服务器如何防御ddos攻击？

一、确保服务器系统安全

云霸天下IDC高防

1、确保服务器的系统文件是最新的版本,并及时更新系统补丁。

2、管理员需对所有主机进行检查，知道访问者的来源。

3、关闭不必要的服务：在服务器上删除未使用的服务，关闭未使用的端口。

4、限制同时打开的SYN半连接数目,缩短SYN半连接的time out 时间,限制SYN/ICMP流量。

5、正确设置防火墙，在防火墙上运行端口映射程序或端口扫描程序。

6、认真检查网络设备和主机/服务器系统的日志。只要日志出现漏洞或是时间变更,那这台机器就可能遭到了攻击。

7、限制在防火墙外与网络文件共享。这样会给黑客截取系统文件的机会,若黑客以特洛伊木马替换它，文件传输功能无疑会陷入瘫痪。

二、其他方法

云霸天下IDC高防IP

1、隐藏服务器真实IP

2、关闭不必要的服务或端口

3、购买高防提高承受能力

4、限制SYN/ICMP流量

5、网站请求IP过滤

6、部署DNS智能解析

7、提供余量带宽

目前而言，DDOS攻击并没有最好的根治之法，做不到彻底防御，只能采取各种手段在一定程度上减缓攻击伤害。所以平时服务器的运维工作还是要做好基本的保障。

常见的DDoS攻击方法有：

1、SYN/ACK Flood攻击

这种攻击方法是经典最有效的DDOS攻击方法，可通杀各种系统的网络服务，主要是通过向受害主机发送大量伪造源IP和源端口的SYN或ACK包，导致主机的缓存资源被耗尽或忙于发送回应包而造成拒绝服务，由于源都是伪造的故追踪起来比较困难，缺点是实施起来有一定难度，需要高带宽的僵尸主机支持。少量的这种攻击会导致主机服务器无法访问，但却可以Ping的通，在服务器上用Netstat -na命令会观察到存在大量的SYN_RECEIVED状态，大量的这种攻击会导致Ping失败、TCP/IP栈失效，并会出现系统凝固现象，即不响应键盘和鼠标。普通防火墙大多无法抵御此种攻击。

2、TCP全连接攻击

这种攻击是为了绕过常规防火墙的检查而设计的，一般情况下，常规防火墙大多具备过滤TearDrop、Land等DOS攻击的能力，但对于正常的TCP连接是放过的，殊不知很多网络服务程序（如：IIS、Apache等Web服务器）能接受的TCP连接数是有限的，一旦有大量的TCP连接，即便是正常的，也会导致网站访问非常缓慢甚至无法访问，TCP全连接攻击就是通过许多僵尸主机不断地与受害服务器建立大量的TCP连接，直到服务器的内存等资源被耗尽而被拖跨，从而造成拒绝服务，这种攻击的特点是可绕过一般防火墙的防护而达到攻击目的，缺点是需要找很多僵尸主机，并且由于僵尸主机的IP是暴露的，因此此种DDOS攻击方式容易被追踪。

3、刷Script脚本攻击

这种攻击主要是针对存在ASP、JSP、PHP、CGI等脚本程序，并调用MSSQLServer、MySQLServer、Oracle等数据库的网站系统而设计的，特征是和服务器建立正常的TCP连接，并不断的向脚本程序提交查询、列表等大量耗费数据库资源的调用，典型的以小博大的攻击方法。一般来说，提交一个GET或POST指令对客户端的耗费和带宽的占用是几乎可以忽略的，而服务器为处理此请求却可能要从上万条记录中去查出某个记录，这种处理过程对资源的耗费是很大的，常见的数据库服务器很少能支持数百个查询指令同时执行，而这对于客户端来说却是轻而易举的，因此攻击者只需通过Proxy代理向主机服务器大量递交查询指令，只需数分钟就会把服务器资源消耗掉而导致拒绝服务，常见的现象就是网站慢如蜗牛、ASP程序失效、PHP连接数据库失败、数据库主程序占用CPU偏高。这种攻击的特点是可以完全绕过普通的防火墙防护，轻松找一些Proxy代理就可实施攻击，缺点是对付只有静态页面的网站效果会大打折扣，并且有些Proxy会暴露DDOS攻击者的IP地址。

什么是CC攻击？
一、因为CC攻击来的IP都是真实的，分散的；
二、CC攻击的数据包都是正常的数据包；
三、CC攻击的请求，全都是有效的请求，无法拒绝的请求。
四 因为cc攻击的是网页，服务器什么都可以连接，ping也没问题，但是网页就是访问不。
五．但是iis一开服务器一会就死，而且被攻击后就老丢包。不知道是不是cc攻击，syn 攻击频率才78ack攻击频率663

什么是DDOS攻击？
DDOS攻击就是分布式的拒绝服务攻击，DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，随着计算机与网络技术的发展，DoS攻击的困难程度加大了。于是就产生了DDOS攻击，它的原理就很简单：计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用，那么DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。

关于DDOS的防范措施：
目前网络安全界对于DdoS的防范还是没有什么好办法的，主要靠平时维护和扫描来对抗。简单的通过软件防范的效果非常不明显，在所有的防御措施中硬件安防设施（硬件防火墙）是最有效的，但是硬件防火墙也不是说能杜绝一切攻击，也仅仅能起到降低攻击级别的效果，Ddos攻击只能被减弱，无法被彻底消除。

如果你的站被瞄上了，最有效的解决方法就是更换域名，更换IP。虽说有效，但是，我想没几个人会这么做吧CC不像DDOS可以用硬件防火墙来过滤攻击，CC攻击本身的请求就是正常的请求，硬件防火墙对他起不到很好的防御效果。如果容易被CC攻击，建议提前安装软防。

---