CC攻擊原理及防範方法

做爲站長或者公司的網站的網管，什麼最可怕？

　　顯然是網站受到的DDoS攻擊。你們都有這樣的經歷,就是在訪問某一公司網站或者論壇時,若是這個網站或者論壇流量比較大,訪問的人比較多,打開頁面的速度會比較慢,對不?!通常來講,訪問的人越多,網站或論壇的頁面越多,數據庫就越大,被訪問的頻率也越高,佔用的系統資源也就至關可觀,。

　　CC攻擊是DDoS(分佈式拒絕服務)的一種，相比其它的DDoS攻擊CC彷佛更有技術含量一些。這種攻擊你見不到虛假IP，見不到特別大的異常流量，但形成服務器沒法進行正常鏈接，一條ADSL的普通用戶足以掛掉一臺高性能的Web服務器。因而可知其危害性，稱其爲「Web殺手」絕不爲過。最讓站長們憂慮的是這種攻擊技術含量不是很高，利用工具和一些IP代理，一個初、中級的電腦水平的用戶就可以實施DDoS 攻擊。

　　那麼怎樣保證這些網站服務器的安全呢？冰盾DDoS防火牆專家認爲，防禦CC攻擊你們有必要了解CC攻擊的原理及若是發現CC攻擊和對其的防範措施（參閱：http://www.bingdun.com/solution/website.htm）。

1、 CC攻擊的原理： 
　　CC攻擊的原理就是攻擊者控制某些主機不停地發大量數據包給對方服務器形成服務器資源耗盡，一直到宕機崩潰。CC主要是用來攻擊頁面的，每一個人都有這樣的體驗：當一個網頁訪問的人數特別多的時候，打開網頁就慢了，CC就是模擬多個用戶(多少線程就是多少用戶)不停地進行訪問那些須要大量數據操做(就是須要大量CPU時間)的頁面，形成服務器資源的浪費，CPU長時間處於100%，永遠都有處理不完的鏈接直至就網絡擁塞，正常的訪問被停止。

2、CC攻擊的種類： 
　　CC攻擊的種類有三種，直接攻擊，代理攻擊，僵屍網絡攻擊，直接攻擊主要針對有重要缺陷的 WEB 應用程序，通常說來是程序寫的有問題的時候纔會出現這種狀況，比較少見。僵屍網絡攻擊有點相似於 DDOS 攻擊了，從 WEB 應用程序層面上已經沒法防護，因此代理攻擊是CC 攻擊者通常會操做一批代理服務器，比方說 100 個代理，而後每一個代理同時發出 10 個請求，這樣 WEB 服務器同時收到 1000 個併發請求的，而且在發出請求後，馬上斷掉與代理的鏈接，避免代理返回的數據將自己的帶寬堵死，而不能發動再次請求，這時 WEB 服務器會將響應這些請求的進程進行隊列，數據庫服務器也一樣如此，這樣一來，正常請求將會被排在很後被處理，就象原本你去食堂吃飯時，通常只有不到十我的在排隊，今天前面卻插了一千我的，那麼輪到你的機會就很小很小了，這時就出現頁面打開極其緩慢或者白屏。

3、 攻擊症狀 
　　CC攻擊有必定的隱蔽性，那如何肯定服務器正在遭受或者曾經遭受CC攻擊呢?咱們能夠經過如下三個方法來肯定。

　　(1).命令行法

　　通常遭受CC攻擊時，Web服務器會出現80端口對外關閉的現象， 由於這個端口已經被大量的垃圾數據堵塞了正常的鏈接被停止了。咱們能夠經過在命令行下輸入命令netstat -an來查看，若是看到相似以下有大量顯示雷同的鏈接記錄基本就能夠被CC攻擊了：

　　…… 
　　TCP 192.168.1.3:80 192.168.1.6:2205 SYN_RECEIVED 4 
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4 
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4 
　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4 
TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4 …… 
其中「192.168.1.6」就是被用來代理攻擊的主機的IP，「SYN_RECEIVED」是TCP鏈接狀態標誌，意思是「正在處於鏈接的初始同步狀態 」，代表沒法創建握手應答處於等待狀態。這就是攻擊的特徵，通常狀況下這樣的記錄通常都會有不少條，表示來自不一樣的代理IP的攻擊。

(2).批處理法 
　　上述方法須要手工輸入命令且若是Web服務器IP鏈接太多看起來比較費勁，咱們能夠創建一個批處理文件，經過該腳本代碼肯定是否存在CC攻擊。打開記事本鍵入以下代碼保存爲CC.bat： 
@echo off 
　　time /t >>log.log 
　　netstat -n -p tcp |find ":80">>Log.log 
　　notepad log.log 
　　exit 
上面的腳本的含義是篩選出當前全部的到80端口的鏈接。當咱們感受服務器異常是就能夠雙擊運行該批處理文件，而後在打開的log.log文件中查看全部的鏈接。若是同一個IP有比較多的到服務器的鏈接，那就基本能夠肯定該IP正在對服務器進行CC攻擊。 
(3).查看系統日誌 
　　上面的兩種方法有個弊端，只能夠查看當前的CC攻擊，對於肯定Web服務器以前是否遭受CC攻擊就無能爲力了，此時咱們能夠經過Web日誌來查，由於Web日誌忠實地記錄了全部IP訪問Web資源的狀況。經過查看日誌咱們能夠Web服務器以前是否遭受CC攻擊，並肯定攻擊者的IP而後採起進一步的措施。

