DOS、DDOS、CC等完整解决方案（dos ddos drdos）

DOS、DDOS、CC等完整解决方案（dos ddos drdos）

看看你的服务的访问日志，在防火墙中加过滤，或者在web服务器中加过滤吧。方法有以下几种。

1.对于特定的IP访问的情况，限制IP访问2.限制同一IP在单位时间内的访问次数

另一种方法是利用Iptables预防DOS脚本

#!/bin/bash netstat -an|grep SYN_RECV|awk '{print$5}'|awk -F: '{print$1}'|sort|uniq -c|sort -rn|awk '{if ($1 >1) print $2}' for i in $(cat /tmp/dropip) do /sbin/iptables -A INPUT -s $i -j DROP echo “$i kill at `date`” >>/var/log/ddos done

该脚本会对处于SYN_RECV并且数量达到5个的IP做统计，并且把写到Iptables的INPUT链设置为拒绝。

SYN洪水**是DDOS中最常见的类型之一。是一种利用TCP 协议缺陷，者向被的主机发送大量伪造的TCP连接请求,从而使得被方主机服务器的资源耗尽(CPU 满负荷或内存不足) 的方式。SYN的目标不止于服务器，任何网络设备，都可能会受到这种，针对网络设备的SYN往往会导致整个网络瘫痪。企业遭到SYN该如何防御呢？今天墨者安全就来分享一下如何利用iptables来缓解SYN。**

1、修改等待数sysctl -w net.ipv4.tcp_max_syn_backlog=2048

2、启用syncookiessysctl -w net.ipv4.tcp_syncookies=1

3、修改重试次数sysctl -w net.ipv4.tcp_syn_retries = 0

重传次数设置为0，只要收不到客户端的响应，立即丢弃该连接，默认设置为5次

4、限制单IP并发数使用iptables限制单个地址的并发连接数量：iptables -t filter -A INPUT -p tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT

5、限制C类子网并发数使用iptables限制单个c类子网的并发链接数量：iptables -t filter -A INPUT -p tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m connlimit --connlimit-above 10 --connlimit-mask 24 -j REJECT

6、限制单位时间内连接数设置如下：

iptables -t filter -A INPUT -p tcp --dport 80 -m --state --syn -m recent --setiptables -t filter -A INPUT -p tcp --dport 80 -m --state --syn -m recent --update --seconds 60 --hitcount 30 -j DROP

7、修改modprobe.conf为了取得更好的效果，需要修改/etc/modprobe.confoptions ipt_recent ip_list_tot=1000 ip_pkt_list_tot=60

作用：记录10000个地址，每个地址60个包，ip_list_tot最大为8100,超过这个数值会导致iptables错误

8、限制单个地址最大连接数iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j D

通过上述这些设置，可以缓解SYN**带来的影响，但如果遭到几百几千G的T级流量洪水，那只能选择像墨者安全那样的商业级的防DDOS服务了。墨者盾高防可以隐藏服务器真实IP，利用新的WAF算法过滤技术，清除DDOS异常流量，保障服务器正常运行**。

CC**原理者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。CC防御策略**

1.取消域名绑定取消域名绑定后Web服务器的CPU能够马上恢复正常状态，通过IP进行访问连接一切正常。但是不足之处也很明显，取消或者更改域名对于别人的访问带来了不变，另外，对于针对IP的CC它是无效的，就算更换域名者发现之后，者也会对新域名实施。

2.更改Web端口一般情况下Web服务器通过80端口对外提供服务，因此者实施就以默认的80端口进行，所以，可以修改Web端口达到防CC的目的。

3.IIS屏蔽IP我们通过命令或在查看日志发现了CC的源IP，就可以在IIS中设置屏蔽该IP对Web站点的访问，从而达到防范IIS的目的。

**CC*的防范手段

1.优化代码尽可能使用缓存来存储重复的查询内容，减少重复的数据查询资源开销。减少复杂框架的调用，减少不必要的数据请求和处理逻辑。程序执行中，及时释放资源，比如及时关闭mysql连接，及时关闭memcache连接等，减少空连接消耗。

