服务器被攻击怎么处理？

目前来说解决服务器被DDOS攻击最常见的办法就是使用硬件防火墙了，也就是我们常说的高防服务器，高防服务器都会带有一定量的硬防，或大或小。

1、定期扫描

要定期扫描现有的网络主节点，清查可能存在的安全漏洞，对新出现的漏洞及时进行清理。骨干节点的计算机因为具有较高的带宽，是黑客利用的最佳位置，因此对这些主机本身加强主机安全是非常重要的。而且连接到网络主节点的都是服务器级别的计算机，所以定期扫描漏洞就变得更加重要了。

2、在骨干节点配置防火墙

防火墙本身能抵御DdoS攻击和其他一些攻击。在发现受到攻击的时候，可以将攻击导向一些牺牲主机，这样可以保护真正的主机不被攻击。当然导向的这些牺牲主机可以选择不重要的，或者是linux以及unix等漏洞少和天生防范攻击优秀的系统。

3、用足够的机器承受黑客攻击

这是一种较为理想的应对策略。如果用户拥有足够的容量和足够的资源给黑客攻击，在它不断访问用户、夺取用户资源之时，自己的能量也在逐渐耗失，或许未等用户被攻死，黑客已无力支招儿了。不过此方法需要投入的资金比较多，平时大多数设备处于空闲状态，和目前中小企业网络实际运行情况不相符。

4、充分利用网络设备保护网络资源

所谓网络设备是指路由器、防火墙等负载均衡设备，它们可将网络有效地保护起来。当网络被攻击时最先死掉的是路由器，但其他机器没有死。死掉的路由器经重启后会恢复正常，而且启动起来还很快，没有什么损失。若其他服务器死掉，其中的数据会丢失，而且重启服务器又是一个漫长的过程。特别是一个公司使用了负载均衡设备，这样当一台路由器被攻击死机时，另一台将马上工作。从而最大程度的削减了DdoS的攻击。

5、过滤不必要的服务和端口

过滤不必要的服务和端口，即在路由器上过滤假IP……只开放服务端口成为目前很多服务器的流行做法，例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略。

6、检查访问者的来源

使用Unicast Reverse Path Forwarding等通过反向路由器查询的方法检查访问者的IP地址是否是真，如果是假的，它将予以屏蔽。许多黑客攻击常采用假IP地址方式迷惑用户，很难查出它来自何处。因此，利用Unicast Reverse Path Forwarding可减少假IP地址的出现，有助于提高网络安全性。

7、过滤所有RFC1918 IP地址

RFC1918 IP地址是内部网的IP地址，像10000、19216800 和1721600，它们不是某个网段的固定的IP地址，而是Internet内部保留的区域性IP地址，应该把它们过滤掉。此方法并不是过滤内部员工的访问，而是将攻击时伪造的大量虚假内部IP过滤，这样也可以减轻DdoS的攻击。

8、限制SYN/ICMP流量

用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽，这样，当出现大量的超过所限定的SYN/ICMP流量时，说明不是正常的网络访问，而是有黑客入侵。早期通过限制SYN/ICMP流量是最好的防范DOS的方法，虽然目前该方法对于DdoS效果不太明显了，不过仍然能够起到一定的作用。

　　最近随着业务的爆发，很多客户都遭到大大小小的ddos攻击和CC攻击，攻击手法的不断进化以及攻击工具的肆意传播，使得攻击成本的不断降低，互联网类业务遭受到的威胁也在不断攀升。本文主要结合锐速云多年网络安全运维经验以及对DDoS的基本理解，浅谈DDos攻击原理和基本防护思路。

　　DDoS攻击主要分为两大类：DDoS攻击和CC攻击

　　DDoS攻击主要是通过大流量来快速消耗用户网络带宽，造成网络堵塞服务器宕机，流量型DDoS又可分为直接型和反射型，直接型主要包括SYN\ACK\ICMP\UDPFLOOD等，反射型主要包括NTP\DNS\SSDP反射FLOOD等。

　　CC其实也是DDos攻击的一种，CC攻击是通过借助代理服务器模拟真实用户请求，实现DDOS和伪装，通过制造大量的后台数据库查询动作来攻击页面，消耗目标资源，造成服务器宕机。

　　DDos攻击防护思路

　　1本地DDos防护设备

　　一般大型企业都会在本地数据中心部署DDos防护设备，本地DDos防护设备一般分为DDos检测设备、清洗设备和管理中心，防护效果不错但成本非常高，一般中小型企业是承受不了。

