https://blog.csdn.net/weixin_37202689/article/details/72843355
一、DDOS认识
分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术,将多个计算机联合起来作为攻击平台,对一个或多个目标发动DDoS攻击,从而成倍地提高拒绝服务攻击的威力。
=========================================================================================================
二、DDOS防范
1、一般的DDOS攻击可以修改/proc/sys/net/ipv4/tcp_max_syn_backlog里的参数就行了,默认参数一般都很小,设为8000以上,一般的DDOS攻击就可以解决了。
2、如果上升到timeout阶段,可以将/proc/sys/net/ipv4/tcp_fin_timeout设小点。
3、比较彻底的解决方法是添置硬件防火墙。不过,硬件防火墙价格比较昂贵。可以考虑利用Linux系统本身提供的防火墙功能来防御。
①防止syn攻击(DDOOS攻击的一种)
代码如下
iptables -I INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
iptables -I FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT防止同步包洪水(Sync Flood)
②防止各种端口扫描
代码如下
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
③Ping洪水攻击(Ping of Death)
代码如下
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
④、Linux下设置
如果你的服务器配置不太好,TCPTIME_WAIT套接字数量达到两、三万,服务器很容易被拖死。通过修改Linux内核参数,可以减少服务器的TIME_WAIT套接字数量。
TIME_WAIT查看命令: netstat-an | grep "TIME_WAIT" | wc -l
在Linux下,如CentOS,可以通过修改/etc/sysctl.conf文件来达到目的。
查看SYN相关的配置
/sbin/sysctl -a |grep syn
vim /etc/sysctl.conf
增加以下几行:以下是代码片段:
代码如下
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_keepalive_time = 1200
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.ip_local_port_range = 1024 65000
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_max_tw_buckets = 5000
net.ipv4.tcp_synack_retries = 3
net.ipv4.tcp_syn_retries = 3
net.ipv4.tcp_fin_timeout 修改系統默认的TIMEOUT 时间。
net.ipv4.tcp_keepalive_time= 1200 表示当keepalive起用的时候,TCP发送keepalive消息的频度。缺省是2小时,改为20分钟。
net.ipv4.tcp_syncookies= 1 表示开启SYNCookies。当出现SYN等待队列溢出时,启用cookies来处理,可防范少量SYN攻击,默认为0,表示关闭;
net.ipv4.tcp_tw_reuse= 1 表示开启重用。允许将TIME-WAIT sockets重新用于新的TCP连接,默认为0,表示关闭;
net.ipv4.tcp_tw_recycle= 1 表示开启TCP连接中TIME-WAIT sockets的快速回收,默认为0,表示关闭;
net.ipv4.ip_local_port_range= 10000 65000 表示用于向外连接的端口范围。缺省情况下很小:32768到61000,改为10000到65000。(注意:这里不要将最低值设的太低,否则可能会占用掉正常的端口!)
net.ipv4.tcp_max_syn_backlog= 8192 表示SYN队列的长度,默认为1024,加大队列长度为8192,可以容纳更多等待连接的网络连接数。
net.ipv4.tcp_max_tw_buckets= 5000 表示系统同时保持TIME_WAIT的最大数量,如果超过这个数字,TIME_WAIT将立刻被清除并打印警告信息。默认为180000,改为5000。对于Apache、Nginx等服务器,上几行的参数可以很好地减少TIME_WAIT套接字数量,但是对于 Squid,效果却不大。此项参数可以控制TIME_WAIT的最大数量,避免Squid服务器被大量的TIME_WAIT拖死。
net.ipv4.tcp_synack_retries 为了打开对端的连接,内核需要发送一个SYN并附带一个回应前面一个SYN的ACK。也就是所谓三次握手中的第二次握手。这个设置决定了内核放弃连接之前发送SYN+ACK包的数量。
net.ipv4.tcp_syn_retries 在内核放弃建立连接之前发送SYN包的数量
加大SYN队列长度可以容纳更多等待连接的网络连接数,打开SYN Cookie功能可以阻止部分SYN攻击,降低重试次数也有一定效果。
=========================================================================================================
三、检测SYN攻击
1、# netstat -n -p -t
tcp0 0 10.11.11.11:23124.173.152.8:25882 SYN_RECV-
tcp0 0 10.11.11.11:23236.15.133.204:2577 SYN_RECV-
tcp0 0 10.11.11.11:23127.160.6.129:51748 SYN_RECV-
…
