DDoS là gì?

Tấn công từ chối dịch vụ phân tán ( DDoS – Distributed Denial Of Service) là một dạng tấn công nhằm gây cạn kiện tài nguyên hệ thống máy chủ và làm ngập lưu lượng băng thông Internet, khiến truy cập từ người dùng tới máy chủ bị ngắt quãng, truy cập chập chờn, thậm chí không thể truy cập được internet, làm tê liệt hệ thống. Hoặc thậm chí là cả một hệ thống mạng nội bộ.

Trong một cuộc tấn công, kẻ tấn công không chỉ sử dụng máy tính của mình mà còn lợi dụng hoặc sử dụng ( được cho phép ) các máy tính khác. Bằng việc lợi dụng các lổ hổng bảo mật hay sự thiếu hiểu biết của người dùng để kiểm soát các máy tính, sau đó sử dụng các máy tính đó để gửi dữ liệu hoặc các yêu cầu với số lượng lớn vào website hay gửi thư rác đến các địa chỉ email cụ thể.

Các kiểu tấn công DDOS phổ biến

Ở bài viết này Tenten sẽ hướng dẫn các bạn kiểm tra máy chủ khi có dấu hiệu bị DDoS. Quý khách có thể tham khảo hướng dẫn SSH tại đây.

– Đếm lượng connection vào Port 80:

netstat -n | grep :80 |wc -1

– Kiểm tra số lượng connection đang ở trạng thái SYN_RECV:

netstat -n | grep :80 | grep SYN_RECV|wc -l

– Hiển thị tất cả các IP đang kết nối và số lượng kết nối từ mỗi IP:

netstat -an|grep :80 |awk '{print $5}'|cut -d":" -f1|sort|uniq -c|sort -rn

– Nếu muốn kiểm tra IP nào mở nhiều SYN thì thêm vào:

netstat -an|grep :80|grep SYN |awk '{print $5}'|cut -d":" -f1|sort|uniq -c|sort -rn

– Đối với server có nhiều IP, để kiểm tra IP nào đang bị tấn công:

netstat -plan | grep :80 | awk '{print $4}'| cut -d: -f1 |sort |uniq -c

– Hiển thị tất cả các IP đang kết nối và số lượng kết nối từ mỗi IP:

netstat -an | grep ':80' | awk '{print $5}' | sed s/'::ffff:'// | cut -d":" -f1 | sort | uniq -c

– Hiển thị số lượng kết nối mỗi loại:

netstat -an | grep :80 | awk '{print $6}' | sort | uniq -c

61 ESTABLISHED
 13 FIN_WAIT1
 17 FIN_WAIT2
 1 LISTEN
 25 SYN_RECV
 298 TIME_WAIT

– Hiển thị tất cả các IP đang kết nối và số lượng kết nối từ mỗi IP:

watch "netstat -an | grep ':80' | awk '{print \$5}' | sed s/'::ffff:'// | cut -d\":\" -f1 | sort | uniq -c"

watch "netstat -an | grep :80 | awk '{print \$6}' | sort | uniq -c"