A INPUT -p tcp --tcp-flags RST RST -j DROP
Powyższe reguły mają zablokować przychodzące połączenia pakietów TCP RST i zapobiec atakowi TCP RST floods. Zasadność tej reguły jest kwestionowana.
Ochrona przed atakami SYN Floods za pomocą SYNPROXY
SYNPROXY to nowe narzędzie wprowadzone wraz z jądrem Linuxa w wersji 3.12 i iptables w wersji 1.4.21. dla CentOS 7 które zostało domyślnie wprowadzone wraz z kernelem 3.10.
Zadaniem SYNPROXY jest sprawdzenie kiedy urządzenie wysyła pakiety SYN i kiedy zostało zestawione połączenie TCP.
Pomimo tego że wprowadziliśmy wiele mechanizmów blokujących ataki DDoS to można go przeprowadzić nadal za pomocą wyszukanych metod.
Ważnym jest zauważenie że wydajność reguł zawsze jest lepsza jeżeli jest znana sygnatura lub wzorzec który ma zostać zablokowany tako jak długość pakietu (-m długość),TOS czyli Type of Service (-m tos), czas życia (-m ttl) wartości łańcuchów znaków lub wartości hexadecymalne (-m text -m u32 dla bardziej zaawansowanych użytkowników)
Jednak w kilku rzadkich przypadkach nie jest możliwe lub trudne do osiągnięcia zablokowanie takiego ataku dlatego też należy skorzystać z SYNPROXY.
Poniżej zbiór reguł SYNPROXY który ograniczy atak SYN flood:
iptables -t raw -A PREROUTING -p tcp -m tcp --syn -j CT --notrack iptables -A INPUT -p tcp -m tcp -m conntrack --ctstate INVALID,UNTRACKED -j SYNPROXY --sack-perm --timestamp --wscale 7 --mss 1460 iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
Powyższe reguły odnoszą się do wszystkich portów. Jeżeli chcesz używać SYNPROXY tylko na wybranych portach które są aktywne co jest rekomendowane nie powinieneś blokować wszystkich portów, tylko wybrane używając tablicy MANGLE i łańcuch PREROUTINGU. Możwsz w prosty sposób dodać port który cię interesje np –dport 80 dla każdej regułki która używa SYNPROXY.
Aby zweryfikować że SYNPROXY działa, możesz sprawdzić to poleceniem
watch -n1 cat /proc/net/stat/synproxy
Jeżeli wartość zmienia się jeżeli zestawisz nowe połączenie TCP na porcie który wspazałeś oznacza to że SYNPROXY działa.
Kompletny zestaw regół przeciw atakowu DDoS
Jeżeli nie chcesz kopiować i wklejać poszczególnych reguł w tym artykule możesz to wykonać zbiorczo kopiując skrypt poniżej:
### 1: Drop invalid packets ### /sbin/iptables -t mangle -A PREROUTING -m conntrack --ctstate INVALID -j DROP ### 2: Drop TCP packets that are new and are not SYN ### /sbin/iptables -t mangle -A PREROUTING -p tcp ! --syn -m conntrack --ctstate NEW -j DROP ### 3: Drop SYN packets with suspicious MSS value ### /sbin/iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP ### 4: Block packets with bogus TCP flags ### /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP /sbin/iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP ### 5: Block spoofed packets ### /sbin/iptables -t mangle -A PREROUTING -s 224.0.0.0/3 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 169.254.0.0/16 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 172.16.0.0/12 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 192.0.2.0/24 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 192.168.0.0/16 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 10.0.0.0/8 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 0.0.0.0/8 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 240.0.0.0/5 -j DROP /sbin/iptables -t mangle -A PREROUTING -s 127.0.0.0/8 ! -i lo -j DROP ### 6: Drop ICMP (you usually don't need this protocol) ### /sbin/iptables -t mangle -A PREROUTING -p icmp -j DROP ### 7: Drop fragments in all chains ### /sbin/iptables -t mangle -A PREROUTING -f -j DROP ### 8: Limit connections per source IP ### /sbin/iptables -A INPUT -p tcp -m connlimit --connlimit-above 111 -j REJECT --reject-with tcp-reset ### 9: Limit RST packets ### /sbin/iptables -A INPUT -p tcp --tcp-flags RST RST -m limit --limit 2/s --limit-burst 2 -j ACCEPT /sbin/iptables -A INPUT -p tcp --tcp-flags RST RST -j DROP ### 10: Limit new TCP connections per second per source IP ### /sbin/iptables -A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 60/s --limit-burst 20 -j ACCEPT /sbin/iptables -A INPUT -p tcp -m conntrack --ctstate NEW -j DROP ### 11: Use SYNPROXY on all ports (disables connection limiting rule) ### # Hidden - unlock content above in "Mitigating SYN Floods With SYNPROXY" section
Dodatkowe reguły iptables
Jeżeli chcesz dodatkowo wzmocnić swój VPS / Serwer użyj dodatkowo tych reguł:
### SSH brute-force protection ### /sbin/iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --set /sbin/iptables -A INPUT -p tcp --dport ssh -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 10 -j DROP ### Protection against port scanning ### /sbin/iptables -N port-scanning /sbin/iptables -A port-scanning -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN /sbin/iptables -A port-scanning -j DROPP
Jak wyszukiwać efektywnie w Google? #15 tricków i porad
Sztuczki tricki i efektywne narzędzia Jak wynika z wyliczeń Forbsa co 7 osoba korzysta z wyszukiwarki Google, co daje ponad miliard użytkowników, co daje miliony jak nie miliardy wyszukiwań haseł codziennie. Uczniowie, studenci, biznesmeni, pracownicy biurowi wyszukują hasła w celach edukacyjnych jak i zawodowych. Dlatego […]
Redirect location/folder on nginx.