LINUX系统中看到的,很多连接处于SYN_RECV状态(在WINDOWS系统中是SYN_RECEIVED状态),源IP地址都是随机的,表明这是一种带有IP欺骗的SYN攻击。
2、# netstat -n -p -t | grep SYN_RECV | grep :80 | wc -l
324
查看在LINUX环境下某个端囗的未连接队列的条目数,显示TCP端囗22的未连接数有324个,虽然还远达不到系统极限,但应该引起管理员的注意。
3、# netstat -na | grep SYN_RECV
tcp 0 0 58.193.192.20:80 221.0.108.162:32383 SYN_RECV
tcp 0 0 58.193.192.20:80 125.85.118.231:2601 SYN_RECV
tcp 0 0 58.193.192.20:80 222.242.171.215:2696 SYN_RECV
tcp 0 0 58.193.192.20:80 116.52.10.51:2629 SYN_RECV
tcp 0 0 58.193.192.20:80 218.171.175.157:1117
4、# netstat -na | grep SYN_RECV |wc
11 66 979
=========================================================================================================
四、SYN配置
1、查看系统SYN相关的配置
# /sbin/sysctl -a | grep syn
net.ipv6.conf.default.max_desync_factor = 600
net.ipv6.conf.all.max_desync_factor = 600
net.ipv6.conf.eth0.max_desync_factor = 600
net.ipv6.conf.lo.max_desync_factor = 600
net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_recv = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_sent = 120
net.ipv4.tcp_max_syn_backlog = 1280
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5
fs.quota.syncs = 18
2、SYN相关配置
防范SYN攻击设置,缩短SYN-Timeout时间:
iptables -A FORWARD -p tcp –syn -m limit –limit 1/s -j ACCEPT
iptables -A INPUT -i eth0 -m limit –limit 1/sec –limit-burst 5 -j ACCEPT
每秒最多3个 syn 封包进入表达为 :
iptables -N syn-flood
iptables -A INPUT -p tcp –syn -j syn-flood
iptables -A syn-flood -p tcp –syn -m limit –limit 1/s –limit-burst 3 -j RETURN
iptables -A syn-flood -j REJECT
#设置syncookies:
sysctl -w net.ipv4.conf.all.send_redirects=0
sysctl -w net.ipv4.conf.all.accept_redirects=0
sysctl -w net.ipv4.conf.all.forwarding=0
/sbin/sysctl -w net.ipv4.conf.default.accept_source_route=0 # 禁用icmp源路由选项
/sbin/sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1 # 忽略icmp ping广播包,应开启
/sbin/sysctl -w net.ipv4.icmp_echo_ignore_all=1 # 忽略所有icmp ping数据,覆盖上一项
=========================================================================================================
五、受到DDOS攻击后,如何处理和切换
1、使用iptables屏蔽攻击IP
首先使用以下代码,找出攻击者IP
netstat -ntu | awk'{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
以下命令将显示所有打开你的服务器的活跃连接,如果它显示连接超过500,那么将肯定有问题。
使用以下代码显示连接到80段口的活跃的网络连接
netstat -n | grep:80 |wc -l
以下命令结果是100或以上,那么服务器可能被同步攻击。
netstat -n | grep:80 | grep SYN |wc -l
一旦你获得了攻击你的服务器的IP列表,你可以很容易地阻止它。
使用下面的命令来阻止IP或任何其他特定的IP:
route addipaddress reject
一旦你在服务器上阻止了一个特定IP的访问,你可以检查对它的阻止是否有效
通过使用下面的命令:
route -n |grepIPaddress
当你发现攻击你服务器的IP你可以使用下面的命令来关闭他们的连接:
iptables -A INPUT1 -s $IPADRESS -j DROP/REJECT
请注意你必须用你使用netstat命令找到的IP数替换$IPADRESS
service iptablesrestart
service iptablessave
上面的命令执行后,停止httpd连接,重启httpd服务
使用下面的命令:
killall -KILLhttpd
service httpdstartssl
2、软件解决
㈠、使用DDoS deflate+iptables
DDoS deflate是一款免费的用来防御和减轻DDoS攻击的脚本。它通过netstat监测跟踪创建大量网络连接的IP地址,在检测到某个结点超过预设的限制时,该程序会通过APF或IPTABLES禁止或阻挡这些IP.
