Technology sharing

한어Русский языкEnglishFrançaisIndonesianSanskrit日本語DeutschPortuguêsΕλληνικάespañolItalianoSuomalainenLatina

Principium conventional impetum flumen

1. Cum TCP secunda handshake semi-connexionem constituit, inundatio oppugnationis hoc tempore erigi potest
2. Hoc est, numerus petitionum TCP nexus inchoabit. In secunda handshake, server has petitiones in semi-connexionem mittet queue. Dimittis, ministra dum timeout exspectabit. Hoc tempore, semi-connexio queue implebitur, et necessitudinum consuetudinum responderi non possunt.

Quomodo solvere impetus diluvii in generali?

1. Cum syncookies modus in se vertitur, minister computabit valorem detrahendum (SHA1) innixum (fons inscriptionis, principii portus, destinationis inscriptionis, destinationis portus, etc.) et numerum temere in prima handshake, deinde secundum handshake Hoc syncookies generatae ad clientem utentur. Cum client tertiae handshake confirmat, syncookies mittet servo constitutum est.
2. Commodum accessus huius: Cum servo non recipiat vel syncokias receptas non congruit, nexus TCP constituendus non erit. Et cum per syncookies usus est, ministrans queue semi-connexionem non servabit, id est, nulla semi-connexio status est. repleti et novas hospites recipere non valentes.

Missiones syncookies non solve

1. Cum numerus impetus DDOS emissus est, methodus syncookiae paralysin etiam erit. Quia syncookies computandi etiam perficiendi CPU consumit, CPU ingentem copiam DDOS tractare non possunt. Hoc tempore, unica optio bandam auget et cappam duram conformat.

Aliae solutiones

1. Adauge semi-connexionem queue et plenam connexionem queue (hoc modo est basically inefficax ad impetus massive)
2. Numerum SYN+ACK retransmissionum reducere (TCP retransmissionibus stabili connexionem conservare nititur), hoc est, cum inundationem impetum ex multis petitionum synaxis accipit, minister recurrere perget si responsionem recipere non potest donec maximum pluries

Quomodo inspicias utrum oppugnatus a diluvio?

1. 先进行流量查看:
sar -n DEV 1 -h

然后只看eth0即可-->用rxkb/s 和 rxpck/s 这两列相除-->如果得出的包就50-60几字节，
那就说明是小包搞鬼，有可能遭受洪水攻击了，一般来说最大MTU = 1460

2. 如果发现是小包搞鬼，那就再进行网络抓包, 输入如下命令
tcpdump -i eth0 -n tcp port 80

3. 看有多少个[S], 这个表示发起TCP请求阶段，如果[S]过多，那就说明是洪水攻击，这是洪水攻击的特征


4. 进一步确认是洪水攻击，查询半连接的池子大小，以及当前半连接数量
半连接总大小: cat /proc/sys/net/ipv4/tcp_max_syn_backlog
当前半连接数: ss -s 或 netstat -n -p | grep SYN_RECV | wc -1



[S]: SYN，开始连接
[P]: PSH， 推送数据
[F]: FIN， 结束连接
[R]: RST, 重置连接
[.]: 没有Flag，可能是ACK 也可能是URG

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24