如果服务器被攻击了， 建议：
1、查看下是什么类型的攻击。检查下系统日志，看下攻击者都去了哪些地方。
2、关闭不必要的服务和端口
3、整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号；内容是否又被修改的痕迹等，如果发现问题及时进行清理。
4、重新设置账户密码，密码设置的复杂些；以及设置账户权限。
5、对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果服务器上没有安装防护软件，可以看下服务器安全狗和网站安全狗。还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。
6、有网站，就检测下网站，是否有被挂马、被篡改、挂黑链等，如果有，及时清理。
7、如果是大流量攻击，单靠软防效果有限，可以看下DOSS流量清洗服，这个很多安全厂商都有这个服务，包括安全狗，安全宝、加速乐等。
8、定期备份数据文件。如果之前有做备份，当发生安全问题时，可以及时替换。
DDoS攻击主要是通过利用服务器上的漏洞，或者消耗服务器上的资源(例如内存、硬盘等等)来达到目的。服务器被DDOS攻击会导致CPU超载，网站打不开，网络堵塞，频繁死机等。当我们发现网站被攻击的时候不要过度惊慌失措，先查看一下网站服务器是不是被黑了，找出网站存在的黑链，然后做好网站的安全防御，开启IP禁PING，可以防止被扫描，关闭不需要的端口。这些是只能防简单的攻击，对于大流量DDOS攻击，必须要有足够的带宽和防火墙配合起来才能防御，你的防御能力大于攻击者的攻击流量那就防住了。不过单独硬防的成本挺高的，企业如果对成本控制有要求的话可以选择墨者安全的集群防护，防御能力是很不错的，成本也比阿里云网易云这些大牌低。
第一，对网站受到攻击状况进行评估。评估网站被攻击后的状况，比如DDOS攻击的次数及大小，然后做出相应的决策，确定是进行数据牵引还是关闭 *** 作，又或者是需要找到相关的漏洞打补丁。Windows系统打上最新的补丁，然后就是mysql或者sql数据库补丁，还有php以及IIS，serv-u就更不用说了，经常出漏洞的东西，还有就是有些IDC们使用的虚拟主机管理软件。
第二，隐藏网站服务器的IP地址。
使用CDN要求将网站域名解析为CDN自动生成的cname记录值，而网站域名不解析为网站服务器的IP地址。这样，网站服务器的IP地址就不会自然地暴露在公共网络上，从而避免了对网站服务器的有针对性的攻击，提高了网站服务器的安全性。
第三，建立镜像网站。
一些大型网站在服务器受到攻击时会建立一个镜像网站，这样可以通过设置301跳转让用户可以正常的跳转访问，但是这个对搜索引擎并不友好，只是以防万一出现被攻击的状况。
第四，建立预防DDOS策略。
被攻击的类型比较多，建站DDOS防御策略是从根本上解决网站被攻击的问题。
第五，选择高防服务器。
高防服务器的安全性较普通服务器要高很多，选择高防服务器可以有效的避免网站被攻击的情况。
安全总是相对的，再安全的服务器也有可能遭受到攻击。作为一个安全运维人员，要把握的原则是：尽量做好系统安全防护，修复所有已知的危险行为，同时，在系统遭受攻击后能够迅速有效地处理攻击行为，最大限度地降低攻击对系统产生的影响。
一、处理服务器遭受攻击的一般思路
系统遭受攻击并不可怕，可怕的是面对攻击束手无策，下面就详细介绍下在服务器遭受攻击后的一般处理思路。
1切断网络
所有的攻击都来自于网络，因此，在得知系统正遭受黑客的攻击后，首先要做的就是断开服务器的网络连接，这样除了能切断攻击源之外，也能保护服务器所在网络的其他主机。
2查找攻击源
