一、什麼是DoS攻擊
DoS是Denial of Service的簡稱，即拒絕服務，造成DoS的攻擊行為被稱為DoS攻擊，其目的是使計算機或網絡無法提供正常的服務。最常見的DoS攻擊有計算機網絡帶寬攻擊和連通性攻擊。帶寬攻擊指以極大的通信量沖擊網絡，使得所有可用網絡資源都被消耗殆盡，最後導緻合法的使用者請求就無法通過。連通性攻擊指用大量的連接配接請求沖擊計算機，使得所有可用的作業系統資源都被消耗殆盡，最終計算機無法再處理合法使用者的請求。
二、什麼是DDoS攻擊
分布式拒絕服務(DDoS:Distributed Denial of Service)攻擊指借助于客戶/伺服器技術，将多個計算機聯合起來作為攻擊平台，對一個或多個目标發動DoS攻擊，進而成倍地提高拒絕服務攻擊的威力。通常，攻擊者使用一個偷竊帳号将DDoS主要程式安裝在一個計算機上，在一個設定的時間主要程式将與大量代理程式通訊，代理程式已經被安裝在Internet上的許多計算機上。代理程式收到指令時就發動攻擊。利用客戶/伺服器技術，主要程式能在幾秒鐘内激活成百上千次代理程式的運作。
三、被DDoS攻擊時的現象
1、被攻擊主機上有大量等待的TCP連接配接
2、網絡中充斥着大量的無用的資料包，源位址為假
3、制造高流量無用資料，造成網絡擁塞，使受害主機無法正常和外界通訊
4、利用受害主機提供的服務或傳輸協定上的缺陷，反複高速的發出特定的服務請求，使受害主機無法及時處理所有正常請求
5、嚴重時會造成系統當機
四、通過sysctl和iptables來防止DDoS攻擊
1、修改sysctl參數
# sysctl -a | grep ipv4 | grep syn
net.ipv4.tcp_syn_retries = 5
net.ipv4.tcp_synack_retries = 5
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 128
參數說明：
net.ipv4.tcp_syncookies:是否打開SYN COOKIES的功能，“1”為打開，“2”關閉。
net.ipv4.tcp_max_syn_backlog:SYN隊列的長度，加大隊列長度可以容納更多等待連接配接的網絡連接配接數。
net.ipv4.tcp_synack_retries和net.ipv4.tcp_syn_retries:定義SYN重試次數。
把如下加入到/etc/sysctl.conf即可，之後執行“sysctl -p”！
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 2
提高TCP連接配接能力
net.ipv4.tcp_rmem = 32768
net.ipv4.tcp_wmem = 32768
net.ipv4.sack=0
2、使用iptables
指令：
# netstat -an | grep ":80" | grep ESTABLISHED
來檢視哪些IP可疑～比如：192.168.1.162這個ip連接配接較多，并很可疑，并不希望它再次與192.168.1.162有連接配接。可使用指令：
iptables -A INPUT -s 192.168.1.162 -p tcp -j DROP
将來自192.168.1.162的包丢棄。
對于僞造源IP位址的SYN FLOOD攻擊。該方法無效
其他參考
防止同步包洪水（Sync Flood）
# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
也有人寫作
# iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
--limit 1/s 限制syn并發數每秒1次，可以根據自己的需要修改防止各種端口掃描
# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit
1/s -j ACCEPT
Ping洪水攻擊（Ping of Death）
# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j
ACCEPT
五、使用DDoS deflate自動屏蔽攻擊ip
DDoS deflate是一款免費的用來防禦和減輕DDoS攻擊的腳本。它通過netstat監測跟蹤建立大量網絡連接配接的IP位址，在檢測到某個結點超過預設的限
制時，該程式會通過APF或IPTABLES禁止或阻擋這些IP。
DDoS deflate官方網站：http://deflate.medialayer.com/
如何确認是否受到DDOS攻擊？
執行：
# netstat -ntu | awk \'{print $5}\' | cut -d: -f4 | sort | uniq -c | sort -n
執行結果：
1 Address
1 servers)
2
1000 192.168.1.162
在這裡本人使用apache的ab指令做的并發測試：
# ab -n 1000 -c 10 http://192.168.1.155/index.html
每個IP幾個、十幾個或幾十個連接配接數都還算比較正常，如果像上面成百上千肯定就不正常了。
1、安裝DDoS deflate
wget http://www.inetbase.com/scripts/ddos/install.sh
chmod 0700 install.sh
./install.sh
2、配置DDoS deflate下面是DDoS deflate的預設配置位于/usr/local/ddos/ddos.conf ，内容如下：
##### Paths of the script and other files
PROGDIR="/usr/local/ddos"
PROG="/usr/local/ddos/ddos.sh"
IGNORE_IP_LIST="/usr/local/ddos/ignore.ip.list" //IP位址白名單
CRON="/etc/cron.d/ddos.cron" //定時執行程式
APF="/etc/apf/apf"
IPT="/sbin/iptables"
