dos攻击的防范
DoS攻击几乎是从互联网络的诞生以来，就伴随着互联网络的发展而一直存在也不断发展和升级。值得一提的是，要找DoS的工具一点不难，黑客群居的网络社区都有共享黑客软件的传统，并会在一起交流攻击的心得经验，你可以很轻松的从Internet上获得这些工具，像以上提到的这些DoS攻击软件都是可以从网上随意找到的公开软件。所以任何一个上网者都可能构成网络安全的潜在威胁。DoS攻击给飞速发展的互联网络安全带来重大的威胁。
要避免系统免受DoS攻击，从前两点来看，网络管理员要积极谨慎地维护系统，确保无安全隐患和漏洞；而针对第三点的恶意攻击方式则需要安装防火墙等安全设备过滤DoS攻击，同时强烈建议网络管理员应当定期查看安全设备的日志，及时发现对系统的安全威胁行为。
Internet支持工具就是其中的主要解决方案之一，包括SuperStack3Firewall、WebCache以及ServerLoadBalancer。不但作为安全网关设备的3ComSuperStack3防火墙在缺省预配置下可探测和防止“拒绝服务”（DoS）以及“分布式拒绝服务”（DDoS）等黑客侵袭，强有力的保护您的网络，使您免遭未经授权访问和其他来自Internet的外部威胁和侵袭；而且3ComSuperStack3ServerLoadBalancer在为多服务器提供硬件线速的4-7层负载均衡的同时，还能保护所有服务器免受“拒绝服务”（DoS）攻击；同样3ComSuperStack3WebCache在为企业提供高效的本地缓存的同时，也能保证自身免受“拒绝服务”（DoS）攻击。
常见攻击与防范 原理：攻击时，攻击者巧妙的利用了反弹服务器群来将洪水数据包反弹给目标主机 反弹服务是指某些服务器在收到一个请求数据报后就会产生一个回应数据报。所有的 Web 服务器、DNS 服务器及路 由器都是反弹服务器，他们会对 SYN 报文或其他 TCP 报文回应 SYNACKs 或 RST 报文， 以及对一些 IP 报文回应 ICMP 数据报超时或目的地不可达消息的数据 报。任何用于普通目的 TCP 连 接许可的网络服务器都可以用做数据包反射服务器
配置路由器、防火墙和入侵检测系统来抵御常见DDoS攻击
Smurf
·确定你是否成为了攻击平台：对不是来自于你的内部网络的信息包进行监控；监控大容量的回音请求和回音应答信息包。
·避免被当做一个攻击平台：在所有路由器上禁止IP广播功能；将不是来自于内部网络的信息包过滤掉。
·减轻攻击的危害：在边界路由器对回音应答信息包进行过滤，并丢弃；对于Cisco路由器，使用CAR来规定回音应答信息包可以使用的带宽最大值。
trinoo
·确定你是否成为攻击平台：在master程序和代理程序之间的通讯都是使用UDP协议，因此对使用UDP协议（类别17）进行过滤；攻击者用TCP端口27655与master程序连接，因此对使用TCP（类别6）端口27655连接的流进行过滤；master与代理之间的通讯必须要包含字符串“l44”，并被引导到代理的UDP端口27444，因此对与UDP端口27444连接且包含字符串l44的数据流进行过滤。
·避免被用作攻击平台：将不是来自于你的内部网络的信息包过滤掉。
·减轻攻击的危害：从理论上说，可以对有相同源IP地址的、相同目的IP地址的、相同源端口的、不通目的端口的UDP信息包序列进行过滤，并丢弃它们。
TFN
·确定你是否成为攻击平台：对不是来自于内部网络的信息包进行监控。
·避免被用作攻击平台：不允许一切到你的网络上的ICMP回音和回音应答信息包，当然这会影响所有要使用这些功能的Internet程序；将不是来源于内部网络的信息包过滤掉。
Stacheldraht
·确定你是否成为攻击平台：对ID域中包含值666、数据域中包含字符串“skillz”或ID域中包含值667、数据域中包含字符串“ficken”的ICMP回音应答信息包进行过滤；对源地址为“3.3.3.3”的ICMP信息包和ICMP信息包数据域中包含字符串“spoofworks”的数据流进行过滤。
·手工防护
一般而言手工方式防护DDOS主要通过两种形式：
系统优化――主要通过优化被攻击系统的核心参数，提高系统本身对DDoS攻击的响应能力。但是这种做法只能针对小规模的DDOS进行防护。
网络追查――遭受DDoS攻击的系统的管理人员一般第一反应是询问上一级网络运营商，这有可能是ISP、IDC等，目的就是为了弄清楚攻击源头。 防火墙几乎是最常用的安全产品，但是防火墙设计原理中并没有考虑针对DDOS攻击的防护，在某些情况下，防火墙甚至成为DDOS攻击的目标而导致整个网络的拒绝服务。
