CC攻擊是DDOS(分布式拒絕服務)的一種,相比其它的DDOS攻擊CC似乎更有技術含量一些。...">  CC攻擊是DDOS(分布式拒絕服務)的一種,相比其它的DDOS攻擊CC似乎更有技術含量一些。">
網豐首頁 關于我們 新聞中心 網站建設 推廣中心 增值服務 系統集成 案例展示 企業專區 快捷鏈接
   時間:2019年6月28日  星期五
南寧 | 桂林 | 柳州 | 百色
貴港 | 欽州 | 北海 | 防城
廣西南寧網豐商務有限公司
辦公地址: 南寧市仙葫大道中25號
聯系電話: 0771-5730940
咨詢手機: 13507870647(陸小姐)
18934726846(唐先生)
+ 詳細

域名在線查詢
.com .cn .net
.com.cn .net.cn .cc
.org .org.cn .tv

客戶反饋
有什么問題或想法可以
在這里暢想發表
  網豐首頁 => 新聞中心

Web服務器如何防CC攻擊?

類型:行業新聞
錄入時間:2012-2-16 15:51:01
閱讀次數:4174

 CC攻擊是DDOS(分布式拒絕服務)的一種,相比其它的DDOS攻擊CC似乎更有技術含量一些。這種攻擊你見不到虛假IP,見不到特別大的異常流量,但造成服務器無法進行正常連接,聽說一條ADSL足以搞掂一臺高性能的Web服務器。由此可見其危害性,稱其為“Web殺手”也毫不為過。最讓站長們憂慮的是這種攻擊技術含量低,利用工具和一些IP代理一個初、中級的電腦水平的用戶就能夠實施攻擊。因此,大家有必要了解CC攻擊的原理及如果發現CC攻擊和對其的防范措施。

  1、攻擊原理

  CC攻擊的原理就是攻擊者控制某些主機不停地發大量數據包給對方服務器造成服務器資源耗盡,一直到宕機崩潰。CC主要是用來攻擊頁面的,每個人都有這樣的體驗:當一個網頁訪問的人數特別多的時候,打開網頁就慢了,CC就是模擬多個用戶(多少線程就是多少用戶)不停地進行訪問那些需要大量數據操作(就是需要大量CPU時間)的頁面,造成服務器資源的浪費,CPU長時間處于100%,永遠都有處理不完的連接直至就網絡擁塞,正常的訪問被中止。

  2、攻擊癥狀

  CC攻擊有一定的隱蔽性,那如何確定服務器正在遭受或者曾經遭受CC攻擊呢?我們可以通過以下三個方法來確定。

  (1).命令行法

  一般遭受CC攻擊時,Web服務器會出現80端口對外關閉的現象, 因為這個端口已經被大量的垃圾數據堵塞了正常的連接被中止了。我們可以通過在命令行下輸入命令netstat -an來查看,如果看到類似如下有大量顯示雷同的連接記錄基本就可以被CC攻擊了:(圖1)


  ……
  TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4
  TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4
  TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4
  TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4
  TCP 192.168.1.3:80 192.168.1.6:2203 SYN_RECEIVED 4 ……
  

Web服務器如何防CC攻擊?

 

  其中“192.168.1.6”就是被用來代理攻擊的主機的IP,“SYN_RECEIVED”是TCP連接狀態標志,意思是“正在處于連接的初始同步狀態 ”,表明無法建立握手應答處于等待狀態。這就是攻擊的特征,一般情況下這樣的記錄一般都會有很多條,表示來自不同的代理IP的攻擊。

(2).批處理法

  上述方法需要手工輸入命令且如果Web服務器IP連接太多看起來比較費勁,我們可以建立一個批處理文件,通過該腳本代碼確定是否存在CC攻擊。打開記事本鍵入如下代碼保存為CC.bat:


@echo off
  time /t >>log.log
  netstat -n -p tcp |find ":80">>Log.log
  notepad log.log
  exit
  上面的腳本的含義是篩選出當前所有的到80端口的連接。當我們感覺服務器異常是就可以雙擊運行該批處理文件,然后在打開的log.log文件中查看所有的連接。如果同一個IP有比較多的到服務器的連接,那就基本可以確定該IP正在對服務器進行CC攻擊。(圖2)

Web服務器如何防CC攻擊?

  (3).查看系統日志

  上面的兩種方法有個弊端,只可以查看當前的CC攻擊,對于確定Web服務器之前是否遭受CC攻擊就無能為力了,此時我們可以通過Web日志來查,因為Web日志忠實地記錄了所有IP訪問Web資源的情況。通過查看日志我們可以Web服務器之前是否遭受CC攻擊,并確定攻擊者的IP然后采取進一步的措施。

  Web日志一般在C:WINDOWSsystem32LogFilesHTTPERR目錄下,該目錄下用類似httperr1.log的日志文件,這個文件就是記錄Web訪問錯誤的記錄。管理員可以依據日志時間屬性選擇相應的日志打開進行分析是否Web被CC攻擊了。(圖3)  

Web服務器如何防CC攻擊?
 默認情況下,Web日志記錄的項并不是很多,我們可以通過IIS進行設置,讓Web日志記錄更多的項以便進行安全分析。其操作步驟是:

  “開始→管理工具”打開“Internet信息服務器”,展開左側的項定位到到相應的Web站點,然后右鍵點擊選擇“屬性”打開站點屬性窗口,在“網站”選項卡下點擊“屬性”按鈕,在“日志記錄屬性”窗口的“高級”選項卡下可以勾選相應的“擴展屬性”,以便讓Web日志進行記錄。比如其中的“發送的字節數”、“接收的字節數”、“所用時間”這三項默認是沒有選中的,但在記錄判斷CC攻擊中是非常有用的,可以勾選。另外,如果你對安全的要求比較高,可以在“常規”選項卡下對“新日志計劃”進行設置,讓其“每小時”或者“每一天”進行記錄。為了便于日后進行分析時好確定時間可以勾選“文件命名和創建使用當地時間”。(圖4)  

Web服務器如何防CC攻擊?