安装DDoS deflate
wget http://www.inetbase.com/scripts/ddos/install.sh //下载DDoSdeflate
chmod 0700 install.sh //添加权限
./install.sh //执行
配置DDoS deflate
下面是DDoS deflate的默认配置位于/usr/local/ddos/ddos.conf,默认如下:
##### Paths of thescript and other files
PROGDIR="/usr/local/ddos"
PROG="/usr/local/ddos/ddos.sh"
IGNORE_IP_LIST="/usr/local/ddos/ignore.ip.list" //IP地址白名单
CRON="/etc/cron.d/ddos.cron" //定时执行程序
APF="/etc/apf/apf"
IPT="/sbin/iptables"
##### frequency inminutes for running the script
##### Caution: Every time this setting is changed, run the script with --cron
##### option so that the new frequency takes effect
FREQ=1 //检查时间间隔,默认1分钟
##### How manyconnections define a bad IP? Indicate that below.
NO_OF_CONNECTIONS=150 //最大连接数,超过这个数IP就会被屏蔽,一般默认即可
##### APF_BAN=1(Make sure your APF version is atleast 0.96)
##### APF_BAN=0 (Uses iptables for banning ips instead of APF)
APF_BAN=1 //使用APF还是iptables。推荐使用iptables,将APF_BAN的值改为0即可。
##### KILL=0 (BadIPs are'nt banned, good for interactive execution of script)
##### KILL=1 (Recommended setting)
KILL=1 //是否屏蔽IP,默认即可
##### An email issent to the following address when an IP is banned.
##### Blank would suppress sending of mails
EMAIL_TO="root" //当IP被屏蔽时给指定邮箱发送邮件,推荐使用,换成自己的邮箱即可
##### Number ofseconds the banned ip should remain in blacklist.
BAN_PERIOD=600 //禁用IP时间,默认600秒,可根据情况调整
用户可根据给默认配置文件加上的注释提示内容,修改配置文件。
查看/usr/local/ddos/ddos.sh文件的第117行
netstat -ntu | awk‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -nr > $BAD_IP_LIST
修改为以下代码即可!
netstat -ntu | awk‘{print $5}’ | cut -d: -f1 | sed -n ‘/[0-9]/p’ | sort |uniq -c | sort -nr > $BAD_IP_LIST
测试防ddos攻击效果
NO_OF_CONNECTIONS=3
#这里为了方便测试,设置为3。生产环境下,几十到几百都可以理解为正常,上千肯定就是不正常了,除非是应用内部各个服务器之间的通信
通过一台固定ip的机器ssh连接该服务器,当连接到超过3甚至更多时,不会立刻显示连不上,因为ddos.sh默认一分钟运行一次,当过不到一分钟时,会发现连接掉了,查看部署了防ddos软件的服务器上可以看到iptables的策略中多了:
DROP all --31.210.16.29.broad.cs.gd.dynamic.163data.com.cn anywhere
说明确实生效了,当10分钟后,iptables上这条策略会被取消的
关于如何查看单个IP的连接数目可以通过如下命令查看,依次排列:
netstat -na|grep ESTABLISHED|awk'{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -r -n
..............