##### frequency in minutes for running the script
##### Caution: Every time this setting is changed, run the script with --cron
##### option
so that the new frequency takes effect
FREQ=1 //檢查時間間隔，預設1分鐘
##### How many connections define a bad IP? Indicate that below.
NO_OF_CONNECTIONS=150 //最大連接配接數，超過這個數IP就會被屏蔽，一般預設即可
##### APF_BAN=1 (Make sure your APF version is atleast 0.96)
##### APF_BAN=0 (Uses iptables for banning ips instead of APF)
APF_BAN=1 //使用APF還是iptables。推薦使用iptables,将APF_BAN的值改為0即可。
##### KILL=0 (Bad IPs are\'nt banned, good for interactive execution of script)
##### KILL=1 (Recommended setting)
KILL=1 //是否屏蔽IP，預設即可
##### An email is sent to the following address when an IP is banned.
##### Blank would suppress sending of mails
EMAIL_TO="root" //當IP被屏蔽時給指定郵箱發送郵件，推薦使用，換成自己的郵箱即可
##### Number of seconds the banned ip should remain in blacklist.
BAN_PERIOD=600 //禁用IP時間，預設600秒，可根據情況調整
3、選項
/usr/local/ddos/ddos.sh -h //檢視選項
/usr/local/ddos/ddos.sh -k n //殺掉連接配接數大于n的連接配接。n預設為配置檔案的NO_OF_CONNECTIONS
/usr/local/ddos/ddos.sh -c //按照配置檔案建立一個執行計劃
4、定時執行，每分鐘執行一次
# vim /etc/cron.d/ddos.cron
SHELL=/bin/sh
0-59/1 * * * * root /usr/local/ddos/ddos.sh
>/dev/null 2>&1
5、解除安裝
wget http://www.inetbase.com/scripts/ddos/uninstall.ddos
chmod 0700 uninstall.ddos
./uninstall.ddos
六、如果伺服器是nginx的話，可做如下操作，來防止DDoS攻擊
1、打開nginx通路日志
log_format access \'$remote_addr -
$remote_user [$time_local] "$request" \'
\'$status $body_bytes_sent "$http_referer" \'
\'"$http_user_agent" $http_x_forwarded_for\'; #設定日志格式
#access_log /dev/null;
access_log /usr/local/nginx/logs/access.log
access;
2、觀察nginx日志
more /usr/local/nginx/logs/access.log
檢視哪些ip重複很嚴重。
（1）agent的特征
比如：MSIE 5.01
配置nginx
location /{
if ( $http_user_agent ~* "MSIE 5.01" ) {
#proxy_pass http://www.google.com;
return 500;
#access_log /home/logs/1.log main;
}
}
将ip加入iptable内
iptables -A INPUT -s 202.195.62.113 -j DROP
我發現的 攻擊時代理+ddos
搜尋ip均為代理位址。日志最後一部分為真實ip（重複很多）。
如何檢視user_agent
在位址欄輸入:
javascript:alert(navigator.userAgent)
回車就會彈出目前使用的浏覽器的useragent.
ps:ie和firefox的user—agent
"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)" ( ie6.0)
Mozilla/4.0 (compatible; MSIE 8.0; ; Trident/4.0; .NET CLR 2.0.50727;
CIBA) (ie8.0)
Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.9.2.12) Gecko/20101026
Firefox/3.6.12
注意:都含有Windows NT 5.1。
"Mozilla/4.0 (compatible; MSIE 6.0; Windows 5.1)"(這個應該就是攻擊者使用user_agent).
參考文章：http://czmmiao.iteye.com/blog/1616837