Phát hiện và chống các cuộc tấn công ddos cho VPS, Sever
-DDOS là một vấn đề nan giải cho các webmaster hoặc admin. Sau đây mình xin giới thiệu một vài thủ thuật để nhận biết DDOS và một số biện pháp đối phó khi server bị DDOS.
Khi server đột ngột chậm như rùa, mọi xử lý của server đều rất nặng nề, thì nhiều khả năng do một trong hoặc những nguyên nhânsau:
1. Server bị DDOS
2. Server bị quá tải do thiếu RAM
3. Server bị quá tải do tốc độ xử lý của CPU không đảm bảo
4. Tốc độ truy xuất dữ liệucủa HDD không đápứng nhu cầu read/write của data. (Thông thường xảy ra trên các ổ SATA 72krpm hoặc HDD sắp hỏng)
Trong bài viết này chúng ta đi vào vấn đề thứ 1: server bị DDOS, các vấn đề 2,3,4 có thể khắcphục dễdàng bằng cách nâng cấpphần cứng.
Kiểm tra xem server có bị DDOS hay không:
Từ command line Linux gõ:
Mã nguồn[chọn]
netstat -anp |grep 'tcp\|udp' | awk ' {print$5} ' | cut -d: -f1 | sort | uniq -c | sort -n
Câu lện trên sẽ trả về hàng loạt IP chiếm nhiều connection nhất trên server. Cầnlưu ý rằng DDOS có thể xuất phát từ một lượng nhỏconnection. Do đó việc kết quả trả về connection thấp bạn vẫn có thể trong tình trạng under attack.
Một phương pháp khác:
Mã nguồn[chọn]
netstat -n | grep :80 |wc -l
Mã nguồn[chọn]
netstat -n | grep :80 | grep SYN |wc -l
Dòng lệnh thứ nhấttrả về số lượng active connection (connection đanghoạt động). Rất nhiều kiểu tấn công DDOS bằng cách mở một kết nốiconnection lên serverrồi không làmgì cả khiến cho server chờ đợi cho đến khitimeout. Nến dòng lệnh thứ nhất trả về trên 500 thì server của bạn rất nhiều khả năng bị DDOS.
Dòng lệnh thứ 2 trảvề kết quả trên 100 thì rấtnhiều khả năng server bạn trong tình trang syn attack DDOS.
Lưu ý: cách tính trên chỉ là tương đối, một số website có lưu lượng truy cập lớn thì phươngpháp detect này có thể không chính xác.
Một số phương pháp khắc phục:
Cách khắc phục nhanh nhất là blockcác IP chiếm nhiều connection nhất trong"giờ cao điểm":
Cách 1:
Mã nguồn[chọn]
route add địa-chỉ-ip reject
Ví dụ của mình cái thằng nó đang ddosbạn IP là 180.87.42.50thì chonó vào
Mã nguồn[chọn]
route add 180.87.42.50reject
Kiểm tra bằng lệnh:
Mã nguồn[chọn]
route -n |grep địa-chỉ-ip
Cách 2: sử dụng iptables
Mã nguồn[chọn]
iptables -A INPUT 1 -s địa-chỉ-ip -j DROP/REJECT service iptables restart
Mã nguồn[chọn]
service iptables save
Sau đó xóa hết tất cả connection hiện hành và khơi động lại service httpd
Mã nguồn[chọn]
killall -KILL httpd service httpd restart
Nếu như hoàn tất các bước nêu trên mà server vẫn chậm thì có nghĩa là vấn đề bạn gặp phải nằm vào trường hợp 2,3,4... chỉ việc nâng cấp server để đáp ứng nhu cầu truy cậpcủa người sử dụng.
Add Free BackLinkBacklinkviet - giokim.com
.png){kind=small}