首先是防火墙缺乏DDOS攻击检测的能力。通常，防火墙作为三层包转发设备部署在网络中，一方面在保护内部网络的同时，它也为内部需要提供外部Internet服务的设备提供了通路，如果DDOS攻击采用了这些服务器允许的合法协议对内部系统进行攻击，防火墙对此就无能为力，无法精确的从背景流量中区分出攻击流量。虽然有些防火墙内置了某些模块能够对攻击进行检测，但是这些检测机制一般都是基于特征规则，DDOS攻击者只要对攻击数据包稍加变化，防火墙就无法应对，对DDOS攻击的检测必须依赖于行为模式的算法。
第二个原因就是传统防火墙计算能力的限制，传统的防火墙是以高强度的检查为代价，检查的强度越高，计算的代价越大。而DDOS攻击中的海量流量会造成防火墙性能急剧下降，不能有效地完成包转发的任务。最好防火墙的部署位置也影响了其防护DDOS攻击的能力。传统防火墙一般都是部署在网络入口位置，虽然某种意义上保护了网络内部的所有资源，但是其往往也成为DDOS攻击的目标，攻击者一旦发起DDOS攻击，往往造成网络性能的整体下降，导致用户正常请求被拒绝。
美国服务器怎么防止PHPDOS攻击 LUC Networks
PHP DDOS遭受攻击特点：打开IIS，服务器带宽使用流量马上上升，与被DDOS攻击相反，DDOS攻击是不断接收到大量的数据，Php ddos则是对外发送大量的数据包，造成服务器网络堵塞，此时服务器可能会掉包严重或者表现为经常性的断线。
解决方法：
一、停止IIS服务-----关闭IIS服务后，流量马上会下降，但是在开启后流量会再上升。
二、设置php.ini
1在C:\Windows\php.ini里查找到disable_functions，添加需要禁用的函数，如下：
disable_functions =gzinflate,passthru,exec,system,chroot,scandir,chgrp,chown,shell_exec,proc_open,
proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,
popepassthru,stream_socket_server,fsocket,fsockopen
2在c:\windows\php.ini里设其值为Off
allow_url_fopen=Off
3检查extension=php_sockets.dll,并在前面加分号; 禁用. （;extension=php_sockets.dll）
三、重启IIS，解决。
REM 添加安全策略，名称
netsh ipsec static add policy name=banudp
REM 添加 IP筛选器列表
netsh ipsec static add filterlist name=允许列表
netsh ipsec static add filterlist name=拒绝列表
REM 添加筛选器到IP筛选器列表(允许上网)
netsh ipsec static add filter filterlist=允许列表 srcaddr=me dstaddr=any description=dns访问 protocol=udp mirrored=yes dstport=53
REM 添加筛选器到IP筛选器列表(不让别人访问)
netsh ipsec static add filter filterlist=拒绝列表 srcaddr=any dstaddr=me description=别人到我任何访问 protocol=udp mirrored=yes
REM 添加筛选器操作
netsh ipsec static add filteraction name=可以 action=permit
netsh ipsec static add filteraction name=不可以 action=block
REM 创建一个链接指定 IPSec 策略、筛选器列表和筛选器操作的规则(加入规则到我的安全策略)
netsh ipsec static add rule name=允许规则 policy= banudp filterlist=允许列表 filteraction=可以
netsh ipsec static add rule name=拒绝规则 policy= banudp filterlist=拒绝列表 filteraction=不可以
REM 激活我的安全策略
netsh ipsec static set policy name= banudp assign=y
