如何抓包分析报文防护 DDoS 攻击
1、使用 ip verfy unicast reverse-path 网络接口命令 这个功能检查每一个经过路由器的数据包。在路由器的CEF（Cisco Express Forwarding）表该数据包所到达网络接口的所有路由项中，如果没有该数据包源IP地址的路由，路由器将丢弃该数据包。例如，路由器接收到一个源IP地址为1.2.3.4的数据包，如果CEF路由表中没有为IP地址1.2.3.4提供任何路由（即反向数据包传输时所需的路由），则路由器会丢弃它。 单一地址反向传输路径转发（Unicast Reverse Path Forwarding）在ISP（局端）实现阻止SMURF攻击和其它基于IP地址伪装的攻击。这能够保护网络和客户免受来自互联网其它地方的侵扰。使用Unicast RPF需要打开路由器的"CEF swithing"或"CEF distributed switching"选项。不需要将输入接口配置为CEF交换（switching）。只要该路由器打开了CEF功能，所有独立的网络接口都可以配置为其它交换（switching）模式。RPF（反向传输路径转发）属于在一个网络接口或子接口上激活的输入端功能，处理路由器接收的数据包。 在路由器上打开CEF功能是非常重要的，因为RPF必须依靠CEF。Unicast RPF包含在支持CEF的Cisco IOS 12.0及以上版本中，但不支持Cisco IOS 11.2或11.3版本。 2、使用访问控制列表（ACL）过滤RFC 1918中列出的所有地址 参考以下例子： interface xy ip access-group 101 in access-list 101 deny ip 10.0.0.0 0.255.255.255 any access-list 101 deny ip 192.168.0.0 0.0.255.255 any access-list 101 deny ip 172.16.0.0 0.15.255.255 any access-list 101 permit ip any any 3、参照RFC 2267，使用访问控制列表（ACL）过滤进出报文 参考以下例子： {ISP中心} -- ISP端边界路由器 -- 客户端边界路由器 -- {客户端网络} ISP端边界路由器应该只接受源地址属于客户端网络的通信，而客户端网络则应该只接受源地址未被客户端网络过滤的通信。以下是ISP端边界路由器的访问控制列表（ACL）例子： access-list 190 permit ip {客户端网络} {客户端网络掩码} any access-list 190 deny ip any any [log] interface {内部网络接口} {网络接口号} ip access-group 190 in 以下是客户端边界路由器的ACL例子： access-list 187 deny ip {客户端网络} {客户端网络掩码} any access-list 187 permit ip any any access-list 188 permit ip {客户端网络} {客户端网络掩码} any access-list 188 deny ip any any interface {外部网络接口} {网络接口号} ip access-group 187 in ip access-group 188 out 如果打开了CEF功能，通过使用单一地址反向路径转发（Unicast RPF），能够充分地缩短访问控制列表（ACL）的长度以提高路由器性能。为了支持Unicast RPF，只需在路由器完全打开CEF；打开这个功能的网络接口并不需要是CEF交换接口。 4、使用CAR（Control Access Rate）限制ICMP数据包流量速率 参考以下例子： interface xy rate-limit output access-group 2020 3000000 512000 786000 conform-action transmit exceed-action drop access-list 2020 permit icmp any any echo-reply 请参阅IOS Essential Features 获取更详细资料。