2.限制手段对一些负载较高的程序增加前置条件判断，可行的判断方法如下：必须具有网站签发的session信息才可以使用（可简单阻止程序发起的集中请求）；必须具有正确的referer（可有效防止嵌入式代码的***）；禁止一些客户端类型的请求（比如一些典型的不良蜘蛛特征）；同一session多少秒内只能执行一次。

3.完善日志尽可能完整保留访问日志。日志分析程序，能够尽快判断出异常访问，比如单一ip密集访问；比如特定url同比请求激增。

**一、Dos*（Denial of Service attack）

是一种针对服务器的能够让服务器呈现静止状态的**方式。有时候也叫服务停止或拒绝服务。其原理就是发送大量的合法请求到服务器，服务器无法分辨这些请求是正常请求还是请求，所以都会照单全收。海量的请求会造成服务器停止工作或拒绝服务的状态。这就是Dos*。

**二、DDOS*****

概念分布式拒绝服务**（Distributed Denial of Service），简单说就是发送大量请求是使服务器瘫痪。DDos是在DOS基础上的，可以通俗理解，dos是单挑，而ddos是群殴，因为现代技术的发展，dos的杀伤力降低，所以出现了DDOS，者借助公共网络，将大数量的计算机设备联合起来，向一个或多个目标进行。**

案例

SYN Flood ,简单说一下tcp三次握手，客户端服务器发出请求，请求建立连接，然后服务器返回一个报文，表明请求以被接受，然后客户端也会返回一个报文，最后建立连接。那么如果有这么一种情况，者伪造ip地址，发出报文给服务器请求连接，这个时候服务器接受到了，根据tcp三次握手的规则，服务器也要回应一个报文，可是这个ip是伪造的，报文回应给谁呢，第二次握手出现错误，第三次自然也就不能顺利进行了，这个时候服务器收不到第三次握手时客户端发出的报文，又再重复第二次握手的操作。如果者伪造了大量的ip地址并发出请求，这个时候服务器将维护一个非常大的半连接等待列表，占用了大量的资源，最后服务器瘫痪。CC，在应用层tag 弄出来。这一个层面做好，至少可以堵住超过一半的XSS ***XSS与CSRF有什么区别吗？

XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。要完成一次CSRF***，受害者必须依次完成两个步骤

登录受信任网站A，并在本地生成Cookie

在不登出A的情况下，访问危险网站BCSRF的防御

服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数通过验证码的方法是否了解 Web 注入***（最常见 XSS 和 CSRF）？

SQL注入

把SQL命令插入到表单或输入URL查询字符串提交，欺骗服务器达到执行恶意的SQL目的XSS(Cross Site Script)，跨站脚本***

者在页面里插入恶意代码，当用户浏览该页之时，执行嵌入的恶意代码达到目的CSRF(Cross Site Request Forgery)，跨站点伪造请求

伪造合法请求，让用户在不知情的情况下以登录的身份访问，利用用户信任达到***目的

**如何防范 Web 前端*？

不要信任任何外部传入的数据

针对用户输入作相关的格式检查、过滤等操作不要信任在任何传入的第三方数据

使用 CORS，设置 Access-Control-Allow-Origin更安全地使用 Cookie

设置Cookie为HttpOnly，禁止了JavaScript操作Cookie防止网页被其他网站内嵌为iframe

服务器端设置 X-Frame-Options 响应头，防止页面被内嵌

**APR*发现

首先诊断是否为ARP病毒***

2、利用ARP防火墙类软件(如：360ARP防火墙、AntiARPSniffer等)。

**如何判断交换机是否受到ARP*以及处理方式

**一、如果网络受到了ARP*，可能会出现如下现象：

1、用户掉线、频繁断网、上网慢、业务中断或无法上网。

2、设备CPU占用率较高、设备托管、下挂设备掉线、设备主备状态震荡、设备端口指示灯红色快闪。

3、Ping有时延、丢包或不通。

局域网内的机器遭到ARP病毒欺骗**，如果找到源头的机器，将其病毒或杀掉，局域网内机器就会恢复正常，那么如何才能快速定位到*的源头机器呢?

