Estou recebendo um ataque DoS em um site wordpress que hospedo.
173.192.109.118 - - [30/Sep/2015:22:31:36 +0000] "POST /xmlrpc.php HTTP/1.0" 499 0 "-" "Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)"
Eu recebo cerca de ~ 140 desses registros no meu log de acesso nginx (demorou cerca de 10 segundos, então ~ 14 req / segundo) e, em seguida, eles mudaram para 502:
173.192.109.118 - - [30/Sep/2015:22:31:46 +0000] "POST /xmlrpc.php HTTP/1.0" 502 537 "-" "Mozilla/4.0 (compatible: MSIE 7.0; Windows NT 6.0)"
Nesse momento, PHP-FPM precisa ser reiniciado para restaurar o site.
Então, minha pergunta é: Há algo que eu possa fazer para evitar que um invasor solitário falhe em PHP-FPM ?
A maior parte da minha (limitada) experiência tem sido com o Apache, portanto, qualquer conselho seria muito apreciado.
Eu tentei estabelecer limites sensatos em tudo. O servidor tem muita memória RAM sob carga, então esse não parece ser o problema. Acabei de adicionar um limitador de taxa no tutorial a seguir: link e, embora isso pareça atrasar a agonia , ele ainda acaba quebrando PHP-FPM .
O /var/log/php5-fpm.log não parece mostrar nada de interessante ou útil além de alguns erros que eu apresentei quando esqueci de adicionar um arquivo principal / no arquivo de configuração, e um monte de linhas de sucesso reiniciando:
[30-Sep-2015 23:03:51] ERROR: Unable to create or open slowlog(/usr/log/www.log.slow): No such file or directory (2)
[30-Sep-2015 23:03:51] ERROR: failed to post process the configuration
[30-Sep-2015 23:03:51] ERROR: FPM initialization failed
[30-Sep-2015 23:05:47] NOTICE: configuration file /etc/php5/fpm/php-fpm.conf test is successful
/etc/php5/fpm/pool.d/www.conf
[www]
user = www-data
group = www-data
listen = /var/run/php5-fpm.sock
listen.owner = www-data
listen.group = www-data
pm = dynamic
pm.max_children = 5
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 3
pm.status_path = /status
ping.path = /ping
ping.response = pong
slowlog = /var/log/php-fpm_$pool.slow.log
request_slowlog_timeout = 30
request_terminate_timeout = 30
chdir = /
/etc/nginx/nginx.conf
user www-data;
worker_processes 4;
pid /run/nginx.pid;
events {
worker_connections 768;
}
http {
sendfile on;
tcp_nopush on;
tcp_nodelay on;
keepalive_timeout 65;
types_hash_max_size 2048;
include /etc/nginx/mime.types;
default_type application/octet-stream;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log;
gzip on;
gzip_disable "msie6";
gzip_vary on;
gzip_proxied any;
gzip_comp_level 6;
gzip_buffers 16 8k;
gzip_http_version 1.1;
gzip_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript;
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
include /etc/nginx/conf.d/*.conf;
include /etc/nginx/sites-enabled/*;
}
/etc/nginx/sites-enabled/example.com
server {
server_name localhost www.example.com;
return 301 http://example.com$request_uri;
}
server {
listen 80 default_server;
listen [::]:80 default_server ipv6only=on;
root /var/www/html;
index index.php index.html index.htm;
server_name example.com;
client_max_body_size 500M;
location / {
try_files $uri $uri/ /index.php?q=$uri&$args;
}
error_page 404 /404.html;
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root /var/www/html;
}
location ~* \.(jpg|jpeg|png|gif|ico|css|js|woff)$ {
expires 365d;
}
location ~ \.php$ {
try_files $uri =404;
fastcgi_split_path_info ^(.+\.php)(/.+)$;
fastcgi_pass unix:/var/run/php5-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
include fastcgi_params;
limit_req zone=one burst=5;
}
location /status {
fastcgi_pass php;
}
location /ping {
fastcgi_pass php;
}
location ~ /\. {
deny all;
}
}
** UPDATE **
Atualizei o título para refletir um pouco melhor a minha pergunta, na esperança de atrair uma discussão de qualidade sobre PHP-FPM tuning.
Como uma questão secundária, e possivelmente mais importante do que a minha primeira pergunta, eu estou querendo saber: Como faço para ajustar / endurecer o PHP-FPM para utilizar todos os meus recursos de servidor disponíveis sem travar primeiro.
O Apache / PHP pode não ter sido tão eficiente, mas não parou de atender solicitações até que o servidor foi colocado de lado e, quando o ataque acabou, o site voltou a funcionar. Parece bastante desagradável ter que reiniciar manualmente um serviço que ficou um pouco sobrecarregado. (14 req / segundo é realmente nada)
Concordo com as ideias de utilizar fail2ban para atenuar os ataques DoS, mas estou realmente preocupado com o que acontecerá se / quando o tráfego regular chegar a 15 req / segundo