服务器受到黑客攻击怎么办？

1、屏蔽攻击源ip地址，从源头上堵死流量来源
登录cpanel后台，找到”日志”>>>“访客”
仔细分析下里面的访客IP,如果某一IP地址在短时间内有大量的数据，可以考虑屏蔽掉。通过”访客”这个目录进去，数据太多，并且都是网页版本的，分析起来比较麻烦。另外一个方法是点击”日志”>>>“原始访问日志”，下载压缩包并解压，使用文本编辑器打开分析。
使用这种方式也有一定的缺陷。攻击者敢于攻击，肯定也想到了一定的规避措施。在分析ip地址的时候，我们不仅仅判断同一个ip地址，更要判断出同一类型的ip地址。ip地址分为三类型，A类，B类，C类。判断一个IP地址属于哪个类型，只需要看ip地址的第一个字节。A类IP的地址第一个字段范围是0~127，B类地址范围：128001到191255255254，C类地址的第一组数字为192～223。如果两个ip地址不同，但是属于同一类型的ip地址，并且网络号一样，那么也是我们要考虑过滤的ip地址。
这种方式也会有一定的误判，只在非常时期使用。现在很多人刷流量使用流量精灵等软件来刷，ip都是代理的，很难找到元凶。
2、向百度站长平台提交异常报告,附加上相关截图
3、使用杭州超级科技的超级防护盾
百分百防御cc攻击，无上限防御ddos攻击！价格划算，可以试用看效果说话！欢迎搜索咨询！

针对目前各大传奇私服站长受到盛大或者某些卑鄙小人的无耻行为，我特地整理了防止DDOS的攻击资料！
绝对可以防止针对传奇端口，或者WEB的大流量的DDOS承受大约40万个包的攻击量
设置保护80700071007200等你的传奇端口的。
然后按下面整理的注册表修改或者添加下面的数值。
请注意，以下的安全设置均通过注册表进行修改，该设置的性能取决于服务器的配置，尤其是CPU的处理能力。如按照如下进行安全设置，采用双路至强24G的服务器配置，经过测试，可承受大约1万个包的攻击量。
接下来你就可以高枕无忧了。
一部份DDOS我们可以通过DOS命令netstat -an|more或者网络综合分析软件：sniff等查到相关攻击手法、如攻击某个主要端口、或者对方主要来自哪个端口、对方IP等。这样我们可以利用w2k自带的远程访问与路由或者IP策略等本身自带的工具解决掉这些攻击。做为无法利用这些查到相关数据的我们也可以尝试一下通过对服务器进行安全设置来防范DDOS攻击。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'关闭无效网关的检查。当服务器设置了多个网关，这样在网络不通畅的时候系统会尝试连接
'第二个网关，通过关闭它可以优化网络。
"EnableDeadGWDetect"=dword:00000000
'禁止响应ICMP重定向报文。此类报文有可能用以攻击，所以系统应该拒绝接受ICMP重定向报文。
"EnableICMPRedirects"=dword:00000000
'不允许释放NETBIOS名。当攻击者发出查询服务器NETBIOS名的请求时，可以使服务器禁止响应。
'注意系统必须安装SP2以上
"NonameReleaseOnDemand"=dword:00000001
'发送验证保持活动数据包。该选项决定TCP间隔多少时间来确定当前连接还处于连接状态，
'不设该值，则系统每隔2小时对TCP是否有闲置连接进行检查，这里设置时间为5分钟。
"KeepAliveTime"=dword:000493e0
'禁止进行最大包长度路径检测。该项值为1时，将自动检测出可以传输的数据包的大小，
'可以用来提高传输效率，如出现故障或安全起见，设项值为0，表示使用固定MTU值576bytes。
"EnablePMTUDiscovery"=dword:00000000
'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后
'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值
'设定的条件来触发启动了。这里需要注意的是，NT40必须设为1，设为2后在某种特殊数据包下会导致系统重启。
"SynAttackProtect"=dword:00000002
'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态
'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。
"TcpMaxHalfOpen"=dword:00000064
'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。
"TcpMaxHalfOpenRetried"=dword:00000050
'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。
'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。
'微软站点安全推荐为2。
"TcpMaxConnectResponseRetransmissions"=dword:00000001
'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。
"TcpMaxDataRetransmissions"=dword:00000003
'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。
"TCPMaxPortsExhausted"=dword:00000005
'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的
'源路由包，微软站点安全推荐为2。
"DisableIPSourceRouting"=dword:0000002
'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。
"TcpTimedWaitDelay"=dword:0000001e
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]
'增大NetBT的连接块增加幅度。缺省为3，范围1-20，数值越大在连接越多时提升性能。每个连接块消耗87个字节。
"BacklogIncrement"=dword:00000003
'最大NetBT的连接快的数目。范围1-40000，这里设置为1000，数值越大在连接越多时允许更多连接。
"MaxConnBackLog"=dword:000003e8
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]
'配置激活动态Backlog。对于网络繁忙或者易遭受SYN攻击的系统，建议设置为1，表示允许动态Backlog。
"EnableDynamicBacklog"=dword:00000001
'配置最小动态Backlog。默认项值为0，表示动态Backlog分配的自由连接的最小数目。当自由连接数目
'低于此数目时，将自动的分配自由连接。默认值为0，对于网络繁忙或者易遭受SYN攻击的系统，建议设置为20。
"MinimumDynamicBacklog"=dword:00000014
'最大动态Backlog。表示定义最大"准"连接的数目，主要看内存大小，理论每32M内存最大可以
'增加5000个，这里设为20000。
"MaximumDynamicBacklog"=dword:00002e20
'每次增加的自由连接数据。默认项值为5，表示定义每次增加的自由连接数目。对于网络繁忙或者易遭受SYN攻击
'的系统，建议设置为10。
"DynamicBacklogGrowthDelta"=dword:0000000a
以下部分需要根据实际情况手动修改
'-------------------------------------------------------------------------------------------------
'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
'启用网卡上的安全过滤
'"EnableSecurityFilters"=dword:00000001
'
'同时打开的TCP连接数，这里可以根据情况进行控制。
'"TcpNumConnections"=
'
'该参数控制 TCP 报头表的大小限制。在有大量 RAM 的机器上，增加该设置可以提高 SYN 攻击期间的响应性能。
'"TcpMaxSendFree"=
'
'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{自己的网卡接口}]
'禁止路由发现功能。ICMP路由通告报文可以被用来增加路由表纪录，可以导致攻击，所以禁止路由发现。
"PerformRouterDiscovery "=dword:00000000

