CentOS 7 使用 Firewalld 预防 DDOS
DDOS 是十分常见的攻击，即使是一般使用者，下载一套 DDOS 软件，或者直接安装 kali linux, 便可以很简单发动 DDOS 攻击，除了遇到 DDOS 攻击才采取拦截外，也可以透过一些 Linux 设定来预防 DDOS 攻击，以下会列出一些预防 DDOS 的设定及 Firewalld 规则。 Firewalld 限制每个 IP 连线数量 以下会设定 Firewalld 限制每个 IP 在 60 …
Tag: DDOS
解决 Linux 大量 TIME_WAIT TCP 连线
HTTP 服务器在高负载时反应会变慢, 但检视系统的使用资源, 例如 CPU, 内存及 Load Average 则很正常, 当重新启动 HTTP 服务器后, 问题又暂时得以解决。用以下 netstat 检查连线的统计资料: # netstat -nat | awk ‘{print $6}’ | sort | uniq -c | sort …
netstat 指令 – 检查网络状况工具
netstat 指令可以用作检视网络连线、网卡统计、路由设定及其他关于网络的资讯，对于进行网络上的除错十分有用。除了 Linux 外，在其他主流作业系统也可以找到 netstat, 包括 Mac OSX, Solaris, BSD 及 Windows。 netstat 使用例子： 列出所有连接埠： $ netstat -a 列出所有 TCP 连接埠： $ netstat -at 列出所有 UDP 连接埠： $ netstat …
RHEL / CentOS 安装 DenyHosts
DenyHosts 是一个防止暴力攻击 SSH Server 的工具, 它会监察及分析 SSH 的 log file, 当有数次错误登入后, 就会将尝试登入的 IP 地址加入到 /etc/hosts 作出封锁。 Fail2Ban 的防护较全面, 可以透过正规表达式正义不同的 log files, 但设定较复杂, 而 DenyHosts 只会针对 SSH Server 作防护, 而且设定较简单。以下是在 …
RHEL / CentOS 安装 mod_security
mod_security 是 Apache 的保安模组，可以预防多种针对网页的攻击，例如执行远端程式码, SQL Injection，路径扫瞄等。以下是在 RHEL 及 CentOS 安装 mod_security 的方法： 1. 安装 mod_security 所需套件： ＃ yum install gcc make httpd-devel libxml2 pcre-devel libxml2-devel curl-devel git 2. 下载 …
[Perl Script] 统计记录档 IP
如果发现服务器有大量存取记录, 要检查是否 DDOS 攻击, 可以开启记录档检查, 但资料量大的话, 要人手检查也很困难, 所以我写了这个简单的 Perl Script, 用作检查记录档内出现次数最多的 IP, 锁定出现频率最高的 IP 作检查会容易得多。 编写时想到有多种记录档也有此需要, 只要记录档是一行一个记录, 而每行只有一个 IP 出现便可以用, 已经试过 apache access log 及 error log, /var/log/secure, /var/log/vsftpd.log …
Apache 2.4 安装 mod_evasive
在 Apache 2.4 编译 mod_evasive 时遇到以下错误： mod_evasive20.c: In function ‘access_checker’: mod_evasive20.c:142: error: ‘conn_rec’ has no member named ‘remote_ip’ mod_evasive20.c:146: error: ‘conn_rec’ has no member named ‘remote_ip’ mod_evasive20.c:158: error: ‘conn_rec’ …
Apache 防止 DDoS 攻击
DDoS (distributed denial-of-service) 及 DoS (denial-of-service) 在网络上十分常见，而 DoS 攻击所传送的请求跟正常的请求一样，分别在于每秒钟发出大量请求到服务器，使服务器的负载增加，最常见的情况是服务器暂停服务。 而 mod_evasive 则是一个预防 Apache 遭受 DDos 攻击的模组，可以防止同一个 IP 对相同 URI 发出的大量请求，可设定的选项有： – 限制同一个 IP 在一定秒数内请求一个页面或档案的次数。 – 限制同一个 IP 一秒内只可发出 50 …