本篇文章为大家展示了Linux系统中怎么防止床铺和CC攻击,内容简明扼要并且容易理解,绝对能使你眼前一亮,通过这篇文章的详细介绍希望你能有所收获。
1。抵御SYN
SYN攻击是利用TCP/IP协议3次握手的原理,发送大量的建立连接的网络包,但不实际
建立连接,最终导致被攻击服务器的网络队列被占满,无法被正常用户访问。
Linux内核提供了若干SYN相关的配置,用命令:
sysctl - | grep SYN
看到:
net.ipv4。tcp_max_syn_backlog=1024
net.ipv4。tcp_syncookies=0
net.ipv4。tcp_synack_retries=5
net.ipv4。tcp_syn_retries=5
tcp_max_syn_backlog是SYN队列的长度,tcp_syncookies是一个开关,是否打开SYN Cookie
功能,该功能可以防止部分SYN攻击.tcp_synack_retries和tcp_syn_retries定义SYN
的重试次数。
加大SYN队列长度可以容纳更多等待连接的网络连接数,打开SYN Cookie功能可以阻止部分
SYN攻击,降低重试次数也有一定效果。
调整上述设置的方法是:
增加SYN队列长度到2048:
sysctl - w net.ipv4。tcp_max_syn_backlog=2048
打开SYN COOKIE功能:
sysctl - w net.ipv4。tcp_syncookies=1
降低重试次数:
sysctl - w net.ipv4。tcp_synack_retries=3
sysctl - w net.ipv4.tcp_syn_retries=3
为了系统重启动时保持上述配置,可将上述命令加入到/etc/d/现在文件中。
2。抵御DDOS
DDOS,分布式拒绝访问攻击,是指黑客组织来自不同来源的许多主机,向常见的端口,如80年,
25等发送大量连接,但这些客户端只建立连接,不是正常访问。由于一般Apache配置的接受连接
数有限(通常为256),这些“假”访问会把Apache占满,正常访问无法进行。
Linux提供了叫ipchains的防火墙工具,可以屏蔽来自特定IP或IP地址段的对特定端口的连接。
使用ipchains抵御DDOS,就是首先通过netstat命令发现攻击来源地址,然后用ipchains命令阻断
攻击。发现一个阻断一个。
* * *打开ipchains功能
首先查看ipchains服务是否设为自动启动:
chkconfig——列表ipchains
输出一般为:
ipchains 0:从1:0ff 2:: 3日4日::5日6日:从
如果345列为,说明ipchains服务已经设为自动启动
如果没有,可以用命令:
chkconfig——添加ipchains
将ipchains服务设为自动启动
其次,察看ipchains配置文件/etc/sysconfig/ipchains是否存在。如果这一文件不存在,ipchains
即使设为自动启动,也不会生效。缺省的ipchains配置文件内容如下:
#防火墙配置lokkit写的
#不推荐这个文件的手工定制。
#注:ifup-post将穿孔当前域名服务器通过
#防火墙;这样的条目将*不*被列在这里。
:输入接受
:接受
向前跳跃接受
-输入- s 0/0 - 0/0 - lo - j接受
#允许http、ftp、smtp、ssh、域通过tcp;域通过udp
-输入- p tcp - s 0/0 - 0/0 pop3 - y - j接受
——输入http - y - j - p tcp - s 0/0 - 0/0接受
-输入- p tcp - s 0/0 - 0/0 https - y - j接受
-输入- p tcp - s 0/0 - 0/0 ftp - y - j接受
-输入- p tcp - s 0/0 - 0/0 smtp - y - j接受
——输入tcp - s 0/0 - 0/0 ssh - p - y - j接受
-输入- p tcp - s 0/0 - 0/0域- y - j接受
-输入- p udp - s 0/0 - 0/0域- j接受
#否认icmp包
#——输入- p icmp - s 0/0 - 0/0 - j否认
#默认规则——输入- p tcp - s 0/0 - 0/0 0:1023输入- p - y - j拒绝
——tcp - s 0/0 - 0/0 2049 - y - j拒绝
-输入- p udp - s 0/0 - 0/0 0:1023 - j拒绝
-输入- p udp - s 0/0 - 0/0 2049 - j拒绝
-输入- p tcp - s 0/0 - 0/0 6000:6009输入- p - y - j拒绝
——tcp - s 0/0 - 0/0 7100 - y - j拒绝
如果/etc/sysconfig/ipchains文件不存在,可以用上述内容创建之。创建之后,启动ipchains服务:
/etc/init。d/ipchains开始
* * *用netstat命令发现攻击来源
假如说黑客攻击的是80年Web端口,察看连接80端口的客户端IP和端口,命令如下:
netstat——- t tcp | grep“: 80“;| grep建立| awk & # 39; {printf“% s % sn", 5美元,美元6}& # 39;|
排序输出:
161.2.8.9:123 FIN_WAIT2
161.2.8.9:124 FIN_WAIT2
61.233.85.253:23656 FIN_WAIT2
…
第一栏是客户机IP和端口,第二栏是连接状态
如果来自同一IP的连接很多(超过50个),而且都是连续端口,就很可能是攻击。
如果只希望察看建立的连接,用命令:
netstat——- t tcp | grep“: 80“;| grep建立| awk & # 39; {printf“% s % sn", 5美元,美元6}& # 39;|
排序* * *用ipchains阻断攻击来源
用ipchains阻断攻击来源,有两种方法,一种是加入到/etc/sysconfig/ipchains里,然后重启动
