主页 / server / 问题

问题[syn](server)

Martin Hope
Kalib Zen
Asked: 2020-05-20 12:38:49 +0800 CST
  • 3

当我的服务器速度很慢时，我被告知运行此命令并检查是否有人发出 SYN_RECV 请求以减慢我的服务器速度：

netstat -npt  | grep SYN_RECV | awk '{print $5}' | grep -Eo '([0-9]{1,3}\.){3}[0-9]{1,3}' | cut -d: -f1 | sort | uniq -c | sort -nr | head | tee -a $REPORT_FILE

输出示例：

Single attack IP - DOS:
  262 187.7.214.146
  1   95.90.250.96
  1   83.215.15.150
  1   203.160.112.239
  1   124.197.39.213

Multiple attack IPs - DDOS:  
  316 187.7.214.146
  94  187.7.214.96
  44  187.7.214.150
  90  203.160.112.239
  22  203.160.112.222

我在某处读到，如果一个IP的SYN_RECV请求数超过4个，则考虑进行SYN洪水攻击（DOS）。我有几个问题：

1) 当使用这个 netstat 命令时，我们可以声明一个 IP(DOS) 或 IPs (DDOS) 进行攻击的确切数字是多少？如果 IP 是 SYN_RECV 状态的连接，这是否意味着他正在进行 SYN 洪水攻击？可以是假旗吗？

2) SYN_RECV 是 DDOS 攻击者使用的唯一监听状态吗？那么 ESTABLISHED 状态呢？我很困惑，因为其他文章说如果某些外国IP以ESTABLISHED状态连接，那么我的服务器正在受到攻击。什么样的攻击

3) 我问这个问题是因为我想制作一个简单的 bash 脚本，它可以手动报告 IP 是否是攻击者，并且我被告知使用 SYN_RECV 状态来评估攻击者。这是我们唯一可以使用的状态吗？可以认为是安全的 SYN_RECV 值的最小值是多少（不是 DOS 攻击者）？

希望我的问题很清楚。请问我是否有不清楚的地方。

谢谢你，我希望有人能回答这个噩梦。

centos ddos netstat syn
Martin Hope
Nuno
Asked: 2016-06-30 13:14:33 +0800 CST
  • -1

我想编写一个脚本，在我遇到 SYN 泛滥时获取我需要的所有统计信息（顶级 IP、使用的内存、netstat 等），并写入报告文件。

那么，当内核警告“端口 XXX 上可能出现 SYN 泛滥”时，是否可以触发脚本/命令？

6 月 27 日 22:12:21 xxxx 内核：[xxxx.xxxx] 端口 443 上可能发生 SYN 泛洪。发送 cookie。6 月 27 日 22:13:22 xxxx 内核：[xxxx.xxxx] 端口 443 上可能出现 SYN 泛洪。发送 cookie。6 月 27 日 22:14:25 xxxx 内核：[xxxx.xxxx] 端口 443 上可能发生 SYN 泛洪。发送 cookie。

linux tcp ddos scalability syn
Martin Hope
Nuno
Asked: 2016-06-29 14:20:03 +0800 CST
  • 2

我的网站一直有几个在线用户。服务器使用 Apache/PHP、数据库和 Memcached。在正常使用时，该应用程序运行良好且快速。

但是，服务器有时会出现“SYN 泛洪”攻击。我真的相信/怀疑这些是故意的，而不是由我们的合法用户造成的。（当有些人注册新帐户并试图制造麻烦时，它们似乎会发生）

6 月 27 日 22:12:21 xxxx 内核：[xxxx.xxxx] 端口 443 上可能发生 SYN 泛洪。发送 cookie。6 月 27 日 22:13:22 xxxx 内核：[xxxx.xxxx] 端口 443 上可能出现 SYN 泛洪。发送 cookie。6 月 27 日 22:14:25 xxxx 内核：[xxxx.xxxx] 端口 443 上可能发生 SYN 泛洪。发送 cookie。

不幸的是，当这种情况发生时，我的整个流量都会受到影响：

[2016 年 6 月 27 日星期一 22:15:28.842067] [mpm_event:error] [pid 12022:tid 132875292207712] AH00485：记分牌已满，不在 MaxRequestWorkers

在此处输入图像描述

我的 MaxRequestWorkers 是 600。过去我已经增加了几次。
最近我也增加到net.ipv4.tcp_max_syn_backlog了ListenBackLog5000。
我的服务器有 16GB RAM 和 1Gbps 带宽。

我很不高兴似乎有人可以轻松控制我的网站是否存在。
可以做些什么来阻止这种情况？

另外，netstat现在似乎给了我连接到服务器的 IP。
是否有可能在过去的特定时间获得顶级 IP？

tcp ddos scalability apache-2.4 syn
Martin Hope
Sridhar Chidurala
Asked: 2016-05-10 05:36:43 +0800 CST
  • 0

我们有一个监听端口 X 的服务器。该服务器有大量客户端，有时进程挂起，我在日志中看到 SYN 泛滥消息。我一直在尝试调整相关的 tcp 配置参数。

我想要一种使用 tcpdump 或其他命令来计算到该特定端口的传入连接数的方法。

tcpdump tcp syn