亚洲视频色图,中文字幕国产在线观看,九九视频九九热

前幾天一個朋友的網(wǎng)站突然打不開了，懷疑被DDoS攻擊叫我?guī)兔匆幌拢?jīng)過診斷發(fā)現(xiàn)，可能是有人使用作弊手段刷廣告，導致流量暴增，服務器機房的人以為被DDoS攻擊了趕緊黑洞了服務器，導致網(wǎng)站打不開了。那小編是如何判斷服務器是否被DDoS惡意攻擊呢?

ddos攻擊服務器會顯示什么？怎么判斷服務器是否被DDoS惡意攻擊？

診斷

遇到懷疑攻擊情況，首先要看看服務器上面的情況，首先top一下，看看服務器負載，如果負載不高，那么基本可以判斷不是cc類型的攻擊，再輸入命令

netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'

查看下網(wǎng)絡連接的情況，會得到下面這些結果：

ddos攻擊服務器會顯示什么？怎么判斷服務器是否被DDoS惡意攻擊？

TCP/IP協(xié)議使用三次握手來建立連接，過程如下：

1、第一次握手，客戶端發(fā)送數(shù)據(jù)包syn到服務器，并進入SYN_SEND狀態(tài)，等待回復

2、第二次握手，服務器發(fā)送數(shù)據(jù)報syn/ack，給客戶機，并進入SYN_RECV狀態(tài)，等待回復

3、第三次握手，客戶端發(fā)送數(shù)據(jù)包ACK給客戶機，發(fā)送完成后，客戶端和服務器進入ESTABLISHED狀態(tài)，鏈接建立完成

如果ESTABLISHED非常地高，那么可能是有人在惡意攻擊，進一步判斷，可以把下面命令保存為腳本執(zhí)行一下：

for i in `netstat -an | grep -i ':80 '|grep 'EST' | awk '{print $5}' | cut -d : -f 1 | sort | uniq -c | awk '{if($1 > 50) {print $2}}'`

do

echo $i

echo $i >> /tmp/evilip

done

如果輸出了多個結果，那么可能表示有人在企圖進行DDOS攻擊，想用TCP連接來拖死你的服務器，輸出的ip就是發(fā)出請求的服務器地址，并且保存在了/tmp/evilip里面。如果沒有結果，可以調整一下閾值，把50改成40試一試，對策我們后面再說，這里只講判斷。

如果SYN_RECV非常高，那么表示受到了SYN洪水攻擊。

如果上面的值看不出什么異常的話，我們來抓包分析下，可能并非基于TCP的攻擊。抓包命令：

tcpdump -w tmp.pcap port not 22

抓包感覺差不多了就ctrl+c結束，結果在保存在當前目錄下的tmp.pcap文件中，我們可以使用命令

tcpdump -r tmp.pcap -nnA

來查看，也可以拖回本地用wireshark打開分析等，個人喜好了。如果出現(xiàn)大量的ICMP包或者大量的UDP包，那么可能就是針對性的ICMP洪水以及UDP洪水了。

ddos攻擊服務器會顯示什么？怎么判斷服務器是否被DDoS惡意攻擊？

TCP連接攻擊

TCP連接攻擊算是比較古老的了，防御起來也相對比較簡單，主要是利用大量的TCP連接來消耗系統(tǒng)的網(wǎng)絡資源，通常同一個IP會建立數(shù)量比較大的TCP連接，并且一直保持。應對方法也比較簡單，可以將以下命令保存為腳本，定時ban掉那些傀儡機ip

for i in `netstat -an | grep -i ':80 '|grep 'EST' | awk '{print $5}' | cut -d : -f 1 | sort | uniq -c | awk '{if($1 > 50) {print $2}}'`

do

echo $i

echo $i >> /tmp/banip

/sbin/iptables -A INPUT -p tcp -j DROP -s $i

done

banip文件里面記錄了所有被ban的ip地址信息，方面進行反滲透以及證據(jù)保存等等。為了更好地加固系統(tǒng)，我們可以使用iptables來限制一下，單個ip的最大連接數(shù)。