一、 攻擊和防御的基本認(rèn)識(shí)
1、 攻擊類型
a) CC：CC是我們比較常見的攻擊方式，攻擊者通過(guò)大量請(qǐng)求我們的頁(yè)面，消耗服務(wù)器資源和帶寬資源，達(dá)到網(wǎng)站無(wú)法訪問的目的；
b) DDOS：DDOS也是經(jīng)常遇到的攻擊，攻擊者挾持大量肉雞，對(duì)服務(wù)器進(jìn)行半連接的攻擊，使得服務(wù)器帶寬堵塞，正常訪問無(wú)法進(jìn)入服務(wù)器；
c) ARP：這個(gè)攻擊我們不常見，表現(xiàn)形式是在我們的網(wǎng)站頁(yè)面上出現(xiàn)其他的廣告，但檢查頁(yè)面代碼，卻沒有廣告代碼。
2、 防御的思路和方法
a) CC：優(yōu)化頁(yè)面程序代碼，減少每段代碼對(duì)服務(wù)器資源的消耗，盡量使用html頁(yè)面，如確實(shí)需要?jiǎng)討B(tài)頁(yè)面，則必須使用緩存技術(shù)，減少對(duì)數(shù)據(jù)庫(kù)的壓力；
b) DDOS：對(duì)服務(wù)器做一些配置優(yōu)化，但基本上無(wú)法防御住大量肉雞的攻擊，此時(shí)可以將DNS解析到高防服務(wù)器；
c) ARP：防御較為簡(jiǎn)單，直接聯(lián)系機(jī)房，查找異常mac，處理掉ARP。
遭受CC或DDOS攻擊后的處理流程
操作注釋：
操作1：判斷攻擊類型
a) 命令： netstat -an|grep SYN|wc -l 看檢查到的包多不多，一般我們服務(wù)器只有20以下，超過(guò)200，基本可以確認(rèn)是DDOS攻擊
b) 命令： netstat -n | awk ‘/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}’ 看 ESTABLISHED ，非常大是DDOS，數(shù)值大概在1萬(wàn)以上，正常值在2000左右或以下
c) 查看nginx日志，檢查是否大量請(qǐng)求某個(gè)頁(yè)面，日志增長(zhǎng)數(shù)量迅速，若確認(rèn)，則為CC
操作2.1：開啟CC登陸判斷
進(jìn)入common文件夾，修改configWeb.php文件，將include(“proxy.php”)的注釋去掉
操作2.2：轉(zhuǎn)移到高防
進(jìn)入dnspod.cn，修改域名dns解析地址，指向高防服務(wù)器，同時(shí)替換主服務(wù)器上的nginx配置文件為應(yīng)急nginx.conf，并重啟nginx，目的是關(guān)閉80端口
操作3.1：開啟多臺(tái)服務(wù)器共同防御CC
在dnspod.cn里增加多個(gè)A記錄，使得用戶平均解析到各個(gè)服務(wù)器，共同防御CC，此時(shí)主服務(wù)器不需要關(guān)閉80端口
操作3.2：和聯(lián)盟高防輪切
在單臺(tái)高防無(wú)法防御的時(shí)候，重新修改dnspod里的IP地址，將地址解析到聯(lián)盟高防，等到聯(lián)盟防不住的時(shí)候，切到自己高防，通過(guò)不停的來(lái)回切換，使攻擊對(duì)我們的影響，降到最低
操作4：攻擊結(jié)束
通過(guò)監(jiān)控和主服務(wù)器測(cè)試，判斷攻擊是否結(jié)束，若結(jié)束后，域名解析回到自己主服務(wù)器，nginx配置文件換回攻擊以前的版本，注釋掉CC防御的代碼。
一、 服務(wù)器狀態(tài)監(jiān)控
1、 iptraf監(jiān)控網(wǎng)卡流量，一般DDOS和CC都會(huì)引發(fā)網(wǎng)卡收到的包數(shù)量增長(zhǎng)；
2、 netstat -an|grep SYN|wc –l命令檢查SYN包數(shù)量；
3、 檢查nginx日志，是否存在大量同時(shí)請(qǐng)求某個(gè)頁(yè)面，以及日志文件的增長(zhǎng)速度；
4、 若為DDOS攻擊，在攻擊一段時(shí)間后，開啟主服務(wù)器80端口，檢查是否還有大量SYN包進(jìn)入服務(wù)器。
二、 注意事項(xiàng)
1、在被DDOS攻擊時(shí)，確保主服務(wù)器的nginx配置文件為應(yīng)急版本，80端口必須關(guān)閉，可用netstat –ntupl 命令檢查開啟的端口。
2、要經(jīng)常檢查高防服務(wù)器，確保高防服務(wù)器隨時(shí)待命，且程序代碼和主服務(wù)器同步，可在高防服務(wù)器用 /root/rsync/rsync-client.sh 命令手動(dòng)同步，默認(rèn)為每2小時(shí)一次自動(dòng)同步。
3、檢測(cè)攻擊是否還存在，可以把正常的nginx配置文件換上，并重啟nginx，觀察SYN包和iptraf的流量，一切正常，則可在15分鐘后把域名解析回主服務(wù)器，并繼續(xù)觀察；若有異常，則馬上逆操作，替換應(yīng)急nginx配置文件，域名解析到高防服務(wù)器。
4、對(duì)于技術(shù)部，要確保在被攻擊時(shí)，理清思路，嚴(yán)格按步驟操作。
聯(lián)系客服