　　Web日誌通常在C:\WINDOWS\system32\LogFiles\HTTPERR目錄下，該目錄下用相似httperr1.log的日誌文件，這個文件就是記錄Web訪問錯誤的記錄。管理員能夠依據日誌時間屬性選擇相應的日誌打開進行分析是否Web被CC攻擊了。默認狀況下，Web日誌記錄的項並非不少，咱們能夠經過IIS進行設置，讓Web日誌記錄更多的項以便進行安全分析。其操做步驟是： 
　　「開始→管理工具」打開「Internet信息服務器」，展開左側的項定位到到相應的Web站點，而後右鍵點擊選擇「屬性」打開站點屬性窗口，在「網站」選項卡下點擊「屬性」按鈕，在「日誌記錄屬性」窗口的「高級」選項卡下能夠勾選相應的「擴展屬性」，以便讓Web日誌進行記錄。好比其中的「發送的字節數」、「接收的字節數」、「所用時間」這三項默認是沒有選中的，但在記錄判斷CC攻擊中是很是有用的，能夠勾選。另外，若是你對安全的要求比較高，能夠在「常規」選項卡下對「新日誌計劃」進行設置，讓其「每小時」或者「每一天」進行記錄。爲了便於往後進行分析時好肯定時間能夠勾選「文件命名和建立使用當地時間」。

4、 CC攻擊防護策略 
肯定Web服務器正在或者曾經遭受CC攻擊，那如何進行有效的防範呢?

(1).取消域名綁定 
　　通常cc攻擊都是針對網站的域名進行攻擊，好比咱們的網站域名是「www.abc.com」，那麼攻擊者就在攻擊工具中設定攻擊對象爲該域名而後實施攻擊。 
對於這樣的攻擊咱們的措施是在IIS上取消這個域名的綁定，讓CC攻擊失去目標。具體操做步驟是：打開「IIS管理器」定位到具體站點右鍵「屬性」打開該站點的屬性面板，點擊IP地址右側的「高級」按鈕，選擇該域名項進行編輯，將「主機頭值」刪除或者改成其它的值(域名)。 
通過模擬測試，取消域名綁定後Web服務器的CPU立刻恢復正常狀態，經過IP進行訪問鏈接一切正常。可是不足之處也很明顯，取消或者更改域名對於別人的訪問帶來了不變，另外，對於針對IP的CC攻擊它是無效的，就算更換域名攻擊者發現以後，他也會對新域名實施攻擊。

(2).域名欺騙解析 
　　若是發現針對域名的CC攻擊，咱們能夠把被攻擊的域名解析到127.0.0.1這個地址上。咱們知道127.0.0.1是本地迴環IP是用來進行網絡測試的，若是把被攻擊的域名解析到這個IP上，就能夠實現攻擊者本身攻擊本身的目的，這樣他再多的肉雞或者代理也會宕機，讓其自食其果。 
另外，當咱們的Web服務器遭受CC攻擊時把被攻擊的域名解析到國家有權威的政府網站或者是網警的網站，讓其網警來收拾他們。 
如今通常的Web站點都是利用相似「新網」這樣的服務商提供的動態域名解析服務，你們能夠登陸進去以後進行設置。

(3).更改Web端口 
　　通常狀況下Web服務器經過80端口對外提供服務，所以攻擊者實施攻擊就以默認的80端口進行攻擊，因此，咱們能夠修改Web端口達到防CC攻擊的目的。運行IIS管理器，定位到相應站點，打開站點「屬性」面板，在「網站標識」下有個TCP端口默認爲80，咱們修改成其餘的端口就能夠了。

(4).IIS屏蔽IP 
　　咱們經過命令或在查看日誌發現了CC攻擊的源IP，就能夠在IIS中設置屏蔽該IP對Web站點的訪問，從而達到防範IIS攻擊的目的。在相應站點的「屬性」面板中，點擊「目錄安全性」選項卡，點擊「IP地址和域名如今」下的「編輯」按鈕打開設置對話框。在此窗口中咱們能夠設置「受權訪問」也就是「白名單」，也能夠設置「拒絕訪問」即「黑名單」。好比咱們能夠將攻擊者的IP添加到「拒絕訪問」列表中，就屏蔽了該IP對於Web的訪問。

5、針對CC攻擊的商業解決方案

　　不少的網站管理者是等到網站遭到攻擊了，受到損失了，纔去尋求解決的方案，在未來的互聯網飛速發展的時代，必定要有安全隱患意識，不要等到損失大了，再去想辦法來補救，這樣爲時已晚。　　然而當網站受到攻擊時，大多數人想到的是-----快點找硬防，基本上都步了一個誤區，就是認爲網站或者服務器被攻擊，購買硬件防火牆，什麼事都萬事大吉了，實際上這樣的想法是極端錯誤的。多年的統計數據代表，想完全解CC攻擊是幾乎不可能的，就比如治療感冒同樣，咱們能夠治療，也能夠預防，但卻沒法根治，但咱們若採起積極有效的防護方法，則可在很大程度上下降或減緩生病的機率，防治DDOS攻擊也是如此， 實際上比較理想解決方案應該是「軟件+硬件」的解決方案。此方案對於資金較爲充足的企業網站來講，這個方案適合他們；硬件在DDOS防禦上有優點，軟件CC防禦上有優點；　　相對於一些對於ICP內容網站、論壇社區BBS、電子商務eBusiness、音樂網站Music、電影網站File等網站服務器愈來愈普及，但因爲種種緣由每每會遭受競爭對手或打擊報復者的惡意DDOS攻擊，持續的攻擊會致使大量用戶流失，嚴重的甚至因人氣全失而被迫關閉服務器，爲了最大程度的保護運營者的利益，冰盾科技結合多年抗DDOS的實踐經驗給出了最少的安全投資可得到最大安全回報的抗DDOS解決方案。