　　2运营商清洗服务

　　当流量型攻击的攻击流量超出互联网链路带宽或本地DDos清洗设备性能不足以应对DDos流量攻击时，需要通过运营商清洗服务或借助运营商临时增加带宽来完成攻击流量的清洗，运营商通过各级DDos防护设备以清洗服务的方式帮助用户解决带宽消耗型的DDos攻击行为。

　　3云清洗服务

　　高防CDN是目前互联网企业最常用的防护方式，通过CNAME接入模式更加方便，只需要在域名解析服务商处修改一次解析配置即可生效，实现引流、清洗、回注，提升抗D能力。当某条线路的高防IP出现异常时，CNAME可以自动调度解析到其他可用的线路上去，避免原本解析到该线路的部分业务受到影响，保证业务的可用性。

　　CC攻击的防护思路

　　1部署架构

　　可将前端WAF或者负载均衡设备部署于HTTPS卸载器之后，从而实现对HTTPS流量的防护能力。

　　2使用IP地址信誉库

　　对请求IP地址进行甄别和过滤，阻止来自恶意IP的服务请求。

　　3轻应用部署

　　应用部署时考虑页面静态比例，尽量让网站静态化，减少不必要的动态查询等方式，同时应急情况下可以将动态页面临时替换为静态页面，减少后台请求数据库/应用服务器的次数。

　　4限制单IP连接数量

　　限制单IP连接数量，降低同一ip攻击者带来的危害和影响。

　　5降低连接超时时间

　　降低连接超时时间，及时释放系统资源应对TCP连接资源耗尽类型的CC攻击。

　　以上防护手段可以起到一定的防护作用。不过现在的黑客攻击方式越来越多样化，往往是DDoS+CC这种复合型攻击，靠单一的防DDOS或防CC是不够的。锐速云通过自主研发抗DDoS及CC攻击立体式防御系统，全面抵御任何类型的DDoS及CC类型攻击，最高可防御百W级QPS攻击及T级DDoS攻击峰值流量，保障服务器稳定运行。

ddos攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动攻击，从而成倍地提高拒绝服务攻击的威力。ddos的攻击方式有很多种，最基本的dos攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。

第一，宽带被占用，宽带占用资源，一般是ddos攻击中最重要的一个手段。毕竟对于中小型企业来讲，能够享受到的宽带资源还是很有限的。Ddos攻击之后，宽带资源被占据，正常的流量很难满足服务器运行需求。如果你的服务器宽带占用比率为百分之九十的话，很有可能是遭受到ddos攻击了。

第二，连接不到服务器，一旦网站被ddos攻击之时，是会造成电脑死机或者是蓝屏的。这就代表着你使用的电脑服务器连接不成功。服务器连接不成功或者是连接出现错误的话，服务器能不能出现故障等问题，在进行服务器连接的同时，做好相关防御。

第三，内存被大量占用，如何查看服务器是否被ddos攻击，这一点是最重要的。Ddos攻击本身就是在恶意导致资源被占用。攻击者们利用攻击软件，针对服务器发送大量的垃圾请求。最后导致服务器被大量的所占用。因为正常网站进程，不能得到有效的处理，而且还会出现缓慢打开情况。就会出现服务器内存被大量的占据。

防御ddos攻击的方法可以使用蔚可云的ddos云清洗功能

容易被ddos的服务器一般是私服，BC，钓鱼站等非法站也容易被ddos,建议使用高防服务器。

整体来说，防御DDoS攻击是一个系统化的工程，仅仅依靠某种操就实现全垒打很傻很天真。下面我从三个方面（网络设施、防御方案、预防手段）来分享几个防御DDoS攻击的方法

