我该如何改进这个脚本防火墙？

Question

最近，我的一台服务器受到一些中国 IP（这些 IP 并不总是相同）的多次 Dos 攻击（数千个请求/分钟）的攻击。

因此，在我的框架开始时，我做了一个小函数，用于在 ip 发出过多请求时进行阻止。

function firewall() {
  $whitelist = array('someips');

  $ip = $_SERVER['REMOTE_ADDR'];

  if (in_array($ip,$whitelist))
    return null;

  if (search($ip,$pathToFileIpBanned))
    die('Your ip did too many requests')

  appendToFile($ip,$pathTofileIpLogger); //< When the file reaches 13000 bytes truncate it

  if (search($ip,$pathTofileIpLogger) > $maxRequestsAllowed)
     appendToFile($ip,$pathToFileIpBanned);   
}

• 基本上，该脚本会检查当前 ip 是否在文件“ipBlocked”中找到，如果发现它已死亡。
• 如果未找到，则会将当前 IP 添加到文件记录器“ipLogger”中。
• 此后，它会计算 ipLogger 文件中 ip 的出现次数（如果它们>）。 $max 它通过将 ip 添加到文件中来阻止此 ip ipBlocked

ATM 正在工作.. 它已禁止一些中文/tw ip

该脚本的瓶颈是搜索功能，该功能必须计算文件中字符串的出现次数（ip ）。由于这个原因，我保持文件的低位（iplogger 文件一旦达到记录的 600-700 ips 就会被截断）

当然，为了将 ips 添加到文件中而不必担心竞争条件，我这样做：

file_put_contents($file,$ip."\n",FILE_APPEND | LOCK_EX);

唯一的问题我正在经历的是 NAT 背后的人。他们都有相同的IP，但他们的请求不应该被阻止

Answer 1

虽然这会在请求执行更重的操作（例如数据库读取等）之前停止请求，但您可能需要考虑将其降低到 Web 服务器，甚至进一步降低到软件/硬件防火墙。

较低级别会更加慷慨地处理这个问题，并且开销也会少得多。请记住，通过启动 PHP，他们仍然会消耗您的一名工作人员一段时间。

Answer 2

以下是我的一些笔记，希望对你有用。

在我看来，防火墙的功能太多了，而且它的名字也不是很具体。它都处理 ip/访问的保存、结束脚本或不执行任何操作。我希望调用此函数时墙壁会被点燃。

我会选择一种更面向对象的方法，其中防火墙不被称为防火墙，而是类似黑名单的东西。

$oBlackList = new BlackList();

该对象仅负责黑名单本身，仅此而已。
它可以判断某个 IP 地址是否在黑名单上，从而实现如下功能：

$oBlackList = new BlackList();
if ($oBlackList->isListed($sIpAddress)) {
    // Do something, burn the intruder!
}

这样，您就可以按照自己想要的方式进行创造性处理，并且不受功能主体的限制。您可以使用函数扩展该对象以将地址添加到列表中。也许是 $oBlackList->addToList($sIpAddress); 。

这样，访问量的处理或其存储就不再局限于您的防火墙主体。您可以实现数据库存储、文件存储（如您现在使用的）并随时切换，而不会使您的黑名单失效。

反正就是闲逛而已！

Answer 3

您应该为每个被阻止的 IP 创建一个文件。这样，您就可以通过 .htaccess 阻止访问者，如下所示：

# redirect if ip has been banned
ErrorDocument 403 /
RewriteCond %{REQUEST_URI} !^/index\.php$
RewriteCond /usr/www/firewall/%{REMOTE_ADDR} -f
RewriteRule . - [F,L]

如您所见，它只允许访问 index.php。这样，您可以在发出大量数据库请求之前在第一行执行一个简单的 file_exists() 操作，并且可以抛出 IP 解锁验证码以避免永久阻止误报。与不返回任何信息或没有解锁机制的简单硬件防火墙相比，您可以获得更好的用户体验。当然，您可以抛出一个简单的 HTML 文本文件（以 php 文件作为表单目标）以避免 PHP 解析器工作。