40 127.0.0.1
1 121.9.252.28
1 173.117.140.69
ddos攻击很常见,攻击效果也很好,比如像前段时间由于维基创始人引发的那次大范围的攻击。
如果有专门防止ddos的硬件设备的话最好,没有的话就利用DDoS-Deflate结合iptables在一定程度上防范ddos攻击也是一种很好的策略。
㈡、使用智能dns解析,自动解析到好的服务器
需要在dnspod.cn购买
㈢、使用负载均衡
两台或两台服务器以上,LVS+Keepalive或LVS+heartbeat实现双机或多机热备
1、syn攻击
[if !supportLists]A.1 [endif]SYN Flood攻击
此种攻击经过抓包分析可以看到,大量的syn请求发向目标地址,而syn包的源地址为大量的随机生成的虚假地址。
![img_c1c663bf0b0b5a6022c8916a2a373e8e.png](https://i-blog.csdnimg.cn/blog_migrate/81ee2fb490e2edd64885b7d988962b17.png)
在目标主机上使用netstat–an命令可以看到大量syn连接,处于syn_received状态
![img_026c2df2665b28db2eb898bf70448e3f.png](https://i-blog.csdnimg.cn/blog_migrate/cc1a38a01fa4f9336bbfad2ae89d6248.png)
2、ack攻击
此种攻击方式为攻击主机向目标主机发送大量含有ack标志位的包,目标主机向攻击主机回复rst标志位的包;或者攻击主机向目标主机发送大量的psh+ack标志位的包,目标主机直接丢弃,最终导致目标主机性能严重下降。抓包结果如下;
![img_6238cbb8d198afa02d4b22d38cc53567.png](https://i-blog.csdnimg.cn/blog_migrate/7e1b39d92bcd4b677b2543b418ec4d7c.png)
3、ICMP攻击
![img_4fc2a8eb649d1201dd84b2682b1c139d.png](https://i-blog.csdnimg.cn/blog_migrate/f4e1f55f2f8063f544d4b978c23b09c1.png)
4、UDP攻击
此种攻击由攻击主机向目标主机未开放端口发送大量udp数据包,目标主机直接丢弃,并回复icmp不可达信息,消耗目标主机资源
![img_35c701957374b2648ef58aa521dbc154.png](https://i-blog.csdnimg.cn/blog_migrate/8179b8394f72be6ae9d89778a72b901d.png)
5、DNS攻击
![img_b099c528889906f2b8f10abcdda515b1.png](https://i-blog.csdnimg.cn/blog_migrate/40ccf627e3f58ae9b9ca22d72a1fe3e4.png)
6、Connection-Flood 和 URL Get Flood
![img_51bc180b04ab36f752a12a25918496a3.png](https://i-blog.csdnimg.cn/blog_migrate/905984521f60aadda5aeaf8fe084a80b.png)
防护方式:
LINUX:
编辑/etc/sysctl.conf,添加以下参数
#增加连接数:
net.ipv4.tcp_max_syn_backlog = 2048
#检查syncookies值:
net.ipv4.tcp_syncookies = 1
#减少重新连接次数:
net.ipv4.tcp_synack_retries = 2
#发送keepalive消息间隔时间修改:
net.ipv4.tcp_keepalive_time = 300
#会话结束等待时间修改:
net.ipv4.tcp_fin_timeout = 20
#TCP检测连接中断的数量修改:
net.ipv4.tcp_keepalive_probes = 4
#把不符合rfc1377文档的包丢弃:
net.ipv4.tcp_rfc1337 = 1
#加快接收客户端的连接速度:
net.ipv4.tcp_abort_on_overflow = 1
windows:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
#关闭无效网关的检查。当服务器设置了多个网关,这样在网络不通畅的时候系统会尝试连接第二个网关,通过关闭它可以优化网络。
"EnableDeadGWDetect"=dword:00000000
#禁止转发广播包。
"ForwardBroadcasts"=dword:00000000
#禁止响应ICMP重定向报文。此类报文有可能用以攻击,所以系统应该拒绝接受ICMP重定向报文。
"EnableICMPRedirect"=dword:00000000
#不允许释放NETBIOS名。当攻击者发出查询服务器NETBIOS名的请求时,可以使服务器禁止响应。
#注意系统必须安装SP2以上
"NoNameReleaseOnDemand"=dword:00000001
#发送验证保持活动数据包。该选项决定TCP间隔多少时间来确定当前连接还处于连接状态,不设该值,则系统每隔2小时对TCP是否有闲置连接进行检查,这里设置时间为5分钟。
"KeepAliveTime"=dword:000493e0
#禁止进行最大包长度路径检测。该项值为1时,将自动检测出可以传输的数据包的大小,可以用来提高传输效率,如出现故障或安全起见,设项值为0,表示使用固定MTU值576bytes。
