使用 netstat 检测 DDOS 攻击

Question

我有一台服务器，今天我的服务器负载超过 20，我发现一个命令可以检测到服务器的活动连接以进行 DDOS 检测并拒绝 IP。

netstat -anp | grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

此命令的结果是：

  1 109.162.158.160
  1 109.162.192.55
  1 127.0.0.1
  1 206.217.193.220
  1 91.99.170.69
  2 66.197.219.236
  5 213.152.172.169
 32 0.0.0.0
583 

没有IP的583连接，我该如何解决这个问题？服务器负载超过 20

tnx 为您提供帮助。

Answer 1

它可能不是具有那么小的连接 IP 级别的 dDOS 攻击。

最后一行表示netstat -anp没有实际定义的外部地址的输出。如果端口尚未建立，则端口号显示为星号 (*) - 可能是 UDP 端口。

有很多方便的单行 netstat 命令来评估连接

按状态显示连接数

netstat -nat | awk '{print $6}' | sort | uniq -c | sort -n

显示所有连接的 IP

netstat -nat | awk '{ print $5}' | cut -d: -f1 | sed -e '/^$/d' | uniq

显示每个 IP 的连接数

netstat -atun | awk '{print $5}' | cut -d: -f1 | sed -e '/^$/d' |sort | uniq -c | sort -n

引用自Cyber​​citi