可以通过分析系统日志或登录日志文件，查看可疑信息，同时也要查看系统都打开了哪些端口，运行哪些进程，并通过这些进程分析哪些是可疑的程序。这个过程要根据经验和综合判断能力进行追查和分析。下面的章节会详细介绍这个过程的处理思路。
3分析入侵原因和途径
既然系统遭到入侵，那么原因是多方面的，可能是系统漏洞，也可能是程序漏洞，一定要查清楚是哪个原因导致的，并且还要查清楚遭到攻击的途径，找到攻击源，因为只有知道了遭受攻击的原因和途径，才能删除攻击源同时进行漏洞的修复。
4备份用户数据
在服务器遭受攻击后，需要立刻备份服务器上的用户数据，同时也要查看这些数据中是否隐藏着攻击源。如果攻击源在用户数据中，一定要彻底删除，然后将用户数据备份到一个安全的地方。
5重新安装系统
永远不要认为自己能彻底清除攻击源，因为没有人能比黑客更了解攻击程序，在服务器遭到攻击后，最安全也最简单的方法就是重新安装系统，因为大部分攻击程序都会依附在系统文件或者内核中，所以重新安装系统才能彻底清除攻击源。
6修复程序或系统漏洞
在发现系统漏洞或者应用程序漏洞后，首先要做的就是修复系统漏洞或者更改程序bug，因为只有将程序的漏洞修复完毕才能正式在服务器上运行。
7恢复数据和连接网络
将备份的数据重新复制到新安装的服务器上，然后开启服务，最后将服务器开启网络连接，对外提供服务。
二、检查并锁定可疑用户
当发现服务器遭受攻击后，首先要切断网络连接，但是在有些情况下，比如无法马上切断网络连接时，就必须登录系统查看是否有可疑用户，如果有可疑用户登录了系统，那么需要马上将这个用户锁定，然后中断此用户的远程连接。
1登录系统查看可疑用户
通过root用户登录，然后执行“w”命令即可列出所有登录过系统的用户，如下图所示。
通过这个输出可以检查是否有可疑或者不熟悉的用户登录，同时还可以根据用户名以及用户登录的源地址和它们正在运行的进程来判断他们是否为非法用户。
2锁定可疑用户
一旦发现可疑用户，就要马上将其锁定，例如上面执行“w”命令后发现nobody用户应该是个可疑用户(因为nobody默认情况下是没有登录权限的)，于是首先锁定此用户，执行如下 *** 作：
[root@server ~]# passwd -l nobody
锁定之后，有可能此用户还处于登录状态，于是还要将此用户踢下线，根据上面“w”命令的输出，即可获得此用户登录进行的pid值， *** 作如下：
[root@server ~]# ps -ef|grep @pts/3
531 6051 6049 0 19:23 00:00:00 sshd: nobody@pts/3
[root@server ~]# kill -9 6051
这样就将可疑用户nobody从线上踢下去了。如果此用户再次试图登录它已经无法登录了。
3通过last命令查看用户登录事件
last命令记录着所有用户登录系统的日志，可以用来查找非授权用户的登录事件，而last命令的输出结果来源于/var/log/wtmp文件，稍有经验的入侵者都会删掉/var/log/wtmp以清除自己行踪，但是还是会露出蛛丝马迹在此文件中的。
三、查看系统日志
查看系统日志是查找攻击源最好的方法，可查的系统日志有/var/log/messages、/var/log/secure等，这两个日志文件可以记录软件的运行状态以及远程用户的登录状态，还可以查看每个用户目录下的bash_history文件，特别是/root目录下的bash_history文件，这个文件中记录着用户执行的所有历史命令。
四、检查并关闭系统可疑进程
检查可疑进程的命令很多，例如ps、top等，但是有时候只知道进程的名称无法得知路径，此时可以通过如下命令查看：