如何通过wireshark 狙击ddos攻击
我这里理解你的cap包指的就是wireshark抓到的数据包，以后简称数据包。以此回答问题如下： 1、如何分析数据包这个问题要看你分析的是什么协议的包，不同的目的对应不同的分析方法，但是有一些是基础的，他们是通用的。 2、在用wireshark打开数据包后，默认界面一般分为上中下三部分，上面是数据包的列表集合，每一行代表一个交互消息。如果选中其中一条，则会在中间那一部分这一条的详细内容，分析主要就看这一部分。最下面的是原始消息的二进制表达法，我一般都不看，不分析，直接忽略的。 3、分析数据包先要有个基本的概念，就是OSI的7层数据模型，从低往高依次：物理层，数据链路层，网络层，传输层，（会话层，表示层），应用层。wireshark解析过的消息也是按照这个顺序展示的。不过具体应用时，会话层和表示层基本都不用，大多数都直接过渡到应用层，有的甚至没有应用层，没有传输层，网络层等，但是物理层和数据链路层一般都是有的。 4、MAC地址是数据链路层，也就是第二层的概念，如果要看他的信息，就需要在第二层找，也就是你上图图中间那部分，可以看到有2行，第一行是物理层信息，第二行就是数据链路层，MAC地址信息就在第二层查找，每一层都可以双击打开，查看更详细的信息。 5、IP地址是网络层，也就是第三层的概念，如果你的网卡根本就没获取到IP地址，那么你抓的数据包中是不可能有这些信息的。就像你图中展示的一样，根本就没有三层的信息，说明你网卡根本就没获取到IP地址，所以，不可能有IP地址信息。 6、我给你截了个相对完整的截图，如下：先看图的上半部分，可以看到我选择的是一条DNS查询消息（灰色部分为选中的交互消息），再看该消息的详细部分，也就是图的下半部分，从图中可以看出共五条（行），分别对应OSI模型中的物理层，数据链路层（MAC地址所在层），网络层（IP地址所在层），传输层（确定是通过UDP传输还是TCP传输），和应用层（确定应用协议，在这里应用协议是DNS协议）。 7、不知道回答是不是你想要的，如果我理解有偏差可以追问。希望以上信息对你有用。
企业网络遇到危险的时候，如何用DDoS防御？
首先确定危险是否是DOS攻击，现在市场上有不同类型的安全产品来保护内网和外网安全。
而防御DDOS攻击普遍做法有几种，
1、采用高性能网络设备，保证路由器、防火墙、交换机等网络设备的性能，当发生DDoS攻击的时候，用足够性能的机器、容量去承受攻击，充分利用网络设备保护网络资源是十分有效的应对策略。
2、保证服务器系统的安全，首先要确保服务器软件没有任何漏洞，防止攻击者入侵。确保服务器采用最新系统，并打上安全补丁。在服务器上删除未使用的服务，关闭未使用的端口。对于服务器上运行的网站，确保其打了最新的补丁，没有安全漏洞。
3、充足的网络带宽保证
网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗现在的SYNFlood攻击，当前至少要选择100M的共享带宽，但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的，若把它接在100M的交换机上，它的实际带宽不会超过100M
ddos攻击在ubuntu上怎么实行
关于FastNetMon这是一个基于多种抓包引擎（NetFlow, IPFIX, sFLOW, netmap, PF_RING, PCAP）的DoS/DDoS攻击高效分析工具，可以探测和分析网络中的异常流量情况，同时可以通过外部脚本通知或阻断攻击。特性可处理入/出口流量如果发现某个IP发出异常流量，可触发封禁脚本可通过ExaBGP将封禁IP通知BGP路由器可在1-2秒内发现DoS/DDoS支持插件测试最高支持10GE、5-6Mpps（Inteli72600IntelNic82599）平台Linux (Debian 6/7/8, CentOS 6/7, Ubuntu 12+)FreeBSD 9, 10, 11Mac OS X Yosemite 示例400 kpps下，在Intel i7 2600和Intel X540/82599 NI下的cpu load：
DDoS攻击
