网站服务器80，443端口一直被DDOS恶意攻击怎么办？怎么查找DDOS攻击源头

大家好，今天小蚁君给大家讲讲服务器端口经常被ddos攻击怎么办？相信各位未来或者已经是大站长的老哥们都知道，服务器被攻击一直是大家头疼的问题，80端口更是经常一直被攻击，造成80端口堵塞，那么怎样才能防住各种DDOS,CC攻击呢？

DDoS攻击简介

分布式拒绝服务攻击（DDoS攻击）是一种针对目标系统的恶意网络攻击行为，DDoS攻击经常会导致被攻击者的业务无法正常访问，也就是所谓的拒绝服务。

常见的DDoS攻击包括以下几类：

网络层攻击：比较典型的攻击类型是UDP反射攻击，例如：NTP Flood攻击，这类攻击主要利用大流量拥塞被攻击者的网络带宽，导致被攻击者的业务无法正常响应客户访问。

传输层攻击：比较典型的攻击类型包括SYN Flood攻击、连接数攻击等，这类攻击通过占用服务器的连接池资源从而达到拒绝服务的目的。

会话层攻击：比较典型的攻击类型是SSL连接攻击，这类攻击占用服务器的SSL会话资源从而达到拒绝服务的目的。

应用层攻击：比较典型的攻击类型包括DNS flood攻击、HTTP flood攻击、游戏假人攻击等，这类攻击占用服务器的应用处理资源极大的消耗服务器处理性能从而达到拒绝服务的目的。

DDoS攻击缓解最佳建议

建议阿里云用户从以下几个方面着手缓解DDoS攻击的威胁：

缩小暴露面，隔离资源和不相关的业务，降低被攻击的风险。

优化业务架构，利用公共云的特性设计弹性伸缩和灾备切换的系统。

服务器安全加固，提升服务器自身的连接数等性能。

做好业务监控和应急响应。
DDOS攻击应对策略

这里我们分享一些在一定程度范围内，能够应对缓解DDOS攻击的策略方法，以供大家借鉴。

1.定期检查服务器漏洞

定期检查服务器软件安全漏洞，是确保服务器安全的最基本措施。无论是操作系统（Windows或linux），还是网站常用应用软件（mysql、Apache、nginx、FTP等），服务器运维人员要特别关注这些软件的最新漏洞动态，出现高危漏洞要及时打补丁修补。

2.隐藏服务器真实IP

通过CDN节点中转加速服务，可以有效的隐藏网站服务器的真实IP地址。CDN服务根据网站具体情况进行选择，对于普通的中小企业站点或个人站点可以先使用免费的CDN服务，比如百度云加速、七牛CDN等，待网站流量提升了，需求高了之后，再考虑付费的CDN服务，也可以考虑小蚁云安全团队的立体式防御，隐藏源ip,多个防御节点实现自动防御。

其次，防止服务器对外传送信息泄漏IP地址，最常见的情况是，服务器不要使用发送邮件功能，因为邮件头会泄漏服务器的IP地址。如果非要发送邮件，可以通过第三方代理（例如sendcloud）发送，这样对外显示的IP是代理的IP地址。

3.关闭不必要的服务或端口

这也是服务器运维人员最常用的做法。在服务器防火墙中，只开启使用的端口，比如网站web服务的80端口、数据库的3306端口、SSH服务的22端口等。关闭不必要的服务或端口，在路由器上过滤假IP。

4.购买高防提高承受能力

该措施是通过购买高防的盾机，提高服务器的带宽等资源，来提升自身的承受攻击能力。一些知名IDC服务商都有相应的服务提供，比如阿里云、腾讯云等。但该方案成本预算较高，对于普通中小企业甚至个人站长并不合适，这里推荐小蚁云安全团队的高防IP产品，价格是这些大厂的十分之一，效果也非常不错，这里不过多阐述。

5.限制SYN/ICMP流量

用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽，这样，当出现大量的超过所限定的SYN/ICMP流量时，说明不是正常的网络访问，而是有黑客入侵。早期通过限制SYN/ICMP流量是最好的防范DOS的方法，虽然目前该方法对于DdoS效果不太明显了，不过仍然能够起到一定的作用。

6.网站请求IP过滤

除了服务器之外，网站程序本身安全性能也需要提升。使用cms做的。系统安全机制里的过滤功能，通过限制单位时间内的POST请求、404页面等访问操作，来过滤掉次数过多的异常行为。虽然这对DDOS攻击没有明显的改善效果，但也在一定程度上减轻小带宽的恶意攻击