首先通过pidof命令可以查找正在运行的进程PID，例如要查找sshd进程的PID，执行如下命令：
然后进入内存目录，查看对应PID目录下exe文件的信息：
这样就找到了进程对应的完整执行路径。如果还有查看文件的句柄，可以查看如下目录：
[root@server ~]# ls -al /proc/13276/fd
通过这种方式基本可以找到任何进程的完整执行信息，此外还有很多类似的命令可以帮助系统运维人员查找可疑进程。例如，可以通过指定端口或者tcp、udp协议找到进程PID，进而找到相关进程：
在有些时候，攻击者的程序隐藏很深，例如rootkits后门程序，在这种情况下ps、top、netstat等命令也可能已经被替换，如果再通过系统自身的命令去检查可疑进程就变得毫不可信，此时，就需要借助于第三方工具来检查系统可疑程序，例如前面介绍过的chkrootkit、RKHunter等工具，通过这些工具可以很方便的发现系统被替换或篡改的程序。
五、检查文件系统的完好性
检查文件属性是否发生变化是验证文件系统完好性最简单、最直接的方法，例如可以检查被入侵服务器上/bin/ls文件的大小是否与正常系统上此文件的大小相同，以验证文件是否被替换，但是这种方法比较低级。此时可以借助于Linux下rpm这个工具来完成验证， *** 作如下：
对于输出中每个标记的含义介绍如下：
S 表示文件长度发生了变化M 表示文件的访问权限或文件类型发生了变化5 表示MD5校验和发生了变化D 表示设备节点的属性发生了变化L 表示文件的符号链接发生了变化U 表示文件/子目录/设备节点的owner发生了变化G 表示文件/子目录/设备节点的group发生了变化T 表示文件最后一次的修改时间发生了变化
如果在输出结果中有“M”标记出现，那么对应的文件可能已经遭到篡改或替换，此时可以通过卸载这个rpm包重新安装来清除受攻击的文件。
不过这个命令有个局限性，那就是只能检查通过rpm包方式安装的所有文件，对于通过非rpm包方式安装的文件就无能为力了。同时，如果rpm工具也遭到替换，就不能通过这个方法了，此时可以从正常的系统上复制一个rpm工具进行检测。
对文件系统的检查也可以通过chkrootkit、RKHunter这两个工具来完成，关于chkrootkit、RKHunter工具的使用，下次将展开介绍。
您是否收到过这样的困扰？曾每月花费过数千上万元租用高防服务器，游戏端口依然被DDOS/CC打满游戏超卡，服务器IP被攻击打封玩家无法登陆 ，大网波动频繁稳定性无法保证，服务器宕机无法预料那么您需要小蚁盾游戏云防护给您带来全新的游戏服务器使用体验 。
您可以自行到阿里云官方网站购买适合您使用的配置、宽带(建议选择华东区)作为游戏源服务器，权限只有您自己知道，保证数据安全。
防御方案一： 然后使用我们的小蚁高防IP，隐藏游戏真实IP,进行ddos/cc攻击防护,游戏加速防护，玩家在我们云防护内网畅玩，从而使您的服务器达到无视任何攻击。
防御方案二：使用我们的立体式防御系统，可隐藏客户真实服务器的IP地址，每个结点都会成为客户服务器的盾机被攻击的只能是结点，而且由于有多个结点做盾机，就算攻击是个强度非常大，而且持续非常久的话，哪怕还有一个结点服务器是活的，那么攻击就打不到客户真实的服务器上，而且还有很多备用节点，一旦哪个节点宕机，宕机监测系统便会马上启动备用节点，这样就保证了游戏和网站不会挂掉。
