当网站遭遇DDOS攻击的解决方案及展望（3）
发布时间：2011-02-28 20:45:00
二、事件分析
我的Web服务器发生了什么？很有可能攻击，那么受到什么样的攻击呢？从这一攻击是对回显端口看，即是端口7，不断发送小的UDP数据包来实现。攻击看似发自两个策源地，可能是两个攻击者同时使用不同的工具。在任何情况下，超负荷的数据流都会拖垮Web服务器。然而攻击地址源不确定，不知道是攻击源本身是分布的，还是同一个地址伪装出许多不同的IP地址，这个问题比较难判断。假如源地址不是伪装的，是真实地址，则可以咨询ARIN I美国Internet号码注册处，从它的“whois”数据库查出这个入侵1P地址属于哪个网络。接下来只需联系那个网络的管理员就可以得到进一步的信息。
那么假如源地址是伪装的，追踪这个攻击者就麻烦得多。若使用的是Cisco路由器，则还需查询NetFlow高速缓存。NetFlow是Cisco快速转发（CEF）交换框架的特性之一。为了追踪这个伪装的地址，必须查询每个路由器上的NetFlow缓存，才能确定流量进入了哪个接口，然后通过这些路由器一次一个接口地往回一路追踪，直至找到那个IP地址源。然而这样做是非常难的，因为在Web Server和攻击者的发起pc之间可能经由许多路由器，而且属于不同的组织。另外，必须在攻击正在进行时做这些分析。
经过分析之后，将防火墙日志和路由器日志里的信息关联起来，发现了一些有趣的相似性，如表黑色标记处。攻击的目标显然是Web服务器192.68.0.175，端口为UDP 7，即回显端口。这看起来很像拒绝服务攻击（但还不能确定，因为攻击的分布很随意）。地址看起来多多少少是随意而分散的，只有一个源地址是固定不变的，其源端口号也没变。这很有趣。接着又将注意力集中到路由器日志上。
立刻发现，攻击发生时路由器日志上有大量的64字节的数据包，而此时Web服务器日志上没有任何问题。他还发现，案发时路由器日志里还有大量的“UDP-other”数据包，而Web服务器日志也一切正常。这种现象与基于UDP的拒绝服务攻击的假设还是很相符的。
攻击者正是用许多小的UDP数据包对Web服务器的回显（echo 7）端口进行洪泛式攻击，因此他们的下一步任务就是阻止这一行为。首先，我们在路由器上堵截攻击。快速地为路由器设置了一个过滤规则。因为源地址的来源很随机，他们认为很难用限制某个地址或某一块范围的地址来阻止攻击，因此决定禁止所有发给192.168.0.175的UDP包。这种做法会使服务器丧失某些功能，如DNS，但至少能让Web服务器正常工作。
路由器最初的临时DOS访问控制链表（ACL）
access-list 121 remark Temporary block DoS attack on web server 192.168.0.175
access-list 105 deny udp any host 192.168.0.175
access-list 105 permit ip any any
这样的做法为Web服务器减轻了负担，但攻击仍能到达web，在一定程度上降低了网络性能。 那么下一步工作是联系上游带宽提供商，想请他们暂时限制所有在他的网站端口7上的UDP入流量。这样做会显著降低网络上到服务器的流量。
0
投稿猜你喜欢
- rm -rf mydir /* 删除mydir目录 */cd mydir /* 进入mydir目录 */cd - /* 回上一级目录 */c
- 今天看我的BLOG（zishu.cn）还有以前另一个站的统计，发现和SEO相关的一点东西，写出来和大家分享一下！我的观点是“放弃无效的收录，
网页尽可能的快速加载对网站非常重要；用户希望快速的查看他们想要看的页面，假如你不能满足他们，他们就会另寻它处。在这篇文章中，你会看到五种为你- 从前面的通讯模型可以看出SMTP协议在发送SMTP和接收SMTP之间的会话是靠发送SMTP的SMTP命令和接收SMTP反馈的应答来完成的。在
- 百度联盟的主题推广由于后台的功能不是很强大，所以提供给用户的优化和比较的方式不是很灵活，大部分发布者很少考虑百度主题推广的广告优化。实际上对
- 最近听到很多站长都在说：“做完这个月就辞职，专心在家做站，争取的XX月内赚到多少多少”，同样的也会听到很多站长在说：“拿完google这个月
- 在很多关于内链建设的文章中，对内链建设的策略和注意事项方面很少有涉及，SEOmoz的randfish他们最近做了一个关于内部链接锚文本相关的
- 初衷首先说明一下既然网上有那么多教程为什么要还要写这样一个安装教程呢？网上教程虽然多，但是有些教程比较老，许多教程忽略许多安装过程中的细节，
- 第一步：登录Godaddy控制面板，在面板左边选择自己的主机列表，点击进入列表页面：第二步，在列表中选择你要变更的主机，并点击，在右边出现后
- 今天很残酷，明天更残酷，后天很美好，但是大多数人死在明天晚上，看不到后天的太阳！从严格意义上来说，站长都属于创业团体，所以创业人员成功的典范
- 前言在Linux系统下面，top命令可以查看查看stopped进程。但是不能查看stopped进程的详细信息。那么如何查看stopped 进
- ssh 无密码登录要使用公钥与私钥。linux下可以用用ssh-keygen生成公钥/私钥对，下面我以CentOS为例。有机器A(192.1
- 那为什么同样都是学SEO的，有的人就可以一个月赚好几万，有的人却只能赚个三五千呢？其实知识都是一样的知识，SEO的技术很多的seoer都懂，
- 详解负载均衡实现一个域名对应多个IP地址使用负载均衡实现，传统和常规做法，其他方式需要特殊处理。(dns轮询，或者自己做解析)1、一个域名设
- 1、点击Godaddy进入网站进行购买。2、点击Hosting打开下拉菜单，点击Web Site Hosting进入主机方案列表。操作过程如
- 无论你是一个Web开发人员，网页设计师或博客，你可能不得不为许多不同大小和不同格式的图像处理转换的事而感到头痛。如果你把所有图片放在手头上，
- 通常，你可以通过模块设置中的“菜单分配（Menu Assignment）”将模块分配给某些菜单项，以在它们对应的页面里显示。但有时你想将模块
- SEO初学者： 特征：1. 认真看过的SEO文章不超过200篇，没耐心读完他人的SEO博客或教材。只懂SEO的皮毛，对SEO的理解只是改改T
- 在CB上看到的Google 疯狂面试题，很多都是开放性的，没有标准的答案，题目后面附录了站长从网上搜索到的一些解题思路，仅供网友们参考。原文
- 一、软件、系统镜像软件：VMware 14镜像：CentOS8 ,镜像官网下载地址 ：http://mirror.jdcloud.com/c
