LINUX預防PHPDDOS的iptables規則

PHPDDOS的iptables規則

代碼如下

複製代碼

iptables -I OUTPUT -p udp --dport 53 -d 202.103.44.150 -j ACCEPT   iptables -I OUTPUT -p udp --dport 53 -d 202.103.24.68 -j ACCEPT   iptables -A OUTPUT -p tcp -m tcp --sport 1024:65535 -d 202.103.44.150 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT   iptables -A OUTPUT -p tcp -m tcp --sport 1024:65535 -d 202.103.24.68 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT   iptables -A OUTPUT -p udp -m udp --sport 1024:65535 -d 202.103.44.150 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT   iptables -A OUTPUT -p udp -m udp --sport 1024:65535 -d 202.103.24.68 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT   iptables -A OUTPUT -p udp -j REJECT   /etc/rc.d/init.d/iptables save

解決對外udp攻擊

以下教您通過改變一些linux伺服器及php的安全的設定，來禁止掛馬後成為ddos攻擊源

1.php.ini禁掉php調用系統的exec之類的參數
在php.ini中加入如下一行

 

代碼如下	複製代碼
disable_functions=symlink,shell_exec,exec,proc_close,proc_open,popen,system,dl,passthru, escapeshellarg,escapeshellcmd

2.禁止伺服器的ouput發udp包（除本機設定的網域名稱解析伺服器）

 

代碼如下	複製代碼
#!/bin/sh NSIP=`cat /etc/resolv.conf |grep nameserver |awk ‘NR==1{print $2 }’` /sbin/iptables -A OUTPUT -p udp -j DROP /sbin/iptables -I OUTPUT -p udp –dport 53 -d $NSIP -j ACCEPT

如果是tcp協議的話，可以用下面一段iptables:

代碼如下	複製代碼
iptables -A OUTPUT -p tcp --dport 80 -m state --state NEW -j DROP