关于 DoS，我认为您不应仅依赖 IP 地址，因为这会导致许多误报。或者您有第二个级别的白名单代理 ip。例如，如果某个 IP 被多次解锁。阻止不需要的请求的一些想法：

1. 是人类还是爬虫？ (HTTP_USER_AGENT)
2. 如果是抓取工具，它是否尊重 robots.txt？
3. 如果是人类，他是否访问了人类未访问过的链接（例如通过CSS变得不可见的链接或移出可见范围或表单......）
4. 如果是爬虫，那么白名单怎么样？
5. 如果是人类，他会像人类一样打开链接吗？ （例如：在 stackoverflow 的页脚中，您会发现旅游帮助博客聊天数据法律隐私政策工作这里广告信息移动联系我们反馈。我认为没有人会打开其中 5 个或更多，但一个不好的爬虫可能=阻止它的ip。

如果你真的想依赖ip/min，我建议不要使用LOCK_EX并且只使用一个文件，因为它会导致瓶颈（只要锁存在，所有其他请求都需要）等待）。只要 LOCK 存在，示例：

$i = 0;
$ip_dir = 'ipcheck/';
if (!file_exists($ip_dir) || !is_writeable($ip_dir)) {
    exit('ip chache not writeable!');
}
$ip_file = $ip_dir . $_SERVER['REMOTE_ADDR'];
while (!($fp = @fopen($ip_file . '_' . $i, 'a')) && !flock($fp, LOCK_EX|LOCK_NB, $wouldblock) && $wouldblock) {
    $i++;
}
// by now we have an exclusive and race condition safe lock
fwrite($fp, time() . PHP_EOL);
fclose($fp);

这将生成一个名为 12.34.56.78_0 的文件，如果遇到瓶颈，它将创建一个名为 12.34.56.78_1 的新文件。最后，您只需要合并这些文件（尊重锁！）并在给定时间段内检查许多请求，

但现在您面临下一个问题，这并不是一个好主意。一个简单的解决方案是在开始检查之前使用 mt_rand(0, 10) == 0 另一种解决方案是检查 filesize() 所以我们这样做。不需要打开文件。这是可能的，因为每个请求都会增加文件大小。或者您检查filemtime()。如果最后一次文件更改是在同一秒或仅一秒前完成的。 PS 这两个函数速度相当。

至此，我提出了我的最终建议。仅使用 touch() 和 filemtime()：

$ip_dir = 'ipcheck/';
$ip_file = $ip_dir . $_SERVER['REMOTE_ADDR'];
// check if last request is one second ago
if (filemtime($ip_file) + 1 >= time()) {
    mkdir($ip_dir . $_SERVER['REMOTE_ADDR'] . '/');
    touch(microtime(true));
}
touch($ip_file);

现在，每个可能是 DoS 攻击的 IP 都有一个文件夹，其中包含其 microtime请求，如果您认为它包含许多此类请求，您可以使用 touch('firewall/' . $_SERVER['REMOTE_ADDR']) 来阻止 IP。当然，您应该定期清理整个东西。

我的经验（德语） 使用这样的防火墙都非常好。

Answer 4

您可以使用一些非常基本的文件/序列化代码作为示例：

<?php
$ip = $_SERVER['REMOTE_ADDR'];

$ips = @unserialize(file_get_contents('%path/to/your/ipLoggerFile%'));
if (!is_array($ips)) {
  $ips = array();
}

if (!isset($ips[$ip])) {
  $ips[$ip] = 0;
}

$ips[$ip] += 1;
file_put_contents('%path/to/your/ipLoggerFile%', serialize($ips));

if ($ips[$ip] > $maxRequestsAllowed) {
  // return false or something
}

当然，您必须以某种方式将其集成到您的防火墙功能中。