作为站长或者公司的网站的网管，什么最可怕？显然是网站受到的DDoS***。大家都有这样的经历，就是在访问某一公司网站或者论坛时，如果这个网站或者论坛流量比较大，访问的人比较多，打开页面的速度会比较慢，对不?!一般来说，访问的人越多，网站或论坛的页面越多，数据库就越大，被访问的频率也越高，占用的系统资源也就相当可观。


CC***是DDoS(分布式拒绝服务)的一种，相比其它的DDoS***CC似乎更有技术含量一些。这种***你见不到虚假IP，见不到特别大的异常流量，但造成服务器无法进行正常连接，一条ADSL的普通用户足以挂掉一台高性能的Web服务器。由此可见其危害性，称其为"Web杀手"毫不为过。最让站长们忧虑的是这种***技术含量不是很高，利用工具和一些IP代理，一个初、中级的电脑水平的用户就能够实施DDoS***。


那么怎样保证这些网站服务器的安全呢？防护CC***大家有必要了解CC***的原理及如果发现CC***和对CC***的防范措施。


一、CC***的原理


CC***的原理就是***者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来***页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。


二、CC***的种类


CC***的种类有三种，直接***，代理***，僵尸网络***。

直接***主要针对有重要缺陷的WEB应用程序，一般说来是程序写的有问题的时候才会出现这种情况，比较少见。


僵尸网络***有点类似于DDOS***了，从WEB应用程序层面上已经无法防御。


代理***：CC***者一般会操作一批代理服务器，比方说100个代理，然后每个代理同时发出10个请求，这样WEB服务器同时收到1000个并发请求的，并且在发出请求后，立刻断掉与代理的连接，避免代理返回的数据将本身的带宽堵死，而不能发动再次请求，这时WEB服务器会将响应这些请求的进程进行队列，数据库服务器也同样如此，这样一来，正常请求将会被排在很后被处理，就象本来你去食堂吃饭时，一般只有不到十个人在排队，今天前面却插了一千个人，那么轮到你的机会就很小很小了，这时就出现页面打开极其缓慢或者白屏。


三、***症状


CC***有一定的隐蔽性，那如何确定服务器正在遭受或者曾经遭受CC***呢?我们可以通过以下三个方法来确定。


(1).命令行法


一般遭受CC***时，Web服务器会出现80端口对外关闭的现象，因为这个端口已经被大量的垃圾数据堵塞了正常的连接被中止了。我们可以通过在命令行下输入命令netstat-an来查看，如果看到类似如下有大量显示雷同的连接记录基本就可以被CC***了：

　　……

　　TCP 192.168.1.3:80 192.168.1.6:2205 SYN_RECEIVED 4

　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4

　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4

　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4

　　TCP 192.168.1.3:80 192.168.1.6: 2205 SYN_RECEIVED 4

　　……

其中"192.168.1.6"就是被用来代理***的主机的IP，"SYN_RECEIVED"是TCP连接状态标志，意思是"正在处于连接的初始同步状态"，表明无法建立握手应答处于等待状态。这就是***的特征，一般情况下这样的记录一般都会有很多条，表示来自不同的代理IP的***。


(2).批处理法


上述方法需要手工输入命令且如果Web服务器IP连接太多看起来比较费劲，我们可以建立一个批处理文件，通过该脚本代码确定是否存在CC***。打开记事本键入如下代码保存为CC.bat：


　　@echooff

　　time /t >>log.log

　　netstat -n -p tcp |find ":80">>Log.log

　　notepad log.log

　　exit


上面的脚本的含义是筛选出当前所有的到80端口的连接。当我们感觉服务器异常是就可以双击运行该批处理文件，然后在打开的log.log文件中查看所有的连接。如果同一个IP有比较多的到服务器的连接，那就基本可以确定该IP正在对服务器进行CC***。


(3).查看系统日志


上面的两种方法有个弊端，只可以查看当前的CC***，对于确定Web服务器之前是否遭受CC***就无能为力了，此时我们可以通过Web日志来查，因为Web日志忠实地记录了所有IP访问Web资源的情况。通过查看日志我们可以Web服务器之前是否遭受CC***，并确定***者的IP然后采取进一步的措施。


Web日志一般在C:\WINDOWS\system32\LogFiles\HTTPERR目录下，该目录下用类似httperr1.log的日志文件，这个文件就是记录Web访问错误的记录。管理员可以依据日志时间属性选择相应的日志打开进行分析是否Web被CC***了。默认情况下，Web日志记录的项并不是很多，我们可以通过IIS进行设置，让Web日志记录更多的项以便进行安全分析


其操作步骤是：


"开始→管理工具"打开"Internet信息服务器"，展开左侧的项定位到到相应的Web站点，然后右键点击选择"属性"打开站点属性窗口，在"网站"选项卡下点击"属性"按钮，在"日志记录属性"窗口的"高级"选项卡下可以勾选相应的"扩展属性"，以便让Web日志进行记录。比如其中的"发送的字节数"、"接收的字节数"、"所用时间"这三项默认是没有选中的，但在记录判断CC***中是非常有用的，可以勾选。另外，如果你对安全的要求比较高，可以在"常规"选项卡下对"新日志计划"进行设置，让其"每小时"或者"每一天"进行记录。为了便于日后进行分析时好确定时间可以勾选"文件命名和创建使用当地时间"。


四、CC***防御策略


确定Web服务器正在或者曾经遭受CC***，那如何进行有效的防范呢?