To redirect folder on nginx you cane add to the configuration file this lines: nano /etc/nginx/sites-available/default location ~ /<strong>folder-name</strong>/(.*)$ { rewrite ^/<strong>folder-name</strong>/(.*)$ /new-name/$1 permanent; } to redirect location on nginx: rewrite ^/folder-name/myWell-known-article /folder-name/my-new-name-article permanent; Flags use to redirect As earlier mentioned, there are few flags […]
Jewish extermination in Kozova
During the II World War in Polish Kozova, nowadays Ukraine, the Jews were exterminated by Germans. Before this fact there had existed a Jewish ghetto. To save their lives the Jews from Kozowa were forced to pay twice in money or gold. After this fact, […]
Change DPI of QImage / Qt
If you want to change dpi for example for 96 dpi per inch you should use this method:
const double dpi = 96 / 0.0254;
img.setDotsPerMeterX(dpi);
img.setDotsPerMeterY(dpi);
Weekend w Sławkowie
Ciekawe miejsca w Sławkowie Wypad Niedzielny do Sławkowa. Ciekawa knajpa lub restauracja chodź średnio wyglądająca „Finezja” w małym Rynku obok Rynku w Sławkowie. Jednak rosół był dobry. Ceny całkiem przyzwoite na każdą kieszeń. Sławków opisałbym małą Wenecją wąskie uliczki małe domki, klimatyczne przejścia i świeże […]
„9 Kwietnia” – czyli jak walczyli duńczycy
W filmie „9 Kwietnia” jest ukazane jak Niemcy wkroczyli do Dani. Film jest oparty na faktach autentycznych i ukazuje zamiast waleczności wycofywanie się garstki duńczykich żołnierzy. Żołnierze w filmie uzbrojeni są w karabiny, którymi strzelają do pojazdów opancerzonych i czołgu (nie wiem dlaczego nie strzelali […]
Proxy in Google Chromium | Ubuntu
You can use proxy list from site:
https://free-proxy-list.net/anonymous-proxy.html
for example:
/usr/bin/chromium-browser %U --incognito --proxy-server="208.83.106.105:9999"
/usr/bin/chromium-browser %U –incognito –proxy-server=”adress:ip”
How to mine no gui XMR using CPU on Ubuntu
First download from this link deb file: https://minergate.com/download/deb-cli you can use lynx https://minergate.com/download/deb-cli to download on serwer. You should Download using letter d and save file to local directory. or visit website: https://minergate.com/downloads/console next step is install: sudo dpkg -i ./minergate-cli-release.deb after that you can […]
Opłacalność wydobycia Kryptowalut.
Obecnie wydobycie kryptowalut, które mają już dedykowane do roziwązwania hardwerowe problemu nie jest opłacalne. Jest tak ponieważ specjalnie przystosowane sprzętowe rozwiązania (Koparki ASCI) biją inne możliwości kopania kilkuset krotnie jak CPU (kopanie procesorem) i GPU (kopanie kartą graficzną). W sieci można znaleźć przykłady kalkulatorów dzięki […]
Dunkierka recenzja.
Dunkierka to film który przedstawia losy francusko angielskie armii skupionej na wybrzeżu francuskim. Film przedstawia losy kilku bohaterów jednocześnie. W związku z tym od filmu nie można oczekiwać tego że przedstawi losy jednego bohatera w ujęciu hollywoodzkim. Film pokazuje jak w obliczu zagrożenia zachowują się wobec siebie dwie sprzymierzone armie. Fabuła określiłbym na dosyć specyficzną ale nie warte obejrzenia ze względu na wielowątkowość. Jeśli ktoś chce obejrzeć smutny film o umieraniu i polowaniu na ludzi to zapraszam do kina. W filmie nie została pod koloryzowana charakterystyka bohaterów. Jedyne co łączy wszystkich ludzi w filmie to chęć przeżycia za wszelką cenę i kosztem innych nawet najbliższych ludzi. Piloci i cywile zostali ukazani jako ludzie obdarzeni honorem i chęcią pomocy. Żołnierzy I dowódcy z chęcią minimalizacji strat i wolą przeżycia. Film nie należy do inscenizacji które trafią do przeciętnego odbiorcy jednak istnieje grupa osób do których taki film może przemówić.
Google optimizer. Bash script to recursive optimize all png and .jpg
First of all install:
sudo apt install jpegoptim
and
sudo apt install optipng
nesxt make script file in your website folder
touch ./optimizer.sh
chmod +x ./optimizer.sh
next paste the code to file
nano ./optimizer.sh
#!/bin/bash # Script Google Optimizer # Autor: Szymon Wójtowicz # Site: http://artmetic.pl # Blog: http://blog.artmetic.pl for f in $(find ./ -name '*.png' -or -name '*.jpg'); do if [[ $f == *.png ]] ;then optipng -strip all -o5 "$f"; elif [[ $f == *.jpg ]] ; then jpegoptim "$f" --strip-all; fi done
and run with command
./optimizer.sh
next check speed of your site
