چگونه بفهمیم که به سرور لینوکسی مان حمله DDOS شده است ؟

[Habili]

با یوزر root به سرورتان login کنید و دستور زیر را در آن اجرا کنید که با آن میتوانید متوجه شوید، آیا به سرورتان حمله DDOS صورت گرفته است یا خیر.

# netstat -anp |grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n 

این دستور به شما لیستی از ip هایی که تعداد زیادی connection به سمت سرور شما زده اند را نمایش میدهد.

از آنجایی که هکرها کانکشن های کمتری با تعداد بیشتر ip های که از آنها حمله میکنند را استفاده میکنند ddos بیشتر پیچیده شده است. در چنین مواردی شما باید تعداد کمتری از کانکشن ها را دریافت کنید حتی زمانیکه سرورتان تحت یک حمله ddos قرار گرفته است. یک نکته مهم که باید چک کنید در حقیقت تعداد کانکشن های اکتیوی است که سرورتان در حال حاضر دارد. به طور مثال دستور زیر :

# netstat -n | grep :80 | wc -l 

دستور بالا ارتباطات active که به سرور شما باز شدند را نمایش خواهد داد.

شما همچنین دستور زیر را استفاده کنید.

# netstat -n | grep :80 | grep SYN | wc -l 

نتیجه ارتباطات اکتیو دستور اول با دستور دوم متفاوت خواهد بود. اما اگر ارتباطات بیشتر از 500 تا نمایش دهد در نتیجه شما قطعا با مشکل روبه رو خواهید شد. اگر نتیجه بعد از اینکه دستور دوم را زدید 100 کانکشن یا بالاتر باشد در نتیجه شما با هک sync روبه رو خواهید بود.


همچنین توصیه میشود مطالعه فرمایید.

معرفی انواع حملات DOS و DDOS به همراه متدهای مورد استفاده و راه های مقابله با آن

محافظت از در مقابل حملات DDOS و Brute Force با استفاده از ماژول های Mod_Security و Mod_Evasive

آموزش حملات DOS در کالی لینوکس


به محض اینکه شما یک ip حمله کننده به سرورتان را دریافت کردید میتوانید به سادگی آنرا block کنید. دستور زیر را برای block کردن آن ip یا هر ip خاص دیگری استفاده کنید.

# route add ipaddress reject 

به محض اینکه شما یک ip خاص را روی سرورتان block کردید میتوانید با استفاده از دستور زیر بررسی کنید که آیا ip به درستی block شده باشد.

# route -n | grep ipaddress 

شما همچنین میتوانید یک ip را با استفاده از iptables روی سرور و با استفاده از دستور زیر block کنید.

# iptables -A INPUT 1 -s IPADRESS -j DROP/REJECT

# service iptables restart

# service iptables save 

بعد از اینکه دستور بالا را اجرا کردید تمامی ارتباطات httpd را kill کنید و سپس سرویس httpd را با استفاده از دستور زیر restart کنید.

# killall -KILL httpd

# service httpd startssl 

همچنین توصیه میشود مطالعه کنید.

راهنمای دستورات Kill, PKill و Killall برای بستن یک پروسس در لینوکس


موفق باشید.