1. 
2. 
3. 
4. 
5. 
6. 
7. 
8. 
9. 
10. 
11. 
12. 
13. 
14. 
15. 
16. 
17. 
18. 
19. 
20. 
21. 
22. 
23. 
24. 
25. 
26. 
27. 
28. 
29. 
30. 
31. 
32. 
33. 
34. 
35. 
36. 
37. 
38. 
39. 
40. 
41. 
42. 
43. 
44. 
45. 
46. 
47. 
48. 
49. 
50. 
51. 
52. 
53. 
54. 
55. 
56. 
57. 
58. 
59. 
60. 
61. 
62. 
63. 
64. 
65. 
66. 
67. 
68. 
69. 
70. 
71. 
72. 
73. 

user nginx nginx;
worker_processes 4;
timer_resolution 100ms;
worker_rlimit_nofile 8192;
worker_priority -5;
error_log /var/log/nginx/error_log info;
events {
        worker_connections  4096;
        use epoll;
}



http {
        include /etc/nginx/mime.types;
        default_type application/octet-stream;

        log_format main
                '$remote_addr - $remote_user [$time_local] '
                '"$request" $status $bytes_sent '
                '"$http_referer" "$http_user_agent" '
                '"$gzip_ratio"';

################ Логи для скрипта анти-ддоса
log_format ddos '$remote_addr $status "$request"';
access_log /home/web/antiddos/main.log ddos;  # лог файл, для скрипта
include /etc/nginx/drop.conf;  # конфиг, куда скрипт будет складывать IP для забанненых юзверей, нужен на VPSках, где кол-во записей в iptables ограниченно
################
        client_max_body_size 50m; # максимальный размер файла для загрузки на сервер
        server_names_hash_bucket_size 64; # Длинные имена доменов
        client_header_timeout 10m; # таймауты
        client_body_timeout 10m; 
        send_timeout 10m;
        connection_pool_size 256;
        client_header_buffer_size 1k;
        large_client_header_buffers 4 2k;
        request_pool_size 4k;

gzip on;
gzip_min_length 1100;
gzip_buffers 64 8k;
gzip_comp_level 3;
gzip_http_version 1.1;
gzip_proxied any;
gzip_types text/plain application/xml application/x-javascript text/css;

server_tokens off;

        output_buffers   32 512k;
        postpone_output 1460;
        sendfile on;
        sendfile_max_chunk  128k;
        tcp_nopush on;
        tcp_nodelay on;
        keepalive_timeout 60 20;
        ignore_invalid_headers on;

        server {
                listen *:80;
                server_name *.*;  # редирект для всех запрашиваемых доменов
                server_name_in_redirect  off;
                include /etc/nginx/proxy;
                location = /status {
                        stub_status on;
                        access_log  off;
                        allow 127.0.0.1;
                        deny all;
                }
        }

}

1. 
2. 
3. 
4. 
5. 
6. 
7. 
8. 
9. 
10. 
11. 
12. 
13. 
14. 
15. 
16. 
17. 
18. 
19. 

location / {
                        proxy_pass http://127.0.0.1:80/;
                        proxy_redirect     off;
                        proxy_set_header Host $host;
                        proxy_set_header X-Real-IP $remote_addr;
                        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                        client_max_body_size       50m;
                        client_body_buffer_size    128k;
                        proxy_connect_timeout      30;
                        proxy_send_timeout         90;
                        proxy_read_timeout         90;
                        proxy_buffer_size          4k;
                        proxy_buffers              4 32k;
                        proxy_busy_buffers_size    64k;
                        proxy_temp_file_write_size 10m;
}