1、首先在[开始]按钮右击点击其中的运行或者“win+R”打开运行框

2、接着，在运行框里面输入“cmd”然后点击确定

3、在“命令提示符”中，输入“arp -a"，回车。并选择你想要攻击的ip"arp-a"这一步是看当前局域网里面的设备连接状态

4、输入”ping -l 65500 1921681103 -t“并回车；-l是发送缓冲区大小，65500是它的极限；-t 就是一直无限下去，直到停止假设我要攻击ip为1921681103的服务器，这就是ddos攻击

5、如果要停止攻击，就要按键盘上”Ctrl+C“来结束

DDOS名词解释，分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。

一流的攻击速度以及强大的隐蔽性能，使得DDOS集合了市面上所有攻击软件优点成为了最热的攻击方式。接下来本文将简单的介绍一下三种最为流行的DDOS攻击方式

DDOS攻击，直接找机房要流量图就看得到。把服务器ip打挂了，连接不上服务器，不通了。

cc攻击:cpu变得很高， *** 作很卡，可以先让服务器商分析下，进服务器里看下，现在很多服务器安全软件，市面有云盾，金盾，cdn等各种防护软件。

服务器被攻击的基本处理办法:

检查系统日志，查看下是什么类型的攻击，看下攻击者都去了哪些地方。内容是否又被修改的痕迹等，如果发现问题及时进行清理。

关闭不必要的服务和端口。

定期整体扫描下服务器，看下存在什么问题， 有漏洞及时打补丁；检查是否有影子账户，不是自己建立的账号等。

重新设置账户密码，密码设置的复杂些；以及设置账户权限。

对服务器上的安全软件进行升级，或者是对防护参数进行重新设置，使他符合当时的环境。如果没有安装，可以安装个服务器安全狗，同时，还可以将服务器添加到安全狗服云平台上，这样当有攻击发生时，可以快速知道，并进行处理等。