以上就是小蚁云安全团队今天给大家讲诉的关于DDOS恶意攻击等的一些小建议，我们公司成立十多年来唯一做的一件事情就是防御，我们的宗旨是客户在我们这合作了防御方案，只需要负责好运营就好了，且花的代价成本非常低，选择我们就是选择安全

DDos反追踪是一件非常困难的事情，因为现在聪明的黑客都会用许多跳板。IP追踪和攻击源定位技术在DDoS攻击防御研究中有重要意义。

IP攻击器和攻击源定位是指当DDoS攻击发生时或攻击完成后，根据现有的信息识别出攻击路径，找到攻击发起位置。DDoS攻击源追踪定位技术的难点在于难以准确定位，因为大部分攻击包源地址都是随机生成的伪地址。根据DDos攻击网络结构，按照准确度的逐渐提高，可分为定位到发起攻击。DDoS的追踪主要有两个目的：

1.是通过追踪攻击源获取攻击包的特征从而对流量进行过滤或者联系ISP寻求帮助；

2.是找到攻击源并搜集攻击证据，从而有可能通过法律手段对攻击者进行惩罚。无论能否最终找到攻击源，DDoS攻击的追踪技术对于DDoS的防御都是十分重要的。目前主要的DDoS追踪技术有PacketMarking、ICMP追踪、Logging以及ControlledFlooding。这些跟踪技术一般都需要路由器的支持，实际中也需要ISP的协助。PacketMarking是一大类方法，其基本思想是路由器在IP攻击器包中的Identification域加入额外信息以帮助确定包的来源或路径。由于IP包的Identification域在因特网中被使用到的比率只有0。25%，因此在大多数包中添加路由信息是十分可行。
当然如果对每个包都做处理没有必要，因此大多数PacketMarking方法都是以一个较低的概率在IP包中加入标记信息。PacketMarking方法需要解决的主要问题是：由于IP包的Identification域只有16比特，因此加入的信息量很受限制，如果要追踪源地址或者路径就要精心构造加入的信息，这涉及到路由器如何更新已有的标记信息，如何降低标记信息被伪造的可能，如何应对网络中存在不支持PacketMarking的路由器的情况。

比如，采用用异或和移位来实现标记信息的更新。ControlledFlooding是Burch和Cheswick提出的方法。这种方法实际上就是制造flood攻击，通过观察路由器的状态来判断攻击路径。首先应该有一张上游的路径图，当受到攻击的时候，可以从受害主机的上级路由器开始依照路径图对上游的路由器进行受控的flood，因为这些数据包同攻击者发起的数据包共享了路由器，因此增加了路由器丢包的可能性。通过这种沿路径图不断向上进行，就能够接近攻击发起的源头。
ControlledFlooding最大的缺点就是这种办法本身就是一种DOS攻击，会对一些信任路径也进行DOS。而且，ControlledFlooding要求有一个几乎覆盖整个网络的拓扑图。Burch和Cheswick也指出，这种办法很难用于DDOS攻击的追踪。这种方法也只能对正在进行攻击有效。ICMP追踪主要依靠路由器自身产生的ICMP跟踪消息。

每个路由器都以很低的概率（比如：1/20000），将数据包的内容复制到一个ICMP消息包中，并且包含了到临近源地址的路由器信息。当DDoS攻击开始的时候，受害主机就可以利用这些ICMP消息来重新构造攻击者的路径。这种方法的缺点是ICMP可能被从普通流量中过滤掉，并且，ICMP追踪消息依赖于路由器的相关功能，但是，可能一些路由器就没有这样的功能。

同时ICMPTracking必须考虑攻击者可能发送的伪造ICMPTraceback消息。Logging通过在主路由器上记录数据包，然后通过数据采集技术来决定这些数据包的穿越路径。虽然这种办法可以用于对攻击后的数据进行追踪，但也有很明显的缺点，如要求记录和处理大量的信息。查询网吧ROS被DDOS攻击的IP攻击器方法Ros方法一：右击一下流量最高的网卡找到Torch然后点击一下RxRate从大到小排列看看是哪个网址流量高就OK了如果你是低版本的从tools里面找Torch应该就可以方法二：TOOLS-TORCH然后选WAN，点击START需要指出，如果攻击者对DDoS攻击器设计得足够精细，则要想找到真正的攻击者几乎是不可能的。比如攻击者可以使用两层甚至更多层傀儡机实施攻击，而对靠近攻击者的傀儡机做彻底的日志清理，使得跟踪技术无法找到攻击者。另外对于反射式（DRDOS)攻击，由于攻击包是合法的，想要追踪到傀儡机本身就已经非常困难了。