CNDEV
...
...
账号
登
登录
先
先随便看看
中国开发网
: 论坛:
程序员情感CBD
: 贴子 177327
holly
·
2005-08-12 09:18:55
·
阅读: 391
坏包哪来回应啊? 除了 icmp 之外, 可以关了 icmp 试试
<空>
相关信息:
我这有一个IP正在受到 DDOS 攻击
(空) (
没脾气2x
[491]
2005-08-12 16:52
)
已经一天多了。现像是大量占用带宽缺一个有效连接都没有
(空) (
没脾气2x
[363]
2005-08-12 16:53
)
是针对 TCP80 端口的攻击（因为一屏蔽这个IP的这个端口，就可恢复），但是80端口上面一个有效链接都没有。
(空) (
没脾气2x
[691]
2005-08-12 16:54
)
SynFlood
(空) (
玉楼
[382]
2005-08-12 17:02
)
不是 SynFlood，SynFlood 是有效链接的第一步，用 netstat 看不到几个 syn_recieve
(空) (
没脾气2x
[397]
2005-08-12 17:04
)
垃圾包？
(空) (
玉楼
[361]
2005-08-12 17:06
)
我怀疑是大量坏包造成的。但现在还没有装上监控软件。
(空) (
没脾气2x
[346]
2005-08-12 17:07
)
如果想解决这个问题，我希望我们现在闲置的那台 NetScreen 防火墙能解决这个问题．
(空) (
没脾气2x
[372]
2005-08-12 17:08
)
连 SYN 都没有那称得上什么 TCP 啊
(空) (
holly
[347]
2005-08-12 17:07
)
但是功击就是在 TCP 80 端口上的。SYN 被我认为是有效连接的第一步。现像如此，不必争辩
(空) (
没脾气2x
[427]
2005-08-12 17:09
)
不是争辩什么. SYN 是三次握手的第一步没错. 如果要针对 TCP port 进行攻击, 至少要有 SYN, 否则没到 TCP 层就被 drop 了, 效果跟 filter 80……
(空) (
holly
[592]
2005-08-12 17:12
)
我怀疑是攻击者对 TCP 80 端口发送大量 TCP 坏包造成的。如果屏蔽此端口，还是会有300k上行，但那回应的300k下行就没有了。
(空) (
没脾气2x
[562]
2005-08-12 17:14
)
坏包哪来回应啊? 除了 icmp 之外, 可以关了 icmp 试试
(空) (
holly
[390]
2005-08-12 17:18
)
我已肯定是面向 TCP 80 端口的。因为屏蔽它就一切正常了。
(空) (
没脾气2x
[359]
2005-08-12 17:20
)
我们以前受到过 SynFlood ( TCP 1 次握手 Flood ) 和 TcpFlood ( TCP 3 次握手 Flood )，这次又来新的了。
(空) (
没脾气2x
[418]
2005-08-12 17:05
)
SynFlood 和 TcpFlood 都是不占流量的。这回这个是占流量的。
(空) (
没脾气2x
[390]
2005-08-12 17:06
)
你的流量怎么定义啊?
(空) (
holly
[405]
2005-08-12 17:08
)
10M 带宽这台机器自己占了 7M 以上（在 netstat -an 看不到任何连接或syn_recieve的情况下）
(空) (
没脾气2x
[483]
2005-08-12 17:10
)
你用sniffer捕包看看不就知道了，有可能是rdos
(空) (
oxygen
[434]
2005-08-12 19:32
)
欢迎光临本社区，您还没有登录，不能发贴子。请在
这里登录
| -ICP -IDC -ISP |