(1).取消域名绑定


一般cc***都是针对网站的域名进行***，比如我们的网站域名是"www.star-net.cn"，那么***者就在***工具中设定***对象为该域名然后实施***。

　　

对于这样的***我们的措施是在IIS上取消这个域名的绑定，让CC***失去目标。具体操作步骤是：打开"IIS管理器"定位到具体站点右键"属性"打开该站点的属性面板，点击IP地址右侧的"高级"按钮，选择该域名项进行编辑，将"主机头值"删除或者改为其它的值(域名)。

　　

经过模拟测试，取消域名绑定后Web服务器的CPU马上恢复正常状态，通过IP进行访问连接一切正常。但是不足之处也很明显，取消或者更改域名对于别人的访问带来了不变，另外，对于针对IP的CC***它是无效的，就算更换域名***者发现之后，他也会对新域名实施***。


(2).域名欺骗解析


如果发现针对域名的CC***，我们可以把被***的域名解析到127.0.0.1这个地址上。我们知道127.0.0.1是本地回环IP是用来进行网络测试的，如果把被***的域名解析到这个IP上，就可以实现***者自己***自己的目的，这样他再多的肉鸡或者代理也会宕机，让其自作自受。

　　

另外，当我们的Web服务器遭受CC***时把被***的域名解析到国家有权威的政府网站或者是网警的网站，让其网警来收拾他们。

　　

现在一般的Web站点都是利用类似"新网"这样的服务商提供的动态域名解析服务，大家可以登录进去之后进行设置。


(3).更改Web端口


一般情况下Web服务器通过80端口对外提供服务，因此***者实施***就以默认的80端口进行***，所以，我们可以修改Web端口达到防CC***的目的。运行IIS管理器，定位到相应站点，打开站点"属性"面板，在"网站标识"下有个TCP端口默认为80，我们修改为其他的端口就可以了。


(4).IIS屏蔽IP


我们通过命令或在查看日志发现了CC***的源IP，就可以在IIS中设置屏蔽该IP对Web站点的访问，从而达到防范IIS***的目的。在相应站点的"属性"面板中，点击"目录安全性"选项卡，点击"IP地址和域名现在"下的"编辑"按钮打开设置对话框。在此窗口中我们可以设置"授权访问"也就是"白名单"，也可以设置"拒绝访问"即"黑名单"。比如我们可以将***者的IP添加到"拒绝访问"列表中，就屏蔽了该IP对于Web的访问。


五、CC***的防范手段


防止CC***，不一定非要用高防服务器。比如，用防CC***软件就可以有效的防止CC***

推荐一些CC的防范手段：


1、优化代码

尽可能使用缓存来存储重复的查询内容，减少重复的数据查询资源开销。减少复杂框架的调用，减少不必要的数据请求和处理逻辑。程序执行中，及时释放资源，比如及时关闭mysql连接，及时关闭memcache连接等，减少空连接消耗。


2、限制手段

对一些负载较高的程序增加前置条件判断，可行的判断方法如下：

必须具有网站签发的session信息才可以使用（可简单阻止程序发起的集中请求）；必须具有正确的referer（可有效防止嵌入式代码的***）；禁止一些客户端类型的请求（比如一些典型的不良蜘蛛特征）；同一session多少秒内只能执行一次。


3、完善日志

尽可能完整保留访问日志。日志分析程序，能够尽快判断出异常访问，比如单一ip密集访问；比如特定url同比请求激增。


六、针对CC***的商业解决方案


很多的网站管理者是等到网站遭到***了，受到损失了，才去寻求解决的方案，在将来的互联网飞速发展的时代，一定要有安全隐患意识，不要等到损失大了，再去想办法来补救，这样为时已晚。然而当网站受到***时，大多数人想到的是-----快点找硬防，基本上都步了一个误区，就是认为网站或者服务器被***，购买硬件防火墙，什么事都万事大吉了，实际上这样的想法是极端错误的。多年的统计数据表明，想彻底解CC***是几乎不可能的，就好比治疗感冒一样，我们可以治疗，也可以预防，但却无法根治，但我们若采取积极有效的防御方法，则可在很大程度上降低或减缓生病的机率，防治DDOS***也是如此。


实际上比较理想解决方案应该是"软件+硬件"的解决方案。此方案对于资金较为充足的企业网站来说，这个方案适合他们；硬件在DDOS防护上有优势，软件CC防护上有优势；相对于一些对于ICP内容网站、论坛社区BBS、电子商务eBusiness、音乐网站Music、电影网站File等网站服务器越来越普及，但由于种种原因往往会遭受竞争对手或打击报复者的恶意DDOS***，持续的***会导致大量用户流失，严重的甚至因人气全失而被迫关闭服务器，为了最大程度的保护运营者的利益，冰盾科技结合多年抗DDOS的实践经验给出了最少的安全投资可获得最大安全回报的抗DDOS解决方案。