如何用iptables來防止web伺服器被CC攻擊

 CC攻擊比DDOS攻擊更可怕的就是，CC攻擊一般是硬防很難防止住的。為什麼呢？一、因為CC攻擊來的IP都是真實的，分散的；二、CC攻擊的資料包都是正常的資料包；三、CC攻擊的請求，全都是有效請求，無法拒絕的請求。

1、攻擊原理

CC攻擊的原理就是攻擊者控制某些主機不停地發大量資料包給對方伺服器造成伺服器資源耗盡，一直到宕機崩潰。CC主要是用來攻擊頁面的，每個人都有這樣的體驗：當一個網頁訪問的人數特別多的時候，開啟網頁就慢了，CC就是類比多個使用者(多少線程就是多少使用者)不停地進行訪問那些需要大量資料操作(就是需要大量CPU時間)的頁面，造成伺服器資源的浪費，CPU長時間處於100%，永遠都有處理不完的串連直至就網路擁塞，正常的訪問被中止。

2、攻擊癥狀

CC攻擊有一定的隱蔽性，那如何確定伺服器正在遭受或者曾經遭受CC攻擊呢?我們可以通過以下三個方法來確定。

(1).命令列法

一般遭受CC攻擊時，Web伺服器會出現80連接埠對外關閉的現象， 因為這個連接埠已經被大量的垃圾資料堵塞了正常的串連被中止了。我們可以通過在命令列下輸入命令netstat -an來查看，如果看到類似如下有大量顯示雷同的串連記錄基本就可以被CC攻擊了：

 

  
……  
  
 
  
TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4  
  
 
  
TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4  
  
 
  
TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4  
  
 
  
TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4  
  
 
  
TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4 …… 
 

 

其中“192.168.1.6”就是被用來代理攻擊的主機的IP，“SYN_RECEIVED”是TCP串連狀態標誌，意思是“正在處於串連的首次同步處理狀態 ”，表明無法建立握手應答處於等待狀態。這就是攻擊的特徵，一般情況下這樣的記錄一般都會有很多條，表示來自不同的代理IP的攻擊。

(2).批處理法

上述方法需要手工輸入命令且如果Web伺服器IP串連太多看起來比較費勁，我們可以建立一個批次檔，通過該指令碼代碼確定是否存在CC攻擊。開啟記事本鍵入如下代碼儲存為CC.bat：

 

  
@echo off  
  
 
  
time /t >>log.log  
  
 
  
netstat -n -p tcp |find ":80">>Log.log  
  
 
  
notepad log.log  
  
 
  
exit 
 

 

上面的指令碼的含義是篩選出當前所有的到80連接埠的串連。當我們感覺伺服器異常是就可以雙擊運行該批次檔，然後在開啟的log.log檔案中查看所有的串連。如果同一個IP有比較多的到伺服器的串連，那就基本可以確定該IP正在對伺服器進行CC攻擊。

(3).查看系統日誌

上面的兩種方法有個弊端，只可以查看當前的CC攻擊，對於確定Web伺服器之前是否遭受CC攻擊就無能為力了，此時我們可以通過Web日誌來查，因為Web日誌忠實地記錄了所有IP訪問Web資源的情況。通過查看日誌我們可以Web伺服器之前是否遭受CC攻擊，並確定攻擊者的IP然後採取進一步的措施。

Web日誌一般在C:WINDOWSsystem32LogFilesHTTPERR目錄下，該目錄下用類似httperr1.log的記錄檔，這個檔案就是記錄Web訪問錯誤的記錄。管理員可以依據日誌時間屬性選擇相應的日誌開啟進行分析是否Web被CC攻擊了。

預設情況下，Web日誌記錄的項並不是很多，我們可以通過IIS進行設定，讓Web日誌記錄更多的項以便進行安全分析。其操作步驟是：

“開始→管理工具”開啟“Internet資訊服務器”，展開左側的項定位到到相應的Web網站，然後右鍵點擊選擇“屬性”開啟網站屬性視窗，在“網站”選項卡下點擊“屬性”按鈕，在“日誌記錄屬性”視窗的“進階”選項卡下可以勾選相應的“擴充屬性”，以便讓Web日誌進行記錄。比如其中的“發送的位元組數”、“接收的位元組數”、“所用時間”這三項預設是沒有選中的，但在記錄判斷CC攻擊中是非常有用的，可以勾選。

另外，如果你對安全的要求比較高，可以在“常規”選項卡下對“新日誌計劃”進行設定，讓其“每小時”或者“每一天”進行記錄。為了便於日後進行分析時好確定時間可以勾選“檔案命名和建立使用當地時間”。

CC攻擊的嚴重性希望大家能夠引起注意，多多提高防範意識。

文章轉自 ddos軟體 http://www.fkddos.com/tech/2012/0925/4.html