Ceci est une ancienne révision du document !

Bombe de décompression et attrape-crackbot

Source : https://twitter.com/sebsauvage_net/status/1339977926276689923 ; voir aussi https://fr.wikipedia.org/wiki/Bombe_de_d%C3%A9compression

Le principe : piéger les bots qui arpentent le web en cherchant des failles. Ce n'est pas une protection, juste des mines pour enquiquiner les enquiquineurs les moins doués.

Nginx peut servir des fichiers précompressés, qui vont se décompresser côté client, remplissant leur disque dur et sollicitant les machines. On attaque ces crackbot là où ça fait mal : sur leur temps d'exécution.

On commence par créer le fichier compressé :

dd if=/dev/zero bs=1M count=$((300*1024)) | gzip >/srv/http/example.com/anti_bots/my_bomb.gz

Puis on ajoute quelque chose dans ce style-là à Nginx (Merci Tycho pour ça !).

    location ~* /(wp-login\.php|phpmyadmin|pma) {
         gzip on;
         gzip_static always;
         alias /srv/http/example.com/anti_bots/my_bomb; # Do not specify .gz here, nginx infers it
    }

Ici la “location” va indiquer des motifs recherchés dans certains logiciels.

Piéger SSH

https://github.com/skeeto/endlessh

Ici le principe est similaire. Plutôt que de bannir des IP comme avec Fail2Ban, on va au contraire capturer le visiteur indésirable et lui faire perdre du temps en le laissant espérer une entrée.

Je suis moins convaincue par l'intérêt de ceci, car ça va garder une connexion active même si c'est dans un cul de sac.

sécurité