1. 
2. 
3. 
4. 
5. 
6. 
7. 
8. 
9. 
10. 
11. 
12. 
13. 
14. 
15. 
16. 
17. 
18. 
19. 
20. 
21. 
22. 
23. 
24. 
25. 
26. 
27. 
28. 
29. 
30. 
31. 
32. 
33. 
34. 
35. 
36. 
37. 
38. 
39. 
40. 
41. 
42. 
43. 
44. 
45. 
46. 
47. 
48. 
49. 
50. 
51. 
52. 
53. 
54. 
55. 
56. 
57. 
58. 
59. 
60. 
61. 
62. 
63. 
64. 
65. 
66. 
67. 
68. 
69. 
70. 
71. 
72. 
73. 
74. 
75. 
76. 
77. 
78. 
79. 
80. 
81. 
82. 
83. 
84. 
85. 
86. 
87. 
88. 
89. 
90. 
91. 
92. 
93. 
94. 
95. 
96. 
97. 
98. 
99. 
100. 
101. 
102. 
103. 
104. 
105. 
106. 
107. 
108. 
109. 
110. 
111. 
112. 
113. 
114. 
115. 
116. 
117. 
118. 
119. 
120. 
121. 
122. 
123. 
124. 
125. 
126. 
127. 
128. 
129. 
130. 
131. 
132. 
133. 
134. 
135. 
136. 
137. 
138. 
139. 
140. 
141. 
142. 
143. 
144. 
145. 
146. 
147. 
148. 
149. 
150. 
151. 
152. 
153. 
154. 
155. 
156. 
157. 
158. 
159. 
160. 
161. 
162. 
163. 
164. 
165. 
166. 
167. 
168. 
169. 
170. 
171. 
172. 
173. 
174. 
175. 
176. 
177. 
178. 
179. 
180. 
181. 
182. 
183. 
184. 
185. 
186. 
187. 
188. 
189. 
190. 
191. 
192. 
193. 
194. 
195. 
196. 
197. 
198. 
199. 
200. 
201. 
202. 
203. 
204. 
205. 
206. 
207. 
208. 
209. 
210. 
211. 
212. 
213. 
214. 
215. 
216. 
217. 
218. 
219. 
220. 
221. 
222. 
223. 
224. 

#!/usr/bin/php
<?php

### config
$time=time();

#### Директория, относительно которой будут лежать все файлы скрипта(включая логи nginx`a)
$dir="/home/web/ddos";
chdir($dir);

###############
#log_format ddos '$remote_addr $status "$request"';
#access_log /home/web/antiddos/main.log ddos;
############### Лог файл Nginx`a
$mainLog="main.log";

# Лог забаненных(создается и изменяеться самим скриптом)
$bannedLog="banned.txt";

# временный файл, нужный для парсинга
$tmpLog="tmp.log";

# статистика после парсинга
$statLog="stat.txt";

# Файл файрвола, нужный для записи в него правил, и последующего запуска(нужен chmod 7xx)
$FW_exec="fw.sh"; // NEED chmod +x

###### Подсеть для бана
### 32 = Банить только провенившийся IP (255.255.255.255)
### 24 = 255 hosts(255.255.255.0)
### google://ipcalc
$networkBan="/32";

#### строка парсинга логов, лучше не менять
// cmd to parse mainLog file
$ParseCMD="mv ".$dir."/".$mainLog." ".$dir."/".$tmpLog."; \
 cat ".$dir."/".$tmpLog." |grep -v 404| cut -d ' ' -f 1,2,3 | sort -n | uniq -c | sort -n > ".$dir."/".$statLog." ";

# Конфиг nginx`a в который складывать правила на DROP
# его нужно проинклудить в основной конфиг nginx.conf
$NginxDropCfg="/etc/nginx/drop.conf";
# строка перезапуска(повторного чтения конфигов, и пересоздания лог файла)
$NginxReloadCMD="nginx -s reload; nginx -s reopen";
# банить ли через nginx
$AllowNginxBan=1;


// Банить через IPTABLES ?
$AllowIptablesBan=0;
# Название цепочки, в которую добовлять правила(создаеться автоматичиски)
$IpTablesChain="AntiDDOS";
# команда для бана, |IP| автоматичиски заменяеться на IP злоумышленника
$BanIptablesCMD="/sbin/iptables -A $IpTablesChain -p tcp --dport 80 -s |IP|".$networkBan." -j DROP";

// <not work>
# недоделка для IPFW под freebsd, руки дойдут - сделаю
#For IPFW
$AllowIpfwBan=0;
$BanIpfwCMD="ipfw";
$UnBanIpfwCMD="ipfw";
// </not work>

//Time in MINUTES / настройки таймеров, в минутах
$TimeInCron=5; // как часто в скрипт находиться в кроне(для расчетов кол-ва запросов в секунду)
$TimeToBan=60; // Ban Time in minutes (время бана, в минутах)
$MaxConnectInMinuteToBAN=50; //  кол-во запросов в минуту для бана
$MaxConnectToBan=round($TimeInCron * $MaxConnectInMinuteToBAN / 1.1 ); // лучше не трогать
$TimeStampUnBan=round($time - round($TimeToBan * 60)); // лучше не трогать

### NONBANNED IPS
# массив IP адресов, которых не банить не в коем случае
#$IpNONban=array("127.0.0.1",
#                "62.192.241.151");
$IpNONban=file('nonBan.txt');

################# End Config


##############################
###########GoGoGo#############
##############################

