下 DDoS 攻击与防御：从原理到实践 _DDoS

前言
最近整理了一些奇安信&华为&深信服大佬的课件资料+大厂面试课题，想要的可以私信自取，无偿赠送给粉丝朋友~

文章插图

DDoS 攻击与防护实践DDoS 攻击的实现方式主要有如下两种：
自建 DDoS 平台现在有开源的 DDoS 平台源代码，只要有足够机器和带宽资源，随时都能部署一套极具杀伤力的 DDoS 平台，如下图的第三种方案

文章插图

发包工具下面提供一款常用 DDoS 客户端的发包代码，可以看到攻击方式非常丰富，ip、端口、tcp flag、包大小都是自定义的。
def func():
os.system(“./txDDoS -a “+type+” -d “+ip+” -y “+port+” -f 0x10 -s 10.10.10.10 -l 1300″)
if __name__ == “__main__”:
pool = multiprocessing.Pool(processes=int(nbproc))
for i in xrange(int(nbproc)):
pool.Apply_async(func)
pool.close()
pool.join()
讲完了 DDoS 攻击的实现方式，下面介绍如何从 iptables、应用自身和高性能代理等角度去防御 DDoS 攻击
iptables 防护sysctl -w net.ipv4.ip_forward=1 &>/dev/null
#打开转发
sysctl -w net.ipv4.tcp_syncookies=1 &>/dev/null
#打开 syncookie （轻量级预防 DOS 攻击）
sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=3800 &>/dev/null
#设置默认 TCP 连接最大时长为 3800 秒（此选项可以大大降低连接数）
sysctl -w net.ipv4.ip_conntrack_max=300000 &>/dev/n
#设置支持最大连接树为 30W（这个根据你的内存和 iptables 版本来，每个 connection 需要 300 多个字节）
iptables -N syn-flood
iptables -A INPUT -p tcp –syn -j syn-flood
iptables -I syn-flood -p tcp -m limit –limit 3/s –limit-burst 6 -j RETURN
iptables -A syn-flood -j REJECT
#防止SYN攻击轻量级预防
iptables -A INPUT -i eth0 -p tcp –syn -m connlimit –connlimit-above 15 -j DROP
iptables -A INPUT -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT
#防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃
应用自身防护以 Nginx 为例，限制单个 ip 请求频率。
http {
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; //触发条件，所有访问ip 限制每秒10个请求
server {
location ~ .php$ {
limit_req zone=one burst=5 nodelay; //执行的动作,通过zone名字对应 }
}
location /download/ {
limit_conn addr 1; // 限制同一时间内1个连接，超出的连接返回503
}
}
}
高性能代理
Haproxy+keepalived
1. Haproxy 配置
前端：
frontend http
bind 10.0.0.20:80
acl anti_DDoS always_true
#白名单
acl whiteip src -f /usr/local/haproxy/etc/whiteip.lst
#标记非法用户
stick-table type ip size 20k expire 2m store gpc0
tcp-request connection track-sc1 src
tcp-request inspect-delay 5s
#拒绝非法用户建立连接
tcp-request connection reject if anti_DDoS { src_get_gpc0 gt 0 }
后端：
backend xxx.xxx.cn
mode http
option forwardfor
option httplog
balance roundrobin
cookie SERVERID insert indirect
option httpchk GET /KeepAlive.ashx HTTP/1.1rnHost: server.1card1.cn
acl anti_DDoS always_false
#白名单
acl whiteip src -f /usr/local/haproxy/etc/whiteip.lst
#存储client10秒内的会话速率
stick-table type ip size 20k expire 2m store http_req_rate(10s),bytes_out_rate(10s)
tcp-request content track-sc2 src
#十秒内会话速率超过50个则可疑
acl conn_rate_limit src_http_req_rate(server.1card1.cn) gt 80
#判断http请求中是否存在SERVERID的cookie
acl cookie_present cook(SERVERID) -m found
#标记为非法用户
acl mark_as_abuser sc1_inc_gpc0 gt 0
tcp-request content reject if anti_DDoS !whiteip conn_rate_limit mark_as_abuser
2. keepalived 配置
global_defs {
router_id {{ server_id }}
}
vrrp_script chk_haproxy{
script “/home/proxy/keepalived/{{ project }}/check_haproxy_{{ server_id }}.sh”
interval 2
weight -10
}
vrrp_instance VI_1 {
state {{ role }}
interface {{ interface }}
virtual_router_id 10{{ tag }}
priority {{ value }}
advert_int 1
authentication {
auth_type PASS
auth_pass keepalived_DDoS
track_script {
chk_haproxy
}
}
virtual_ipaddress {
{{ vip }}/24 dev {{ interface }} label {{ interface }}:{{ tag }}