防御方案三：小蚁盾是一款专门解决 ddos 攻击 cc攻击的安全防护引擎。当您的应用程序与小蚁盾集成后，小蚁盾即刻进入运行状态，我们会为每个用户分配一个不同的ip，千人千面、一人一ip。当黑客发起攻击时，只有他自己受到影响，同时小蚁盾能够精准识别黑客，并直接拉入黑名单。如此一来黑客就无法得到新的ip，只能重新更换手机或电脑。这个原理既能够清除掉黑客，又能无视其攻击，还不影响其它用户。这正是，一次集成，终身受益。有可能是竞争对手整的，我们公司网站排名做的好，也被ddos攻击了；Ddos攻击一种为流量攻击，另一种为资源耗尽攻击，主要是针对服务器主机的攻击；注意一定要做好防御措施，及时关注所使用的安全产品和网络设备，在系统中加装防火墙系统，还要优化路由及网络结构。
如果已经被攻击了的话，要么是出钱买高防，要么只能等它停止攻击，然后将数据分散放到不同的服务器上，但还是得给服务器做好预防。
DDoS从原理上，小系统是防不住的。终极攻防就是比带宽，比谁服务器多。从历史上著名的几次超大规模攻击，也就几个顶级互联网能抗住。
DDoS溯源基本没用，一是大多指向境外，二是基本都是被劫持的电脑，就算找到的，也是吃瓜群众。
从现实角度，可以报警，虽然不会轻易找到嫌疑人，但是有另一种效果。
很多企业网站被有针对性的持续攻击，尤其是在搜索引擎做竞价排名的网站，容易发生被攻击情况（绝大部分企业网站都没有人看，被攻击了都没人知道）。
主要是内部人员，竞争对手也会，但相对较少。
企业内部，有不满情绪的，离职的，尤其跟技术部门有关的，先想想有没有。
往往也就解决了
不同的攻击类型有不同的防御方法。整体来说，防御DDoS攻击是一个系统化的工程，仅仅依靠某种 *** 就实现全垒打很傻很天真。下面我从三个方面（网络设施、防御方案、预防手段）来分享十个防御DDoS攻击的方法，将它们结合起来使用效果更好哟～一．网络设备设施
网络架构、设施设备是整个系统得以顺畅运作的硬件基础，用足够的机器、容量去承受攻击，充分利用网络设备保护网络资源是一种较为理想的应对策略，说到底攻防也是双方资源的比拼，在它不断访问用户、夺取用户资源之时，自己的能量也在逐渐耗失。相应地，投入资金也不小，但网络设施是一切防御的基础，需要根据自身情况做出平衡的选择。
1 扩充带宽硬抗
网络带宽直接决定了承受攻击的能力，国内大部分网站带宽规模在10M到100M，知名企业带宽能超过1G，超过100G的基本是专门做带宽服务和抗攻击服务的网站，数量屈指可数。但DDoS却不同，攻击者通过控制一些服务器、个人电脑等成为肉鸡，如果控制1000台机器，每台带宽为10M，那么攻击者就有了10G的流量。当它们同时向某个网站发动攻击，带宽瞬间就被占满了。增加带宽硬防护是理论最优解，只要带宽大于攻击流量就不怕了，但成本也是难以承受之痛，国内非一线城市机房带宽价格大约为100元/M月，买10G带宽顶一下就是100万，因此许多人调侃拼带宽就是拼人民币，以至于很少有人愿意花高价买大带宽做防御。
2 使用硬件防火墙
许多人会考虑使用硬件防火墙，针对DDoS攻击和黑客入侵而设计的专业级防火墙通过对异常流量的清洗过滤，可对抗SYN/ACK攻击、TCP全连接攻击、刷脚本攻击等等流量型DDoS攻击。如果网站饱受流量攻击的困扰，可以考虑将网站放到DDoS硬件防火墙机房。但如果网站流量攻击超出了硬防的防护范围（比如200G的硬防，但攻击流量有300G），洪水瞒过高墙同样抵挡不住。值得注意一下，部分硬件防火墙基于包过滤型防火墙修改为主，只在网络层检查数据包，若是DDoS攻击上升到应用层，防御能力就比较弱了。
3 选用高性能设备
除了防火墙，服务器、路由器、交换机等网络设备的性能也需要跟上，若是设备性能成为瓶颈，即使带宽充足也无能为力。在有网络带宽保证的前提下，应该尽量提升硬件配置。
二、有效的抗D思想及方案
硬碰硬的防御偏于“鲁莽”，通过架构布局、整合资源等方式提高网络的负载能力、分摊局部过载的流量，通过接入第三方服务识别并拦截恶意流量等等行为就显得更加“理智”，而且对抗效果良好。