"EnablePMTUDiscovery"=dword:00000000
#启动syn攻击保护。缺省项值为0,表示不开启攻击保护,项值为1和2表示启动syn攻击保护,设成2之后安全级别更高,对何种状况下认为是攻击,则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值设定的条件来触发启动了。这里需要注意的是,NT4.0必须设为1,设为2后在某种特殊数据包下会导致系统重启。
"SynAttackProtect"=dword:00000002
#同时允许打开的半连接数量。所谓半连接,表示未完整建立的TCP会话,用netstat命令可以看到呈SYN_RCVD状态的就是。这里使用微软建议值,服务器设为100,高级服务器设为500。建议可以设稍微小一点。
"TcpMaxHalfOpen"=dword:00000064
#判断是否存在攻击的触发点。这里使用微软建议值,服务器为80,高级服务器为400。
"TcpMaxHalfOpenRetried"=dword:00000050
#设置等待SYN-ACK时间。缺省项值为3,缺省这一过程消耗时间45秒。项值为2,消耗时间为21秒。项值为1,消耗时间为9秒。最低可以设为0,表示不等待,消耗时间为3秒。这个值可以根据遭受攻击规模修改。微软站点安全推荐为2。
"TcpMaxConnectResponseRetransmissions"=dword:00000001
#设置TCP重传单个数据段的次数。缺省项值为5,缺省这一过程消耗时间240秒。微软站点安全推荐为3。
"TcpMaxDataRetransmissions"=dword:00000003
#设置syn攻击保护的临界点。当可用的backlog变为0时,此参数用于控制syn攻击保护的开启,微软站点安全推荐为5。
"TCPMaxPortsExhausted"=dword:00000005
#禁止IP源路由。缺省项值为1,表示不转发源路由包,项值设为0,表示全部转发,设置为2,表示丢弃所有接受的源路由包,微软站点安全推荐为2。
"DisableIPSourceRouting"=dword:0000002
#限制处于TIME_WAIT状态的最长时间。缺省为240秒,最低为30秒,最高为300秒。建议设为30秒。
"TcpTimedWaitDelay"=dword:0000001e
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]
#增大NetBT的连接块增加幅度。缺省为3,范围1-20,数值越大在连接越多时提升性能。每个连接块消耗87个字节。
"BacklogIncrement"=dword:00000003
#最大NetBT的连接快的数目。范围1-40000,这里设置为1000,数值越大在连接越多时允许更多连接。
"MaxConnBackLog"=dword:000003e8
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]
#配置激活动态Backlog。对于网络繁忙或者易遭受SYN攻击的系统,建议设置为1,表示允许动态Backlog。
"EnableDynamicBacklog"=dword:00000001
#配置最小动态Backlog。默认项值为0,表示动态Backlog分配的自由连接的最小数目。当自由连接数目低于此数目时,将自动的分配自由连接。#默认值为0,对于网络繁忙或者易遭受SYN攻击的系统,建议设置为20。
"MinimumDynamicBacklog"=dword:00000014
#最大动态Backlog。表示定义最大"准"连接的数目,主要看内存大小,理论每32M内存最大可以增加5000个,这里设为20000。
"MaximumDynamicBacklog"=dword:00002e20
#每次增加的自由连接数据。默认项值为5,表示定义每次增加的自由连接数目。对于网络繁忙或者易遭受SYN攻击的系统,建议设置为10。
"DynamicBacklogGrowthDelta"=dword:0000000a
#禁用任务分派。任务分派是NDIS5.0将原本由处理器进行的TCP中IPSEC加密和校验和计算的任务分配给网卡来做,这样可以显著提升系统的性能。但在某些情况下,比如ISA Server 2004可能会出现被SYNflood攻击时连接不稳定现象。在SYN攻击保护模式中,ISA没有正确的进行任务分派,结果校验和崩溃,然后不能建立新的TCP连接。只要禁止任务分派就可以解决这个问题。
"DisableTaskOffload"=dword:00000001
#--------------------------------------------------------------------------------------------------------------------------
#以下部分需要根据实际情况手动修改
#[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
#启用网卡上的安全过滤
#"EnableSecurityFilters"=dword:00000001
#同时打开的TCP连接数,这里可以根据情况进行控制。
#"TcpNumConnections"=
#该参数控制 TCP 报头表的大小限制。在有大量 RAM 的机器上,增加该设置可以提高 SYN 攻击期间的响应性能。
#"TcpMaxSendFree"=
#[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{自己的网卡接口}]
#禁止路由发现功能。ICMP路由通告报文可以被用来增加路由表纪录,可以导致攻击,所以禁止路由发现。
#"PerformRouterDiscovery "=dword:00000000