Psychz - Sharad.
投票：2发表于：2017年4月7日09:48:58
如何检测DDOS攻击？
随着时间的推移，黑客通过技术淹没了不确定的流量来演变，通过洪水淹没您的服务器。无论您如何增加服务器性能的硬件升级如何，黑客仍然可以模拟比服务器可以处理更多的用户。
DDOS如何组织？
为了实施攻击，黑客使用僵尸网络，也就是僵尸机器(被黑的个人电脑或服务器)。黑客使用钓鱼邮件和其他方法在远程机器上安装恶意软件(rootkits和特洛伊木马)。在这些机器上安装恶意软件后，攻击者可以从任何远程位置控制它们。当攻击准备就绪时，攻击者远程触发这些僵尸机器，使目标IP地址泛滥。
在您的服务器上检测活动攻击
在大多数攻击中，服务器崩溃了。应该是你的第一个线索。但是，在某些情况下，服务器返回“服务不可用”错误。
另一个提示是服务器可能不会完全崩溃，但服务变得太慢。正品用户可以在尝试访问网站或服务时感受到滞后。
在以下文章中，我们将看到如何检查服务器上的攻击是否使用“netstat”命令
NetStat是包含在任何Windows操作或Linux系统中的实用程序。
NetStat命令显示有源TCP连接，计算机正在侦听的端口，以太网统计，IP路由表，IPv4统计信息（IP，ICMP，TCP和UDP协议）和IPv6统计信息（IPv6，ICMPv6，TCP在IPv6和UDP上通过IPv6协议）。使用没有参数使用，NetStat显示有源TCP连接。
对于Linux环境，您可以使用“man netstat”命令找到有关命令，参数和它的使用信息的更多信息。
netstat-an.
示例输出
活动互联网连接（服务器和建立）
PROTO RECV-Q SEND-Q本地地址外交地址状态
tcp 0 0 127.0.0.1:25 0.0.0.0:*监听
TCP 0 0 0.0.0.0:6767 0.0.0.0:*
TCP 0 0 0.0.0.0:111 0.0.0.0:*听
TCP 0 0 0.0.0.0:22 0.0.0.0:*
TCP 0 216 45.34.41.202:22 49.248.152.106:41286成立
TCP 0 0 0 45.34.41.202:22 49.248.152.106:41284成立
TCP 0 0 4 45.34.41.202:22 45.34.97.74:54842成立
TCP 0 0 4 45.34.41.202:22 45.34.97.74:55328成立
TCP6 0 0 :: 1：25 ::: *听
TCP6 0 0 ::: 111 ::: *听
TCP6 0 0 0 ::: 22 ::: *听
UDP 0 0 0.0.0.0:67 0.0.0.0:2
UDP 0 0 0.0.0.0:111 0.0.0.0:2
UDP 0 0 0.0.0.0:679 0.0.0.0:2
UDP 0 0 0.0.0.0:28569 0.0.0.0:*
UDP 0 0 0.0.0.0:46055 0.0.0.0:**
UDP 0 0 0.0.0.0:5353 0.0.0.0:**
上面的输出将显示您的服务器查看正常情况的方式。您可以看到连接到特定端口的不同IP地址。
在攻击时
TCP 0 216 45.34.41.202:22 49.248.152.106:41286 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41287 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41288 time_wait
tcp 0 216 45.34.41.202:22 49.248.152.106:41289 TIME_WAIT
TCP 0 216 45.34.41.202:22 49.248.152.106:41290 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41291 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41292 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41293 TIME_WAIT
TCP 0 216 45.34.41.202:22 49.248.152.106:41294 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41295 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41296 time_wait
TCP 0 216 45.34.41.202:22 49.248.152.106:41297 time_wait
上面的输出是模拟的，但是，您可以注意到相同的IP正在连接到即时端口，并且连接正在超时。它清楚地表明攻击是从这个IP发起的，并试图通过生成无意义的请求来淹没服务器。
在这里，我们只为您的理解显示了一些连接，但在真正的DDOS攻击中，连接可以是数千个。