1、用arp -a命令。当发现上网明显变慢，或者突然掉线时，我们可以用arp -a命令来检查ARP表。如果发现网关的MAC地址发生了改变，或者发现有很多IP地址指向同一个MAC地址，那么肯定就是ARP***所致。

2、利用彩影ARP防火墙软件查看。如果网卡是处于混杂模式或者ARP请求包发送的速度大或者ARP请求包总量非常大，判断这台机器有可能就是“元凶”。定位好机器后，再做病毒信息收集工作。

3、通过路由器的“系统历史记录”查看。由于ARP的程序发作的时候会发出大量的数据包导致局域网通讯阻塞以及其自身处理能力的限制，用户会感觉上网速度越来越慢。当ARP的程序停止运行时，用户会恢复从路由器上网，切换过程中用户会再断一次线。这个消息代表了用户的MAC地址发生了变化，在ARP**开始运行的时候，局域网所有主机的MAC地址更新为病毒主机的MAC地址(即所有信息的MAC New地址都一致为病毒主机的MAC地址)，同时在路由器的“用户统计”中看到所有用户的MAC地址信息都一样。

如果是在路由器的“系统历史记录”中看到大量MAC Old地址都一致，则说明局域网内曾经出现过ARP(ARP的***程序停止运行时,主机在路由器上恢复其真实的MAC地址)。

***方式：

**1. 简单的诈骗*****

这是对比多见的，经过发送伪造的ARP包来诈骗路由和方针主机，让方针主机认为这是一个合法的主机，便完成了诈骗，这种诈骗多发生在同一网段内，因为路由不会把本网段的包向外转发，当然完成不一样网段的也有办法，便要经过ICMP协议来告诉路由器从头挑选路由。

2. 根据ARP的DOS

这是新呈现的一种办法，D.O.S又称拒绝服务，当大量的衔接请求被发送到一台主机时，因为主机的处理才能有限，不能为正常用户提供服务，便呈现拒绝服务。这个过程中假如运用ARP来躲藏自己，在被主机的日志上就不会呈现真实的IP，也不会影响到本机。

3. MAC Flooding

这是一个对比风险的***，能够溢出交流机的ARP表，使全部网络不能正常通讯。

4. 交流环境的嗅探

在开始的小型局域网中咱们运用HUB来进行互连，这是一种广播的办法，每个包都会经过网内的每台主机，经过运用软件，就能够嗅谈到全部局域网的数据。现在的网络多是交流环境，网络内数据的传输被锁定的特定方针。既已断定的方针通讯主机，在ARP诈骗的根底之上，能够把自己的主机伪形成一个中心转发站来监听两台主机之间的通讯。

**arp*的防护

1. ARP 高速缓存超时设置

在ARP高速缓存中的表项一般都要设置超时值，缩短这个这个超时值能够有用的避免ARP表的溢出。

2. IP+MAC访问操控   -----推荐使用

单纯依托IP或MAC来树立信赖联系是不安全，抱负的安全联系树立在IP+MAC的根底上，这也是咱们校园网上网有必要绑定IP和MAC的因素之一。

3. 静态ARP缓存表

每台主机都有一个暂时寄存IP-MAC的对应表ARP***就经过更改这个缓存来到达诈骗的意图，运用静态的ARP来绑定正确的MAC是一个有用的办法，在命令行下运用arp -a能够检查当时的ARP缓存表。

4. 自动查询

在某个正常的时间，做一个IP和MAC对应的数据库，以后定时检查当时的IP和MAC对应联系是否正常，定时检查交流机的流量列表，检查丢包率。

ARP本省不能形成多大的损害，一旦被联系使用，其风险性就不可估量，因为ARP自身的疑问，使得防备ARP的***很棘手，经常检查当时的网络状况，监控流量对一个站长来说是个很好的风气

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。