Fix attacchi ddos da game server - Windows!

[revhosting]

Faccio un post di pubblica utilità visto che riguarda qualcosa come 18.000 game server potenzialmente in grado di generare attacchi ddos mica da ridere.

Recentemente è stato individuato un exploit per compiere attacchi ddos mediante i game server Call of Duty 2/4 e Quake. Si tratta di un metodo subdolo che rende i game server di questo titolo, ma anche altri meno famosi, artefici involontari di attacchi ddos diretti verso altri sistemi.

L'articolo completo è qui. Se ne è discusso molto nei forum frequentati dai game service provider ma molti, soprattutto quelli che si hostano autonomamente i game server nei loro dedicati o vps, non ancora ne sono al corrente. Probabilmente non lo scopriranno mai e stanno andando fuori di testa.

Si tratta di flood UDP. Alcuni simpaticoni hanno trovato il modo di trasformare i game server Call of Duty 2, Call of Duty 4 e Quake e derivati (sono decine di migliaia) in uno strumento per compiere attacchi ddos. Normalmente ogni game server risponde ad un query protocol. La query string getstatus di un game server Call of Duty 4 pesa 14 bytes e "sputa" fuori un risultato di 500 bytes. Questi tizi floddano centinaia di query getstatus al secondo su ogni gameserver e tramite IP spoofing lasciano che questi rispondano alle loro vittime. Praticamente l'attacco ddos lo facciamo noi. Risultato? Server 100% banda utilizzata. Ovviamente più game server Cod 2/4 Quake si hanno sulla stessa macchina più il consumo aumenta.

Trovare i gameserver da sfruttare è facile visto che sono tutti presenti con tanto di IP:PORT nei vari Gamemonitor, Gametracker, ASE, XFire, Gamespy i vari MS e chi più ne ha più ne metta.

La soluzione è in allegato. L'ha realizzata omnigenus che l'ha condivisa in una zona dove è obbligatoria la registrazione e forse ci vuole pure l'autorizzazione. Dal momento che ha datto il permesso di diffonderla (share it!), la posto qui. Nel readme ci sono le istruzioni e i credits. Spero di essere stato di aiuto a qualcuno. Buon fix a tutti.

[EvolutionCrazy]

Quindi c'è gente che ad oggi ha continuato a lasciare che i propri servers funzionassero come bot e non ha avuto nemmeno una comunicazione con il proprio abuse?!?!

E' esattamente un anno fa che ho segnalato la cosa e che mi trovo a filtrarla
[cod] "reflection attacks" ... cod servers exploited ?

boh... forse in italia non andava ancora di moda

PS: i pacchetti in ingresso sono generalmente da 42 o 43bytes... i 14bytes (o 15) di peso che dici sono solo di payload

PS2: che versione è la fix che hai postato? nel thread dove la rilascia parla di varie "revisioni" e le ultime dicono che consumino molta cpu:
TCAdmin - The Game Hosting Control Panel

Io ho macchine che ormai da un anno esatto hanno praticamente fisso 24h/24h 5mbit di pacchetti spoofed in ingresso (che diventano circa 30mbit di upload se disabilito le regole del firewall)...

aggiungo che attacchi simili (come concetto) prendono sistematicamente piede con SYN flood che vengono riflessi verso porte TCP di cod4 (cod4 non usa porte tcp... ma tutti le tengono aperte comunque aperte perché altri giochi le usano..)

[EvolutionCrazy]

altro tipo di attacco che ho visto varie volte sono denial-of-service rcon tramite:
"Multi engine RCON tool and password guesser 0.2.3d" (multircon)
Luigi Auriemma

basta una normale connessione adsl a rendere l'rcon di qualsiasi server cod/quake etc inutilizzabile per tutta la durata dell'attacco :S
questi non causano problemi alla macchina o all'operatore di connettività ma rendono inutilizzabile il gameserver (almeno tutta la parte rcon)

questo come correzione la puoi fare con lo stesso metodo delle query riflesse: se si supera un tot banni la sorgente

e questo è solo uno degli esempi di abusi e DOS possibili... diciamo che il protocollo di query di q3 (cod2&cod4 compresi) ha varie debolezze e richiede un "rinforzo"/"filtro" esterno :S

Proviamo a far crescere questo thread in modo che raccolga vari problemi ed elabori un po' di soluzioni così da rendere il settore più sicuro e meno mal visto

PS: qui la versione patchata ufficiale dell'eseguibile per linux che fu rilasciata per filtrare il tipo di attacco che descrivi ad inizio thread:
http://icculus.org/pipermail/cod/201...st/015397.html