  3、CC攻擊防御策略

  確定Web服務器正在或者曾經遭受CC攻擊,那如何進行有效的防范呢?筆者依據個人經驗,提供如下防御措施。

  (1).取消域名綁定

  一般cc攻擊都是針對網站的域名進行攻擊,比如我們的網站域名是“www.gslw.com”,那么攻擊者就在攻擊工具中設定攻擊對象為該域名然后實施攻擊。

  對于這樣的攻擊我們的措施是在IIS上取消這個域名的綁定,讓CC攻擊失去目標。具體操作步驟是:打開“IIS管理器”定位到具體站點右鍵“屬性”打開該站點的屬性面板,點擊IP地址右側的“高級”按鈕,選擇該域名項進行編輯,將“主機頭值”刪除或者改為其它的值(域名)。(圖5)  

Web服務器如何防CC攻擊?

  筆者實例模擬測試,取消域名綁定后Web服務器的CPU馬上恢復正常狀態,通過IP進行訪問連接一切正常。但是不足之處也很明顯,取消或者更改域名對于別人的訪問帶來了不變,另外,對于針對IP的CC攻擊它是無效的,就算更換域名攻擊者發現之后,他也會對新域名實施攻擊。 (2).域名欺騙解析

  如果發現針對域名的CC攻擊,我們可以把被攻擊的域名解析到127.0.0.1這個地址上。我們知道127.0.0.1是本地回環IP是用來進行網絡測試的,如果把被攻擊的域名解析到這個IP上,就可以實現攻擊者自己攻擊自己的目的,這樣他再多的肉雞或者代理也會宕機,讓其自作自受。

  另外,當我們的Web服務器遭受CC攻擊時把被攻擊的域名解析到國家有權威的政府網站或者是網警的網站,讓其網警來收拾他們。

  現在一般的Web站點都是利用類似“新網”這樣的服務商提供的動態域名解析服務,大家可以登錄進去之后進行設置。

  (3).更改Web端口

  一般情況下Web服務器通過80端口對外提供服務,因此攻擊者實施攻擊就以默認的80端口進行攻擊,所以,我們可以修改Web端口達到防CC攻擊的目的。運行IIS管理器,定位到相應站點,打開站點“屬性”面板,在“網站標識”下有個TCP端口默認為80,我們修改為其他的端口就可以了。(圖6)

Web服務器如何防CC攻擊?

  (4).IIS屏蔽IP

  我們通過命令或在查看日志發現了CC攻擊的源IP,就可以在IIS中設置屏蔽該IP對Web站點的訪問,從而達到防范IIS攻擊的目的。在相應站點的“屬性”面板中,點擊“目錄安全性”選項卡,點擊“IP地址和域名現在”下的“編輯”按鈕打開設置對話框。在此窗口中我們可以設置“授權訪問”也就是“白名單”,也可以設置“拒絕訪問”即“黑名單”。比如我們可以將攻擊者的IP添加到“拒絕訪問”列表中,就屏蔽了該IP對于Web的訪問。(圖7)

  

Web服務器如何防CC攻擊?
(5).IPSec封鎖

  IPSec是優秀的系統防火墻,在排除其他還有別的類型的DDOS攻擊時,針對CC攻擊可以用設置IP策略來對付攻擊。以219.128.*.43這個IP為例子,筆者實際操作對該IP的訪問封鎖。

  第一步:“開始→管理工具”,打開“本地安全設置”,右鍵點擊“IP安全策略,在本地機器”選擇“創建IP安全策略”,然后點擊“下一步”,輸入策略“名稱”和“描述”。然后默認一路“下一步”創建了一個名為“封CC攻擊”的IPSec策略。(圖8)  

Web服務器如何防CC攻擊?

  第二步:右鍵點擊“IP安全策略,在本地機器”選擇“管理IP篩選器表和篩選器操作”,在打開的窗口中點“添加”,在“IP 篩選器列表”窗口添人同第一步的名稱和描述信息。取消“使用添加向導”的勾選,然后點擊“添加”。在“IP 篩選器 屬性”窗口的“地址”選項下設置“源地址”為“192.168.1.6”,目標地址為“我的IP地址”,取消對“鏡像”的勾選;點擊“協議”選項卡,設置“協議類型”為“TCP”,設置“協議端口”為“從任意端口”到“此端口80”最后確定退出。(圖9)  

Web服務器加載中...

仙葫公司注冊 陳氏骨松膏 仙葫代理記賬 數據中心 網豐企業郵箱
南寧青少年足球培訓 | 陳氏骨松膏 | 仙葫公司注冊 | 網豐郵箱 | 廣西網絡公司 |
關于網豐|人才招聘|友情鏈接|聯系我們|付款方式|加為收藏|設為首頁|網站地圖
企業網站備案號 桂ICP備11004007號
版權所有<網豐商務> 嚴禁復制 咨詢熱線:0771-5730940 在線QQ客服: 36693823  48282616
企業郵箱:[email protected] 技術熱線:0771-5730940 地址:南寧市仙葫大道中25號
千亿娱乐城送