检测网站，是否又被挂马、被篡改、挂黑链等，如果有，及时清理。

如果是大流量攻击，可以看下DOSS流量清洗，这个很多安全厂商都有这个服务。

定期备份数据文件。如果之前有做备份，可以对重要数据进行替换。

如果不希望被攻击的话推荐租用高防服务器。

1OOB攻击
这是利用NETBIOS中一个OOB（Out of Band）的漏洞而来进行的，它的原理是通过TCP／IP协议传递一个数据包到计算机某个开放的端口上（一般是137、138和139），当计算机收到这个数据包之后就会瞬间死机或者蓝屏现象，不重新启动计算机就无法继续使用TCP／IP协议来访问网络。
2DoS攻击
这是针对Windows 9X所使用的ICMP协议进行的DOS（Denial of Service，拒绝服务）攻击，一般来说，这种攻击是利用对方计算机上所安装协议的漏洞来连续发送大量的数据包，造成对方计算机的死机。
3WinNuke攻击
目前的WinNuke系列工具已经从最初的简单选择IP攻击某个端口发展到可以攻击一个IP区间范围的计算机，并且可以进行连续攻击，还能够验证攻击的效果，还可以对检测和选择端口，所以使用它可以造成某一个IP地址区间的计算机全部蓝屏死机。
4SSPing
这是一个IP攻击工具，它的工作原理是向对方的计算机连续发出大型的ICMP数据包，被攻击的机器此时会试图将这些文件包合并处理，从而造成系统死机。
5TearDrop攻击
这种攻击方式利用那些在TCP／IP堆栈实现中信任IP碎片中的包的标题头所包含的信息来实现自己的攻击，由于IP分段中含有指示该分段所包含的是原包哪一段的信息，所以一些 *** 作系统下的TCP／IP协议在收到含有重叠偏移的伪造分段时将崩溃。TeadDrop最大的特点是除了能够对Windows 9X／NT进行攻击之外，连Linux也不能幸免。
另外，也可以对指定服务器进行漏洞检测，一般服务器上都搭有网站，可尝试对该站进行注入过旁注之类的，或者利用最新漏洞进行溢出攻击!
方法有很多，脑子要灵活!
BY :bbs77169com 怪马

1黑客也有可能通过暴力破解的方法来破解超级管理员密码，从而对服务器实行攻击。要预防超级管理员密码被暴力破解，购买到服务器后站长一定要修改超级管理员的默认密码，把密码修改成为一个复杂的英文加数字的组合密码，这样可以加大黑客破解密码的难度。再复杂的密码也有被破解的风险，所以建议超级管理员的密码定期修改一次。　
2端口是病毒、木马入侵的最主要途径，所有端口都有可能是黑客的利用对象，通过端口对服务器实行攻击。具体怎么攻击这里就不细说了，壹基比小喻这里主要讲一下怎么预防，想要预防黑客通过端口攻击服务器，最有效的方法是关闭不必要端口，修改重要端口。对外少开放一个端口，黑客就少一个入侵途径，每开放一个服务就意味着对外多开放一个端口，在关闭端口的同时也要关闭一些不必要的服务。此外，修改一些重要端口可以加大黑客的扫描难度，这样也能有效地保护我们的服务器。　
3DDOS攻击是服务器常见的一种攻击，它的攻击方式有很多，最常见的是通过服务请求来占用服务资源，从而导致用户无法得到服务响应。预防DDOS攻击的最有效的方法是选择设有机房硬防的机房，硬件防火墙能够有效预防DDOS攻击和黑客攻击。硬防虽然能够有效预防DDOS攻击，但对CC攻击的基本无效，CC攻击需要通过软件防火墙来防御。　
4漏洞也是黑客最主要的入侵途径，黑客可以通过系统漏洞、程序漏洞等对服务器实行攻击。每个系统、程序或多或少会存在有一些漏洞，或系统本身就存在的漏洞，或系统管理员配置错误导致的漏洞，站长朋友应该及时给服务器系统打新补丁，及时升级程序新版本。　
以上是关于怎么预防服务器被攻击的分享，虽然服务器容易遭受攻击，但如果做好预防措施，能够最大限度的避免被攻击成本，而且学习了服务器被攻击恢复方法能够最快的解决问题，降低损失是放在首位的。现在网络发展快，另外除了上述的问题与方法，也还需要多留意新的事物，通过不断的更新补丁也能起到很好的预防。希望壹基比小喻的这些可以帮到你们。

