怎么判断服务器是否被DDoS恶意攻击？
怀疑遇到攻击情况，首先要看看服务器上面的情况，首先top一下，看看服务器负载，如果负载不高，那么基本可以判断不是cc类型的攻击，再输入命令
netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'
查看下 *** 连接的情况，会得到下面这些结果：
TCP/IP协议使用三次握手来建立连接，过程如下：
1、之一次握手，客户端发送数据包syn到服务器，并进入SYN_SEND状态，等待回复
2、第二次握手，服务器发送数据报syn/ack，给客户机，并进入SYN_RECV状态，等待回复
3、第三次握手，客户端发送数据包ACK给客户机，发送完成后，客户端和服务器进入ESTABLISHED状态，链接建立完成
如果ESTABLISHED非常地高，那么可能是有人在恶意攻击，进一步判断，可以把下面命令保存为脚本执行一下：
for i in `netstat -an | grep -i ':80 '|grep 'EST' | awk '{print $5}' | cut -d : -f 1 | sort | uniq -c | awk '{if($1 50) {print $2}}'`
do
echo $i
echo $i /tmp/evilip
done
如果输出了多个结果，那么可能表示有人在企图进行DDOS攻击，想用TCP连接来拖死你的服务器，输出的ip就是发出请求的服务器地址，并且保存在了/tmp/evilip里面。如果没有结果，可以调整一下阈值，把50改成40试一试，对策我们后面再说，这里只讲判断。如果SYN_RECV非常高，那么表示受到了SYN洪水攻击。
SYN洪水是利用TCP/IP协议的设计缺陷来进行攻击的，采用一些策略以及配置可以适当的降低攻击的影响，但并不能完全消除。
sysctl -w net.ipv4.tcp_syncookies=1
sysctl -w net.ipv4.tcp_syn_retries = 0
sysctl -w net.ipv4.tcp_max_syn_backlog=2048
tcp_syncookies设置为1表示启用syncookie，可以大大降低SYN攻击的影响，但是会带来新的安全缺陷。
tcp_syn_retries 表示syn重试次数，重传次数设置为0，只要收不到客户端的响应，立即丢弃该连接，默认设置为5次。
tcp_max_syn_backlog表示syn等待队列，改小这个值，使得SYN等待队列变短，减少对系统以及 *** 资源的占用。
TCP连接攻击算是比较古老的了，防御起来也相对比较简单，主要是利用大量的TCP连接来消耗系统的 *** 资源，通常同一个IP会建立数量比较大的TCP连接，并且一直保持。应对 *** 也比较简单，可以将以下命令保存为脚本，定时ban掉那些傀儡机ip
for i in `netstat -an | grep -i ':80 '|grep 'EST' | awk '{print $5}' | cut -d : -f 1 | sort | uniq -c | awk '{if($1 50) {print $2}}'`
do
echo $i
echo $i /tmp/banip
/ *** in/iptables -A INPUT -p tcp -j DROP -s $i
done
banip文件里面记录了所有被ban的ip地址信息，方面进行反渗透以及证据保存等等。为了更好地加固系统，我们可以使用iptables来限制一下，单个ip的更大连接数。
当攻击者的资源非常的多，上面这些 *** 限制可能就没有什么防护效果了，面对大流量DDoS攻击还是要考虑采用多机负载或者选择墨者安全高防来应对了，一般来说多机负载的成本可能更高，所以大部分人还是选择墨者高防硬防产品来防御。
如何查看服务器是否被攻击
DDOS攻击，直接找机房要流量图就看得到。把服务器ip打挂了，连接不上服务器，不通了。
cc攻击:cpu变得很高，操作很卡，可以先让服务器商分析下，进服务器里看下，现在很多服务器安全软件，市面有云盾，金盾，cdn等各种防护软件。
服务器被攻击的基本处理办法:
检查系统日志，查看下是什么类型的攻击，看下攻击者都去了哪些地方。内容是否又被修改的痕迹等，如果发现问题及时进行清理。
关闭不必要的服务和端口。
定期整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号等。
重新设置账户密码，密码设置的复杂些；以及设置账户权限。
对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果没有安装，可以安装个服务器安全狗，同时，还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。
检测网站，是否又被挂马、被篡改、挂黑链等，如果有，及时清理。
如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务。
定期备份数据文件。如果之前有做备份，可以对重要数据进行替换。
如果不希望被攻击的话推荐租用高防服务器。
如何判断自己的服务器是否被流量攻击？
酷酷云为您解答~
1、检查网站后台服务器发现大量无用的数据包；
2、服务器主机上有大量等待的TCP连接；
3、 *** 流量出现异常变化突然暴涨；
4、大量访问源地址是虚假的；
5、当发现Ping超时或丢包严重时，且同一交换机上的服务器也出现了问题，不能进行正常访问；
流量攻击如何防御？
1.扩充服务器带宽
服务器的 *** 带宽直接决定服务器承受攻击能力。所以在选购服务器时，可以加大服务器 *** 带宽。
2.使用硬件防火墙
部分硬件防火墙基于包过滤型防火墙修改为主，只在 *** 层检查数据包，若是DDoS攻击上升到应用层，防御能力就比较弱了。
3.选用高性能设备
除了使用硬件防火墙。服务器、路由器、交换机等 *** 设备的安全性能也需要有所保证。
4.负载均衡
负载均衡建立在现有 *** 结构之上，它提供了一种廉价有效透明的 *** 扩展 *** 设备和服务器的带宽、增加吞吐量、加强 *** 数据处理能力、提高 *** 的灵活性和可用性，对DDoS流量攻击和CC攻击都很见效。
5.筛查系统漏洞
要定期筛查系统漏洞，及早发现系统漏洞，及时安装系统补丁。同时针对重要信息（如系统配置信息）做好备份。
6.限制特定的流量
如遇到流量异常时，应及时检查访问来源，并做适当的限制。以防止异常、恶意的流量来袭。主动保护网站安全。
7.选购高防服务器
高防服务器可以帮助网站拒绝服务攻击，而且高防服务器可以定时扫描现有的 *** 主节点，还可查找可能存在的安全漏洞的服务器类型∞
酷酷云服务器为您诚意解答，服务器租户的选择，酷酷云值得信赖。
如何查看服务器是否被ddos攻击？
ddos攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动攻击，从而成倍地提高拒绝服务攻击的威力。ddos的攻击方式有很多种，最基本的dos攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。
之一，宽带被占用，宽带占用资源，一般是ddos攻击中最重要的一个手段。毕竟对于中小型企业来讲，能够享受到的宽带资源还是很有限的。Ddos攻击之后，宽带资源被占据，正常的流量很难满足服务器运行需求。如果你的服务器宽带占用比率为百分之九十的话，很有可能是遭受到ddos攻击了。
第二，连接不到服务器，一旦网站被ddos攻击之时，是会造成电脑死机或者是蓝屏的。这就代表着你使用的电脑服务器连接不成功。服务器连接不成功或者是连接出现错误的话，服务器能不能出现故障等问题，在进行服务器连接的同时，做好相关防御。
第三，内存被大量占用，如何查看服务器是否被ddos攻击，这一点是最重要的。Ddos攻击本身就是在恶意导致资源被占用。攻击者们利用攻击软件，针对服务器发送大量的垃圾请求。最后导致服务器被大量的所占用。因为正常网站进程，不能得到有效的处理，而且还会出现缓慢打开情况。就会出现服务器内存被大量的占据。
防御ddos攻击的 *** 可以使用蔚可云的ddos云清洗功能
0条大神的评论