간헐적 클량 mysql 가출의 원인 추측 ~ 시발킥블로그 SIBALKICK BlogSpot.com

mairoo님

2017-03-28 09:50 , Hit : 906 , Vote : 0

지난 주에 관리하던 사이트에서 아파치 점유율은 낮은데 mysql 점유율이 비정상적으로 치솟아

서 확인해보니

로그인 페이지에서 무작위로 아이디/비밀번호 대입공격을 받고 있었습니다.

클량 사이트와 공통점이라면 php 작성 홈페이지에 로그인할 때 captcha 없고 해외 접속 가능한 홈페이지였습니다.

처음에는 단순히 몇 대 IP만 차단하면 될 줄 알았는데 총 4차례에 걸쳐 수 천 대의 좀비PC로 공격받아서 당장 captcha 달기 어려운 상황이라 어쩔 수 없이 국내 아이피 대역만 접속 가능하도록 했습니다.

그랬더니 그 상황에서도 국내 아이피 좀비PC가 약 25대가 공격하고 있더군요.

클량 같이 회원수가 많은 곳의 경우 아이디/비밀번호/이메일(특히 네이버) 주소 따면 비밀번호가 같은 유저가 상당수 있을 것이기 때문에 타겟이 되고 있지 않을까 생각이 됩니다.

mysql만 가출하고 있어서 의심된다고 생각하는 부분이었네요.

클리앙이 비번 틀리면 응답을 늦게 주는 구조라 어느정도 방어를 하는거 아니었나 싶었는데 말이죠

10대 이하로 들어오는 거면 그런 방어가 효과가 있을텐데 이번에 공격 받을 때보니깐 수천대가 동시에 붙어서 들어오더라구요. 클량 정도면 충분히 타겟이 될 수 있을 것 같다는 생각이 듭니다.

이제 세일즈 하시는 분들이 가서 ddos 방어솔류션 판매 하고 오면 되겠군요

그게 문제면 로긴과 데이터(게시판)을 분리하기만하면 되죠. 이건 진짜 쉬운 방법이고요. 그게 아니니 이모양이겠죠.

에러 원인이 too many connection 이라서
구조 설계를 다시 해야 해요.

proxy 를 깔아서 실제 커넥션수를 줄이던가 더 DB 분산 시키던가
캐쉬레이어를 넣던가

참다운길님
+1
#CLiOS

제가 우연히 발견 한거는 페이지를 아~~~~주 과거로 갔을 경우 가출되더군요.
종종 댓글로 달았습니다만~

시발킥블로그 SIBALKICK BlogSpot.com