很有可能是SYN Flood的攻击， [以2下h为4转贴] 剖析SYN Flood攻击(6) -------------------------------------------------------------------------------- 一b、SYN Flood的基本原理 SYN Flood是当前最流行的DoS（拒绝服务攻击）与mDdoS（分5布式拒绝服务攻击）的方0式之p一o，这是一i种利用TCP协议缺陷，发送大m量伪造的TCP连接请求，从3而使得被攻击方7资源耗尽（CPU满负荷或内7存不u足）的攻击方4式。 要明白这种攻击的基本原理，还是要从4TCP连接建立的过程开l始说起： 大h家都知道，TCP与hUDP不s同，它是基于v连接的，也i就是说：为4了v在服务端和客户1端之i间传送TCP数据，必须先建立一t个b虚拟电路，也l就是TCP连接，建立TCP连接的标准过程是这样的： 首先，请求端（客户0端）发送一g个r包含SYN标志的TCP报文4，SYN即同步（Synchronize），同步报文3会指明客户6端使用的端口i以2及jTCP连接的初始序号； 第二l步，服务器在收到客户7端的SYN报文2后，将返回一f个dSYN+ACK的报文2，表示1客户4端的请求被接受，同时TCP序号被加一c，ACK即确认2（Acknowledgement）。 第三l步，客户3端也d返回一l个y确认7报文8ACK给服务器端，同样TCP序列号被加一j，到此一m个hTCP连接完成。 以5上g的连接过程在TCP协议中1被称为7三l次握手4（Three-way Handshake）。 问题就出在TCP连接的三t次握手1中1，假设一h个f用户8向服务器发送了cSYN报文6后突然死机或掉线，那么k服务器在发出SYN+ACK应答报文4后是无b法收到客户6端的ACK报文0的（第三g次握手6无m法完成），这种情况下j服务器端一f般会重试（再次发送SYN+ACK给客户0端）并等待一v段时间后丢弃这个l未完成的连接，这段时间的长8度我们称为2SYN Timeout，一g般来说这个a时间是分2钟的数量级（大y约为170秒-8分4钟）；一r个d用户7出现异常导致服务器的一y个i线程等待2分6钟并不n是什5么w很大n的问题，但如果有一z个q恶意的攻击者大o量模拟这种情况，服务器端将为7了d维护一c个d非常大r的半连接列表而消耗非常多的资源----数以8万e计8的半连接，即使是简单的保存并遍历p也g会消耗非常多的CPU时间和内4存，何况还要不k断对这个e列表中3的IP进行SYN+ACK的重试。实际上s如果服务器的TCP。IP栈不j够强大g，最后的结果往往是堆栈溢出崩溃 ---即使服务器端的系统足够强大v，服务器端也p将忙于g处理攻击者伪造的TCP连接请求而无h暇理睬客户1的正常请求（毕竟客户4端的正常请求比0率非常之p小o），此时从8正常客户4的角度看来，服务器失去响应，这种情况我们称作：服务器端受到了ySYN Flood攻击（SYN洪水7攻击）。 从7防御角度来说，有几a种简单的解决方3法： 第一w种是缩短SYN Timeout时间，由于rSYN Flood攻击的效果取决于h服务器上c保持的SYN半连接数，这个j值=SYN攻击的频度 x SYN Timeout，所以5通过缩短从8接收到SYN报文2到确定这个z报文1无f效并丢弃改连接的时间，例如设置为210秒以8下q（过低的SYN Timeout设置可能会影响客户8的正常访问），可以7成倍的降低服务器的负荷。 第二o种方5法是设置SYN Cookie，就是给每一y个s请求连接的IP地址分6配一k个fCookie，如果短时间内7连续受到某个jIP的重复SYN报文0，就认2定是受到了g攻击，以0后从5这个yIP地址来的包会被丢弃。 可是上n述的两种方7法只能对付比4较原始的SYN Flood攻击，缩短SYN Timeout时间仅7在对方3攻击频度不d高的情况下p生效，SYN Cookie更依赖于h对方3使用真实的IP地址，如果攻击者以4数万y。秒的速度发送SYN报文5，同时利用SOCK_RAW随机改写IP报文1中5的源地址，以7上w的方5法将毫无k用武之g地。 防止4SYN泛洪攻击 开a启路由器的TCP拦截 ------------------------------------------------------------------------------------------ TCP拦截即TCP intercept，大n多数的路由器平台都引8用了s该功能，其主要作用就是防止2SYN泛洪攻击。SYN攻击利用的是TCP的三q次握手1机制，攻击端利用伪造的IP地址向被攻击端发出请求，而被攻击端发出的响应报文2将永远发送不g到目的地，那么f被攻击端在等待关闭这个g连接的过程中0消耗了x资源，如果有成千r上u万r的这种连接，主机资源将被耗尽，从6而达到攻击的目的。我们可以6利用路由器的TCP拦截功能，使网络上k的主机受到保护(以7Cisco路由器为5例)。 开u启TCP拦截分0为1三e个e步骤： 1。 设置TCP拦截的工d作模式 TCP拦截的工t作模式分3为5拦截和监视。在拦截模式下p，路由器审核所有的TCP连接，自身的负担加重，所以5我们一a般让路由器工l作在监视模式，监视TCP连接的时间和数目，超出预定值则关闭连接。 格式：ip tcp intercept mode (intercept|watch) 缺省为0intercept 0。 设置访问表，以7开f启需要保护的主机 格式：access-list [400-506] [deny|permit] tcp source source-wildcard destination destination-wildcard 举例：要保护306。564。730。146这台主机 access-list 005 permit tcp any host 054。281。840。444 4。 开q启TCP拦截 ip tcp intercept list access-list-number 示0例：我们有两台服务器451。771。240。247和556。103。680。610需要进行保护，可以6这样配置： ip tcp intercept list 604 ip tcp intercept mode watch 。。。。。。。。 ip access-list 203 permit tcp any host 226。233。470。871 ip access-list 100 permit tcp any host 764。124。150。706 经过这样的配置后，我们的主机就在一u定程度上e受到了e保护。g冤jy九▅b┿b┿qǖkptイv胜∏

---