扩充带宽硬抗

使用硬件防火墙

选用高性能设备

CDN流量清洗

分布式集群防御

过滤不必要的服务和端口

限制特定的流量

DDOS攻击的目的有两个：一个是消耗网络带宽资源，二是消耗服务器系统资源。

因此在遇到DDOS攻击的典型现象就是，带宽资源被耗尽，或者服务器系统资源被占满。

在遇到DDOS攻击，用户需要判断攻击的方式，进而采取相应的措施。

但是，此时实际上已经给用户造成了影响了，因此建议用户使用专业的抗DDOS攻击，提前预防。

修改注册表防范DDos攻击：

Windows Registry Editor Version 500

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

'关闭无效网关的检查。当服务器设置了多个网关，这样在网络不通畅的时候系统会尝试连接

'第二个网关，通过关闭它可以优化网络。

"EnableDeadGWDetect"=dword:00000000

'禁止响应ICMP重定向报文。此类报文有可能用以攻击，所以系统应该拒绝接受ICMP重定向报文。

"EnableICMPRedirects"=dword:00000000

'不允许释放NETBIOS名。当攻击者发出查询服务器NETBIOS名的请求时，可以使服务器禁止响应。

'注意系统必须安装SP2以上

"NoNameReleaseOnDemand"=dword:00000001

'发送验证保持活动数据包。该选项决定TCP间隔多少时间来确定当前连接还处于连接状态，

'不设该值，则系统每隔2小时对TCP是否有闲置连接进行检查，这里设置时间为5分钟。

"KeepAliveTime"=dword:000493e0

'禁止进行最大包长度路径检测。该项值为1时，将自动检测出可以传输的数据包的大小，

'可以用来提高传输效率，如出现故障或安全起见，设项值为0，表示使用固定MTU值576bytes。

"EnablePMTUDiscovery"=dword:00000000

'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值

'设定的条件来触发启动了。这里需要注意的是，NT40必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002

'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

"TcpMaxHalfOpen"=dword:00000064

'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

"TcpMaxHalfOpenRetried"=dword:00000050

'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

'微软站点安全推荐为2。

"TcpMaxConnectResponseRetransmissions"=dword:00000001

'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

"TcpMaxDataRetransmissions"=dword:00000003

'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

"TCPMaxPortsExhausted"=dword:00000005

'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

'源路由包，微软站点安全推荐为2。

"DisableIPSourceRouting"=dword:0000002

'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

"TcpTimedWaitDelay"=dword:0000001e

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]

'增大NetBT的连接块增加幅度。缺省为3，范围1-20，数值越大在连接越多时提升性能。每个连接块消耗87个字节。

"BacklogIncrement"=dword:00000003

'最大NetBT的连接快的数目。范围1-40000，这里设置为1000，数值越大在连接越多时允许更多连接。

"MaxConnBackLog"=dword:000003e8

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]

'配置激活动态Backlog。对于网络繁忙或者易遭受SYN攻击的系统，建议设置为1，表示允许动态Backlog。

"EnableDynamicBacklog"=dword:00000001

'配置最小动态Backlog。默认项值为0，表示动态Backlog分配的自由连接的最小数目。当自由连接数目

'低于此数目时，将自动的分配自由连接。默认值为0，对于网络繁忙或者易遭受SYN攻击的系统，建议设置为20。

"MinimumDynamicBacklog"=dword:00000014

'最大动态Backlog。表示定义最大"准"连接的数目，主要看内存大小，理论每32M内存最大可以

'增加5000个，这里设为20000。

"MaximumDynamicBacklog"=dword:00002e20

'每次增加的自由连接数据。默认项值为5，表示定义每次增加的自由连接数目。对于网络繁忙或者易遭受SYN攻击

'的系统，建议设置为10。

"DynamicBacklogGrowthDelta"=dword:0000000a

====================================================

以上存为reg后即可直接导入

当然可以在里面相应的添加其他设置进行一次性修改注册表如:

'关闭445端口

"SMBDeviceEnabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\Parameters]

'禁止C$,D$一类的共享

"AutoShareServer"=dword:00000000

'禁止ADMIN$缺省共享

"AutoShareWks"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

'限制IPC$缺省共享

"restrictanonymous"=dword:00000000

DDOS攻击借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。

如果受到了DDoS攻击，一般有以下几种表现：

1、服务器连接不到，网站也打不开

如果网站服务器被大量DDoS攻击时，有可能会造成服务器蓝屏或者死机，这时就意味着服务器已经连接不上了，网站出现连接错误的情况。

2、服务器CPU被大量占用

DDoS攻击其实是一种恶意性的资源占用攻击，攻击者利用肉鸡或者攻击软件对目标服务器发送大量的无效请求，导致服务器的资源被大量的占用，因而正常的进程没有得到有效的处理，这样网站就会出现打开缓慢的情况。如果服务器某段时期能突然出现CPU占用率过高，那么就可能是网站受到CC攻击影响。

3、服务器带宽被大量占用

占用带宽资源通常是DDoS攻击的一个主要手段，毕竟对很多小型企业或者个人网站来说，带宽的资源可以说非常有限，网络的带宽被大量无效数据给占据时，正常流量数据请求很很难被服务器进行处理。如果服务器上行带宽占用率达到90%以上时，那么你的网站通常出现被DDoS攻击的可能。

4、域名ping不出IP

域名ping不出IP这种情况站长们可能会比较少考虑到，这其实也是DDoS攻击的一种表现，只是攻击着所针对的攻击目标是网站的DNS域名服务器。在出现这种攻击时，ping服务器的IP是正常联通的，但是网站就是不能正常打开，并且在ping域名时会出现无法正常ping通的情况。