怎么理解DOS和DDOS攻击 又该如何防范？
我们常说的一般是指DOS(Denial of Service)攻击，即拒绝服务，其主要危害是使计算机或网络无法提供正常的服务。
对于DDOS(Distributed Denial of Service)攻击来说，即“分布式拒绝服务”，它是属于DoS攻击的一种。DDOS攻击主要是将多个计算机联合起来，并对一个或多个目标计算机/服务器发动攻击，从而攻击的威力会成倍增加。
虽然都是拒绝服务攻击，但DOS和DDOS攻击还是有一定区别的。DOS攻击侧重于通过对服务器特定的漏洞，利用DOS攻击导致网络连接失败、系统崩溃、电脑死机等情况的发生。而DDOS攻击则通过很多“僵尸主机”向目标主机发送大量“看似”合法的流量包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务。
平常我们在租用服务器时，一般机房遭到攻击大多属于DOS攻击，这个会使整个服务器崩溃、宕机。当然，如果是我们个人主机遭到攻击(主要是DDOS攻击)的话，那么，会消耗大量的服务器资源，例如流量和带宽，这种情况机房那边也会封停你的账户的。
随着DOS和DDOS攻击事件的频发，防范工作就显得迫在眉睫了。尤其是对于咱们租用服务器的站长来说，防范DOS和DDOS攻击不能仅仅依靠主机商或者数据机房，更应该加强自身的网络安全防范意识。
当然，对付DOS和DDOS攻击是一个系统性工程，做好安全防范肯定是可以。不过，要想完全杜绝的话，有点不大现实。目前，很多主机商为解决这一问题，都提供高防服务器产品，也就是增强抵御DOS和DDOS攻击的能力，其效果也很显著。
现在每天都有很多网站遭受到DDOS攻击，相关的数据丢失、连带责任纠纷、商业损失等等问题也层出不穷。为此，作为站长来说，咱们在租用海外服务器时，应该注重以下几点，以便做好DOS和DDOS攻击的安全防范工作。
带宽资源要充足。带宽直接决定了抗DDOS攻击的能力，以目前主流的5M、100带宽的服务器来说，无论采取那种措施都很难应对。当下，至少要选择100M带宽的，越多越好。例如，RAKsmart美国高防服务器基本都是100M带宽、10T流量，基本能到底10G DDoS防护能力。
服务器的硬件配置。在带宽以及流量有充分保障的前提下，服务器的硬件配置必须的跟上。当然，主要的因素还是CPU和内存，大家在选择时千万别贪图便宜。其实，现在能够高防御DDOS攻击的服务器价格也不贵，为了网站的数据安全着想，大家也别吝啬这一点费用。
规范自身操作设置。对于DOS和DDOS攻击的防范，主要的防御能力还是取决于服务器以及机房本身。但是，对于咱们用户来说，也需要做到安全操作才行。例如，不要上传陌生、特殊后缀名的文件到服务器上、不要点击来历不明的链接、不安装来路不明的软件，从而杜绝因自身操作问题而导致服务器被攻击。同时，最好是定期对网站的文件进行安全扫描，这样对新出现的漏洞、病毒文件也能及时的发现并清理。
11
机房防火墙的配置。一般来说，在骨干节点配置防火墙的话，能有效抵御DOS和DDOS攻击。因为防火墙在发现受到攻击时，可以将攻击导向一些“无用”的服务器，这样可以保护运行中的服务器不被攻击。因此，机房的防火墙配置也很重要，大家在租用服务器时，建议选择防火墙性能配置比较高、比较完善的数据机房，这样对网站数据安全也多带来一层安全防护。
12
随着互联网的不断发展，网络安全问题也日益凸出，DOS和DDOS攻击也越来越多。同时，出于商业竞争、网络勒索等多种原因，导致很多IDC机房、电商网站、游戏服务器等网络服务业长期受到网络攻击的困扰。因此，解决DOS和DDOS等网络攻击已成为IDC行业必须要考虑并解决的头等大事。
看路由器是如何阻挡DOS攻击的
路由器阻挡DOS攻击的绝招： 使用扩展访问列表 扩展访问列表是防止DoS攻击的有效工具。它既可以用来探测DoS攻击的类型，也可以阻止DoS攻击。Show IP access-list命令能够显示每个扩展访问列表的匹配数据包，根据数据包的类型，用户就可以确定DoS攻击的种类。
路由器阻挡DOS攻击的绝招：
使用扩展访问列表
扩展访问列表是防止DoS攻击的有效工具。它既可以用来探测DoS攻击的类型，也可以阻止DoS攻击。Show IP access-list命令能够显示每个扩展访问列表的匹配数据包，根据数据包的类型，用户就可以确定DoS攻击的种类。如果网络中出现了大量建立TCP连接的请求，这表明网络受到了SYN Flood攻击，这时用户就可以改变访问列表的配置，阻止DoS攻击。
0条大神的评论