如何排查Linux服务器上的恶意发包行为

Linux下使用iftop工具结合iptables服务来解决带宽资源被恶意请求满的问题，主要通过2个步骤来实现；1. 使用iftop工具查出来是哪些个IP地址在请求主机的带宽资源，找出耗带宽的元凶

2. 找出耗带宽的IP地址或者段，分析是out方向还是in方向，使用iptables规则来进行控制

具体的详细 *** 作方法如下；

一但出现带宽被恶意请求，在带宽被请满的情况下基本上很难通过网络登入到服务器上进行 *** 作跟维护，这时我们需要通过阿里云提供的“连接管理终端”服务来登入系统

一般建议在主机正常的时候直接在服务器内部安装好iftop工具，这样出现恶意请求的时候直接可以使用该工具来进行排查，下面介绍下iftop的2中安装方法

1.使用yum 安装iftop工具

使用yum安装的话比较简单，只要直接执行 yum install iftop –y命令即可，如果没问题的话系统就会自动执行安装，但是有使用yum可能安装不了，这时就需要使用编译安装了

2.编译安装iftop工具

首先我们开启centos7系统，并且确保系统可以连接外网。我们此处使用"ping www.baidu.com"来查看是否可以连接外网。具体展示如下图所示。

Linux网络监控软件iftop软件安装使用教程

然后我们安装EPEL第三方软件源。EPEL（Extra Packages for Enterprise Linux） 是由 Fedora 社区打造，为 RHEL 及衍生发行版如 CentOS等提供高质量软件包的项目。装上了 EPEL，就像在centos 上一样，可以通过 yum install 软件包名，即可安装很多以前需要编译安装的软件、常用的软件或一些比较流行的软件。本篇我们使用命令"yum install epel-release"来进行安装。具体展示如下图所示。

Linux网络监控软件iftop软件安装使用教程

然后我们使用命令"yum install iftop"命令进行安装。具体 *** 作如下图所示。

Linux网络监控软件iftop软件安装使用教程

Linux网络监控软件iftop软件安装使用教程

安装完毕后，我们执行命令“iftop”,来进行查看。具体展示如下图所示。详细介绍下各个位置代表的含义。

中间的<= =>这两个左右箭头，表示的是流量的方向。TX：发送流量。RX：接收流量。TOTAL：总流量。Cumm：运行iftop到目前时间的总流量。peak：流量峰值。rates：分别表示过去 2s 10s 40s 的平均流量

Linux网络监控软件iftop软件安装使用教程

下面介绍几个通过算法，我们如果想要监测固定网卡，则需要加入参数-i +网卡名称。本次我们输入命令“iftop -i enp0s3"检测网卡enp0s3，具体展示如下图所示。

Linux网络监控软件iftop软件安装使用教程

然后介绍按照bytes单位来进行显示，默认是安装bits为单位的。具体用法为"iftop -B"。具体展示如下图所示。

Linux网络监控软件iftop软件安装使用教程

然后介绍另外一个参数-N代表不转换端口号。本篇我们执行命令“iftop -N"，具体展示如下图所示。

Linux网络监控软件iftop软件安装使用教程

然后介绍另外一个参数-B,使流量图形条默认就显示。具体展示如下图所示。-b表示不显示流量图形条。本篇我们执行命令“iftop -b”来进行展示。

Linux网络监控软件iftop软件安装使用教程

iftop，iotop，htop三者主要做以下用处：

iftop，用来显示本机网络流量情况及各相互通信的流量集合。iftop通常适用于代理服务器和iptables服务器使用。

iotop是一个用来监视磁盘I/O 使用状况的 top 类工具，iotop是使用Python语言编写而成，目前iotop可从其官方直接下载。

htop通俗来讲它就是一款查看器，即可以让用户与之交互的进程查看器；它主要用于主要用于控制台或 X 终端中。同时htop主要具有以下特性：可以定制、支持颜色主题以及按树状方式来查看进程；

除了以上三个之外，还有一个也是最常用的而且容易与以上三者进行混淆的即：atop。atop 是一个全屏的性能检测工具，主要是基于 ASCII ，其可以用来监控进程的活动时间，高亮显示出一些过载的进程，还包括其他的一些系统指标例如：CPU、内存、交换分区等。

---