用tcpdump攻击者的IP

   当网站受到攻击的时候我们第一个想到的答案就是查看web的log..或者用netstat -an查看网络连接，判断攻击类型，然后用iptables进行封锁ip。这种方案看起来很管用，但是有时候服务器受到肉鸡的CC攻击的时候根本从log中看不到什么有用的信息。而这个时候就需要用抓包来分析ip的来源了，linux下的抓包工具我就不例举了，这里我只说说tcpdump

   简单的话来定义tcpdump，就是：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。

  具体用法。

1.tcpdump -D

查看tcpdump可以监听的网卡接口

2.tcpdump -i any tcp

查看tcpdump监听到的包信息，默认是转化为域名，主机

3.tcpdump -i any tcp -n

用IP来显示，不用主机，域名访问记录

4.tcpdump -i -n any tcp port 80 

制定端口监听包。

6.实例：

用tcpdump来收集ip的访问量

cat mm|perl -lne ' print $1 if ( /((\d{1,3}\.){3}\d{1,3})/    ) '    |grep -v '74.55.176.178' |sort -rn |uniq -c|sort -rn 

过滤掉自身的服务器地址，然后寻找攻击者的IP

然后DROP掉

本文转自 mcshell 51CTO博客，原文链接：http://blog.51cto.com/mcshell/392243，如需转载请自行联系原作者