linux筆記_防止ddos攻擊

1、什麼是DoS攻擊

DoS是Denial of Service的簡稱，即拒絕服務，形成DoS的攻擊行爲被稱爲DoS攻擊，其目的是使計算機或網絡沒法提供正常的服務。最多見的DoS攻擊有計算機網絡帶寬攻擊和連通性攻擊。帶寬攻擊指以極大的通訊量衝擊網絡，使得全部可用網絡資源都被消耗殆盡，最後致使合法的用戶請求就沒法經過。連通性攻擊指用大量的鏈接請求衝擊計算機，使得全部可用的操做系統資源都被消耗殆盡，最終計算機沒法再處理合法用戶的請求。

2、什麼是DDoS攻擊

分佈式拒絕服務(DDoS:Distributed Denial of Service)攻擊指藉助於客戶/服務器技術，將多個計算機聯合起來做爲攻擊平臺，對一個或多個目標發動DoS攻擊，從而成倍地提升拒絕服務攻擊的威力。一般，攻擊者使用一個偷竊賬號將DDoS主控程序安裝在一個計算機上，在一個設定的時間主控程序將與大量代理程序通信，代理程序已經被安裝在Internet上的許多計算機上。代理程序收到指令時就發動攻擊。利用客戶/服務器技術，主控程序能在幾秒鐘內激活成百上千次代理程序的運行。

3、被DDoS攻擊時的現象

一、被攻擊主機上有大量等待的TCP鏈接

二、網絡中充斥着大量的無用的數據包，源地址爲假

三、製造高流量無用數據，形成網絡擁塞，使受害主機沒法正常和外界通信

四、利用受害主機提供的服務或傳輸協議上的缺陷，反覆高速的發出特定的服務請求，使受害主機沒法及時處理全部正常請求

五、嚴重時會形成系統死機

4、經過sysctl和iptables來防止DDoS攻擊

一、修改sysctl參數

# sysctl -a | grep ipv4 | grep syn

net.ipv4.tcp_syn_retries = 5

net.ipv4.tcp_synack_retries = 5

net.ipv4.tcp_syncookies = 1

net.ipv4.tcp_max_syn_backlog = 128

參數說明：

 net.ipv4.tcp_syncookies:是否打開SYN COOKIES的功能，「1」爲打開，「2」關閉。
net.ipv4.tcp_max_syn_backlog:SYN隊列的長度，加大隊列長度能夠容納更多等待鏈接的網絡鏈接數。
net.ipv4.tcp_synack_retries和net.ipv4.tcp_syn_retries:定義SYN重試次數。

把以下加入到/etc/sysctl.conf便可，以後執行「sysctl -p」！
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 2 

提升TCP鏈接能力 
net.ipv4.tcp_rmem = 32768
net.ipv4.tcp_wmem = 32768 
net.ipv4.sack=0   

二、使用iptables
命令：
# netstat -an | grep ":80" | grep ESTABLISHED 
來查看哪些IP可疑～好比：192.168.1.162這個ip鏈接較多，並很可疑，並不但願它再次與192.168.1.162有鏈接。可以使用命令： 
iptables -A INPUT -s 192.168.1.162 -p tcp -j DROP 
未來自192.168.1.162的包丟棄。
對於僞造源IP地址的SYN FLOOD攻擊。該方法無效
其餘參考
防止同步包洪水（Sync Flood）
# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT 
也有人寫做
# iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT 
--limit 1/s 限制syn併發數每秒1次，能夠根據本身的須要修改防止各類端口掃描
# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT 
Ping洪水攻擊（Ping of Death）
# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

5、使用DDoS deflate自動屏蔽攻擊ip

DDoS deflate是一款免費的用來防護和減輕DDoS攻擊的腳本。它經過netstat監測跟蹤建立大量網絡鏈接的IP地址，在檢測到某個結點超過預設的限 制時，該程序會經過APF或IPTABLES禁止或阻擋這些IP。
DDoS deflate官方網站：http://deflate.medialayer.com/
如何確認是否受到DDOS攻擊？ 
執行：
# netstat -ntu | awk '{print $5}' | cut -d: -f4 | sort | uniq -c | sort -n

執行結果：

      1 Address

      1 servers)