4 负载均衡
普通级别服务器处理数据的能力最多只能答复每秒数十万个链接请求，网络处理能力很受限制。负载均衡建立在现有网络结构之上，它提供了一种廉价有效透明的方法扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性，对DDoS流量攻击和CC攻击都很见效。CC攻击使服务器由于大量的网络传输而过载，而通常这些网络流量针对某一个页面或一个链接而产生。在企业网站加上负载均衡方案后，链接请求被均衡分配到各个服务器上，减少单个服务器的负担，整个服务器系统可以处理每秒上千万甚至更多的服务请求，用户访问速度也会加快。
5 CDN流量清洗
CDN是构建在网络之上的内容分发网络，依靠部署在各地的边缘服务器，通过中心平台的分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率，因此CDN加速也用到了负载均衡技术。相比高防硬件防火墙不可能扛下无限流量的限制，CDN则更加理智，多节点分担渗透流量，目前大部分的CDN节点都有200G 的流量防护功能，再加上硬防的防护，可以说能应付目绝大多数的DDoS攻击了。
6 分布式集群防御
分布式集群防御的特点是在每个节点服务器配置多个IP地址，并且每个节点能承受不低于10G的DDoS攻击，如一个节点受攻击无法提供服务，系统将会根据优先级设置自动切换另一个节点，并将攻击者的数据包全部返回发送点，使攻击源成为瘫痪状态，从更为深度的安全防护角度去影响企业的安全执行决策。
三．预防为主保安全
DDoS的发生可能永远都无法预知，而一来就凶猛如洪水决堤，因此网站的预防措施和应急预案就显得尤为重要。通过日常惯性的运维 *** 作让系统健壮稳固，没有漏洞可钻，降低脆弱服务被攻陷的可能，将攻击带来的损失降低到最小。
7 筛查系统漏洞
及早发现系统存在的攻击漏洞，及时安装系统补丁，对重要信息（如系统配置信息）建立和完善备份机制，对一些特权账号（如管理员账号）的密码谨慎设置，通过一系列的举措可以把攻击者的可乘之机降低到最小。计算机紧急响应协调中心发现，几乎每个受到DDoS攻击的系统都没有及时打上补丁。统计分析显示，许多攻击者在对企业的攻击中获得很大成功，并不是因为攻击者的工具和技术如何高级，而是因为他们所攻击的基础架构本身就漏洞百出。
8 系统资源优化
合理优化系统，避免系统资源的浪费，尽可能减少计算机执行少的进程，更改工作模式，删除不必要的中断让机器运行更有效，优化文件位置使数据读写更快，空出更多的系统资源供用户支配，以及减少不必要的系统加载项及自启动项，提高web服务器的负载能力。
9 过滤不必要的服务和端口
就像防贼就要把多余的门窗关好封住一样，为了减少攻击者进入和利用已知漏洞的机会，禁止未用的服务，将开放端口的数量最小化就十分重要。端口过滤模块通过开放或关闭一些端口，允许用户使用或禁止使用部分服务，对数据包进行过滤，分析端口，判断是否为允许数据通信的端口，然后做相应的处理。
10 限制特定的流量
检查访问来源并做适当的限制，以防止异常、恶意的流量来袭，限制特定的流量，主动保护网站安全。
对抗DDoS攻击是一个涉及很多层面的问题，抗DDoS需要的不仅仅是一个防御方案，一个设备，更是一个能制动的团队，一个有效的机制。面对攻击大家需要具备安全意识，完善自身的安全防护体系才是正解。随着互联网业务的越发丰富，可以预见DDoS攻击还会大幅度增长，攻击手段也会越来越复杂多样。安全是一项长期持续性的工作，需要时刻保持一种警觉，更需要全社会的共同努力。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）