# создаем массивы и функции
$ToBans=array();
$UnToBans=array();
function ReturnBans($item, $key){
        global $ToBans;
        $ToBans[]=$key." ".$item;
}
function ReturnUnBans($item, $key){
        global $ToUnBans;
        $ToUnBans[]=$key." ".$item;
}


# проверка на наличие лога
if(!is_file($dir."/".$mainLog)) { die("Error Open MainLogFile\r\n"); }

# Runnin parsing log files, запуск парсинга
system($ParseCMD);

# Проверка на наличие файлов после парсинга
if(!is_file($dir."/".$statLog)) { die("Error Open StatLogFile\r\n"); }
if(!is_file($dir."/".$bannedLog)) { touch($dir."/".$bannedLog); }

# чтения уже забаненных
$banFile=file($dir."/".$bannedLog);

$banned=array();
$UnBan=array();

$NonBanCounts=count($IpNONban);

# кого банить а кого разбанить, сортировка
foreach($banFile as $temp){
$nonBan=0;
$i=0;
        $temp=explode(" ",trim($temp));

        while($NonBanCounts > $i){
                if(preg_match("/".trim($IpNONban[$i])."/i",trim($temp[0]))){
                        $nonBan=1;
                        $i=$NonBanCounts;
                        $temp[0]="NON_BAN";
                }
                $i++;
        }

        if( $NonBan == 0
        and preg_match("/^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}$/",$temp[0])
        and is_numeric($temp[1])){
                if($temp[1] < $TimeStampUnBan){
                        $UnBan[$temp[0]]=$temp[1];
                }else{
                        $banned[$temp[0]]=$temp[1];
                }
        }
}

# Чтение статус-лога, для добовление новых банов
$OpenStatLog=file($dir."/".$statLog);
foreach($OpenStatLog as $temp){
        $nonBan=0;
        $i=0;
        $temp=explode(" ",trim($temp));
        if($temp[0] > $MaxConnectToBan ){
                while($NonBanCounts > $i){
                        if(preg_match("/".trim($IpNONban[$i])."/i",trim($temp[0]))){
                                $nonBan=1;
                                $i=$NonBanCounts;
                                $temp[0]="NON_BAN";
                        }
                        $i++;
                }
                if($temp[0] != "NON_BAN" and !in_array($temp[1],$IpNONban) and !isset($banned[trim($temp[1])])){
                        $banned[trim($temp[1])]=$time;
                }
        }
}

### маразм, но без него не работает
# вытягивание из массива $banned[{IP}]={timestamp}
array_walk ($banned, 'ReturnBans'); // define array $ToUnBans

# array_walk ($UnBan, 'ReturnUnBans'); // define array $ToBans   // not worked (не нужно ибо пока не работает)

# для дебага
#var_dump($ToBans);
#var_dump($ToUnBans);

######### Generate Banned.log
######### Создаем лог всех забаненных
$BanLog="";
foreach($ToBans as $temp){
        $temp=explode(" ",trim($temp));
        $BanLog.=$temp[0]." ".time()." # UnBan date: ".date("F j, Y, H:m:s",round($time + round($TimeToBan * 60)))."\n";
        $fpBan=fopen($bannedLog,"w");
        fwrite($fpBan,$BanLog);
        fclose($fpBan);
}

######### Generate Nginx ban list
######### Создаем файл банов через nginx
if($AllowNginxBan){
        $DropCFG="";
        foreach($ToBans as $temp){
                $temp=explode(" ",trim($temp));
                $DropCFG.="deny ".$temp[0]."$networkBan; # UnBan date: ".date("F j, Y, H:m:s",round($time + round($TimeToBan * 60)))."\n";
        }
        $fpNginx=fopen($NginxDropCfg,"w");
        fwrite($fpNginx,$DropCFG);
        fclose($fpNginx);
        # перезагружаем nginx
        system($NginxReloadCMD);
}

###### iptables or ipfw BAN
#generate EXEC file
# Создаем запускаемый файл для файрвола
if($AllowIptablesBan){

$FW_CFG="#!/bin/sh

iptables -F $IpTablesChain
iptables -X $IpTablesChain
iptables -N $IpTablesChain
";
        foreach($ToBans as $temp){
                $temp=explode(" ",trim($temp));
                $FW_CFG.=str_replace("|IP|",$temp[0],$BanIptablesCMD)."\n";
        }
        $fpFW=fopen($FW_exec,"w");
        fwrite($fpFW,$FW_CFG);
        fclose($fpFW);
        system("./".$FW_exec);
}

# удаляем не нужное
unlink($dir."/".$tmpLog);

?>