• 分布式拒绝服务（DDoS：Distributed Denial of Service Attack）攻击是通过大规模互联网流量淹没目标服务器或其周边基础设施，以破坏目标服务器、服务或网络正常流量的恶意行为
• DDoS 攻击利用多台受损计算机系统作为攻击流量来源以达到攻击效果。利用的机器可以包括计算机，也可以包括其他联网资源（如 IoT 设备）
• 攻击者利用受控主机发送大量的网络数据包，占满攻击目标的带宽，使得正常请求无法达到及时有效的响应
• DNS 响应的数据包比查询的数据包大，攻击者发送的DNS查询数据包大小一般为 60 字节左右，而查询返回的数据包的大小通常在3000字节以上，因此放大倍数能达到50倍以上，放大效果惊人
• 主要通过对系统维护的连接资源进行消耗，使其无法正常连接，以达到拒绝服务的目的，此类攻击主要是因为TCP 安全性设计缺陷引起的
• 目标计算机响应每个连接请求，然后等待握手中的最后一步，但这一步确永远不会发生，因此在此过程中耗尽目标的资源
• 消耗应用资源攻击通过向应用提交大量消耗资源的请求，以达到拒绝服务的目的
• 这种类型的攻击较简单的实现可以使用相同范围的攻击 IP 地址、referrer 和用户代理访问一个 URL；复杂版本可能使用大量攻击性 IP 地址，并使用随机 referrer 和用户代理来针对随机网址
• LOTC是一个最受欢迎的DOS攻击工具。 这个工具曾经被流行的黑客集团匿名者用于对许多大公司的网络攻击
• 它可以通过使用单个用户执行 DOS 攻击小型服务器，工具非常易于使用，即便你是一个初学者。 这个工具执行DOS攻击通过发送UDP，TCP或HTTP请求到受害者服务器。你只需要知道服务器的IP地址或URL，其他的就交给这个工具吧
• XOIC是另一个不错的DOS攻击工具。它根据用户选择的端口与协议执行DOS攻击任何服务器。XOIC开发者还声称XOIC比LOIC在很多方面更强大
• 一般来说,该工具有三种攻击模式,第一个被称为测试模式，是非常基本的； 第二个是正常的DOS攻击模式； 最后一个是带有HTTP / TCP / UDP / ICMP消息的DOS攻击模式
• 对付小型网站来说，这是一个很有效的DDOS工具, 但是从来没有尝试的要小心点，你可能最终会撞自己的网站的服务器
• HULK是另一个不错的DOS攻击工具，这个工具使用某些其他技术来避免通过攻击来检测,它有一个已知的用户代理列表，且使用的是随机请求
• 输入 URL ，点击 Lock on，设置 Method 模式（比如 HTTP)，设置速度等其他参数
• 点击 IMMA CHARING MAH LAZER ,开始攻击
• 打开被攻击的站点，发现此时已经打不开
1、查看流量设备，发现攻击者使用僵尸网络在某时间段内发起了DDoS攻击
2、进一步对网络数据包进行抓包分析，发现攻击者使用 HTTP 请求功能向服务器发起多次请求，服务器返回多个响应文件，造成网络负载过高
3、对服务器访问日志进行排查
1、配置防火墙策略，屏蔽异常访问的IP地址
2、调整防护设备策略，在不影响业务的情况下限制 HTTP Range 形式访问
3、如果流量远远超出出口带宽，建议联系运营商进行流量清洗
1、攻击前的防御阶段
2、攻击时的缓解阶段
3、攻击后的追溯总结阶段
• 尽量避免将非业务必需的端口暴露在公网上，避免与业务无关的请求和访问
• 对服务器进行安全加固，包括操作系统即服务软件，减少可能被攻击的点
• 优化网络架构，保证系统的弹性和冗余，防止单点故障发生
• 对服务器性能进行测试，评估正常业务下能承受的带宽，保证带宽有余量
• 对现有架构进行压力测试，评估当前业务吞吐处理能力
• 使用全流量监控设备（如天眼）对全网中存在的威胁进行监控分析，实时关注告警
• 根据当前技术架构、人员、历史攻击情况等，完善应急响应技术预案
DDOS攻击服务结构是什么样的
比如，一个局域网环境，只有一台攻击机（PIII667/128/mandrake），被攻击的是一台Solaris 8.0 (spark)的主机，网络设备是Cisco的百兆交换机。这是在攻击并未进行之前，在Solaris上进行snoop的记录，snoop与tcpdump等网络监听工具一样，也是一个很好的网络抓包与分析的工具。可以看到攻击之前，目标主机上接到的基本上都是一些普通的网络包。
0条大神的评论