      2

   1000 192.168.1.162

在這裏本人使用apache的ab命令作的併發測試：

# ab -n 1000 -c 10 http://192.168.1.155/index.html

每一個IP幾個、十幾個或幾十個鏈接數都還算比較正常，若是像上面成百上千確定就不正常了。
一、安裝DDoS deflate
wget http://www.inetbase.com/scripts/ddos/install.sh

chmod 0700 install.sh

./install.sh

二、配置DDoS deflate下面是DDoS deflate的默認配置位於/usr/local/ddos/ddos.conf ，內容以下：
##### Paths of the script and other files
PROGDIR="/usr/local/ddos"
PROG="/usr/local/ddos/ddos.sh"
IGNORE_IP_LIST="/usr/local/ddos/ignore.ip.list"  //IP地址白名單 
CRON="/etc/cron.d/ddos.cron"    //定時執行程序 
APF="/etc/apf/apf"
IPT="/sbin/iptables" 
##### frequency in minutes for running the script
##### Caution: Every time this setting is changed, run the script with --cron
#####            option so that the new frequency takes effect
FREQ=1   //檢查時間間隔，默認1分鐘 
##### How many connections define a bad IP? Indicate that below.
NO_OF_CONNECTIONS=150     //最大鏈接數，超過這個數IP就會被屏蔽，通常默認便可 
##### APF_BAN=1 (Make sure your APF version is atleast 0.96)
##### APF_BAN=0 (Uses iptables for banning ips instead of APF)
APF_BAN=1        //使用APF仍是iptables。推薦使用iptables,將APF_BAN的值改成0便可。 
##### KILL=0 (Bad IPs are'nt banned, good for interactive execution of script)
##### KILL=1 (Recommended setting)
KILL=1   //是否屏蔽IP，默認便可 
##### An email is sent to the following address when an IP is banned.
##### Blank would suppress sending of mails
EMAIL_TO="root"   //當IP被屏蔽時給指定郵箱發送郵件，推薦使用，換成本身的郵箱便可 
##### Number of seconds the banned ip should remain in blacklist.
BAN_PERIOD=600    //禁用IP時間，默認600秒，可根據狀況調整 
三、選項 
/usr/local/ddos/ddos.sh -h    //查看選項 
/usr/local/ddos/ddos.sh -k n  //殺掉鏈接數大於n的鏈接。n默認爲配置文件的NO_OF_CONNECTIONS 
/usr/local/ddos/ddos.sh -c    //按照配置文件建立一個執行計劃

四、定時執行，每分鐘執行一次

# vim /etc/cron.d/ddos.cron

SHELL=/bin/sh

0-59/1 * * * * root /usr/local/ddos/ddos.sh >/dev/null 2>&1
五、卸載 
wget http://www.inetbase.com/scripts/ddos/uninstall.ddos
chmod 0700 uninstall.ddos
./uninstall.ddos
6、若是服務器是nginx的話，可作以下操做，來防止DDoS攻擊

一、打開nginx訪問日誌 
log_format    access    '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" $http_x_forwarded_for';  #設置日誌格式 
#access_log  /dev/null;
access_log    /usr/local/nginx/logs/access.log    access;
二、觀察nginx日誌 
more /usr/local/nginx/logs/access.log
查看哪些ip重複很嚴重。
（1）agent的特徵 
好比：MSIE 5.01
配置nginx 
location /{
if ( $http_user_agent ~* "MSIE 5.01" ) {

#proxy_pass http://www.google.com;

return 500;

#access_log /home/logs/1.log main;
}
}
將ip加入iptable內 
iptables -A INPUT    -s 202.195.62.113 -j DROP
我發現的 攻擊時代理+ddos
搜索ip均爲代理地址。日誌最後一部分爲真實ip（重複不少）。 
如何查看user_agent
在地址欄輸入:
javascript:alert(navigator.userAgent)
回車就會彈出當前使用的瀏覽器的useragent. 
ps:ie和firefox的user—agent 
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"  ( ie6.0)
Mozilla/4.0 (compatible; MSIE 8.0; ; Trident/4.0; .NET CLR 2.0.50727; CIBA)  (ie8.0)
Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.12) Gecko/20101026 Firefox/3.6.12
注意:都含有Windows NT 5.1。
"Mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1)"(這個應該就是攻擊者使用user_agent). 

參考文章：http://czmmiao.iteye.com/blog/1616837

參考視頻資料：Linux雲計算集羣架構師【學神IT教育】