我怀疑是攻击者对 TCP 80 端口发送大量 TCP 坏包造成的。如果屏蔽此端口，还是会有300k上行，但那回应的300k下行就没有了。 <- 中国开发网

账号

中国开发网: 论坛: 程序员情感CBD: 贴子 177321

没脾气2x · 2005-08-12 09:14:59 · 阅读: 562

我怀疑是攻击者对 TCP 80 端口发送大量 TCP 坏包造成的。如果屏蔽此端口，还是会有300k上行，但那回应的300k下行就没有了。

<空>

相关信息:

我这有一个IP正在受到 DDOS 攻击 (空) (没脾气2x [491] 2005-08-12 16:52)
- 已经一天多了。现像是大量占用带宽缺一个有效连接都没有 (空) (没脾气2x [363] 2005-08-12 16:53)
  - 是针对 TCP80 端口的攻击（因为一屏蔽这个IP的这个端口，就可恢复），但是80端口上面一个有效链接都没有。 (空) (没脾气2x [690] 2005-08-12 16:54)
    - SynFlood (空) (玉楼 [382] 2005-08-12 17:02)
      - 不是 SynFlood，SynFlood 是有效链接的第一步，用 netstat 看不到几个 syn_recieve (空) (没脾气2x [397] 2005-08-12 17:04)
        垃圾包？ (空) (玉楼 [361] 2005-08-12 17:06)
        我怀疑是大量坏包造成的。但现在还没有装上监控软件。 (空) (没脾气2x [346] 2005-08-12 17:07)
        如果想解决这个问题，我希望我们现在闲置的那台 NetScreen 防火墙能解决这个问题． (空) (没脾气2x [371] 2005-08-12 17:08)
        连 SYN 都没有那称得上什么 TCP 啊 (空) (holly [347] 2005-08-12 17:07)
        但是功击就是在 TCP 80 端口上的。SYN 被我认为是有效连接的第一步。现像如此，不必争辩 (空) (没脾气2x [427] 2005-08-12 17:09)
        不是争辩什么. SYN 是三次握手的第一步没错. 如果要针对 TCP port 进行攻击, 至少要有 SYN, 否则没到 TCP 层就被 drop 了, 效果跟 filter 80…… (空) (holly [592] 2005-08-12 17:12)
        我怀疑是攻击者对 TCP 80 端口发送大量 TCP 坏包造成的。如果屏蔽此端口，还是会有300k上行，但那回应的300k下行就没有了。 (空) (没脾气2x [561] 2005-08-12 17:14)
        坏包哪来回应啊? 除了 icmp 之外, 可以关了 icmp 试试 (空) (holly [390] 2005-08-12 17:18)
        我已肯定是面向 TCP 80 端口的。因为屏蔽它就一切正常了。 (空) (没脾气2x [359] 2005-08-12 17:20)
      - 我们以前受到过 SynFlood ( TCP 1 次握手 Flood ) 和 TcpFlood ( TCP 3 次握手 Flood )，这次又来新的了。 (空) (没脾气2x [418] 2005-08-12 17:05)
        SynFlood 和 TcpFlood 都是不占流量的。这回这个是占流量的。 (空) (没脾气2x [390] 2005-08-12 17:06)
        你的流量怎么定义啊? (空) (holly [405] 2005-08-12 17:08)
        10M 带宽这台机器自己占了 7M 以上（在 netstat -an 看不到任何连接或syn_recieve的情况下） (空) (没脾气2x [482] 2005-08-12 17:10)
- 你用sniffer捕包看看不就知道了，有可能是rdos (空) (oxygen [434] 2005-08-12 19:32)

欢迎光临本社区，您还没有登录，不能发贴子。请在这里登录

页面内容处理时间: 0.017 - 501344