作者總結(jié)了關(guān)于在CC腳本攻擊的一些問題及防CC腳本攻擊的一些解決方案,有需要的朋友可參考一下.

1,登錄進(jìn)VPS控制面板,準(zhǔn)備好隨時重啟VPS.

2,關(guān)閉Web Server先,過高的負(fù)載會導(dǎo)致后面的操作很難進(jìn)行,甚至直接無法登錄SSH.

3,以防萬一,把設(shè)置的Web Server系統(tǒng)啟動后自動運(yùn)行去掉.

如果已經(jīng)無法登錄進(jìn)系統(tǒng),并且重啟后負(fù)載過高導(dǎo)致剛剛開機(jī)就已經(jīng)無法登錄,可聯(lián)系管理員在母機(jī)上封掉VPS的IP或80端口,在母機(jī)上用虛擬控制臺登錄進(jìn)系統(tǒng),然后進(jìn)行2&3的操作,之后解封.

找出攻擊者IP

1,在網(wǎng)站根目錄建立文件ip.php,寫入下面的內(nèi)容,代碼如下:

1. <?php
2. $real_ip = getenv('HTTP_X_FORWARDED_FOR');
3. if(isset($real_ip)){
4.         shell_exec("echo $real_ip >> real_ip.txt");
5.         shell_exec("echo $_SERVER['REMOTE_ADDR'] >> proxy.txt");
6. }else{
7.         shell_exec("echo $_SERVER['REMOTE_ADDR'] >> ips.txt");
8. }
9. echo '服務(wù)器受到攻擊，正在收集攻擊源，請在5分鐘后訪問本站，5分鐘內(nèi)多次訪問本站有可能會被當(dāng)作攻擊源封掉IP。謝謝合作！';  
10. //開源代碼Vevb.com 
11. ?> 

2,設(shè)置偽靜態(tài),將網(wǎng)站下的所有訪問都rewrite到ip.php.

Nginx規(guī)則,代碼如下:rewrite (.*) /ip.php; 

Lighttpd規(guī)則,代碼如下:

1. url.rewrite = (  
2.  
3. "^/(.+)/?$" => "/ip.php" 
4.  
5. ) 

3,啟動Web Server開始收集IP

進(jìn)行完1和2的設(shè)置后,啟動Web Server,開始記錄IP信息,收集時間建議為3到5分鐘,然后再次關(guān)閉Web Server.

real_ip.txt,這個文件中保存的IP有80%以上都相同的,這個IP就是攻擊者實施攻擊的平臺的IP.

proxy.txt,這個文件中保存的是攻擊者調(diào)用的代理服務(wù)器的IP,需要封掉.

ips.txt,這里記錄的是未表現(xiàn)出代理服務(wù)器特征的IP,根據(jù)訪問次數(shù)判斷是否為攻擊源.

對上一段的補(bǔ)充

如果VPS上啟用了WEB日志,可以查看日志文件的增長速度來判斷是哪個站點被攻擊,如果沒有啟用日志,并且站點數(shù)量很少,臨時啟用日志也很方便.

如果沒有啟用日志,并且站點數(shù)量過多,可以使用臨時的Web Server配置文件,不綁定虛擬主機(jī),設(shè)置一個默認(rèn)的站點,然后在ip.php里加入下面一行代碼:

shell_exec("echo $_SERVER['HTTP_HOST'] >> domain.txt"); 

domain.txt里將保存被訪問過的域名,被CC攻擊的站點將在里面占絕大多數(shù).

開始封堵IP,建立文件ban.php,代碼如下:

1. <?php  
2.  
3. $threshold = 10;  
4.  
5. $ips = array_count_values(file('ips.txt'));  
6.  
7. $ban_num = 0;  
8.  
9. foreach($ips as $ip=>$num){  
10.  
11.     if($num > $threshold){  
12.  
13.                 $ip = trim($ip);  
14.  
15.                 $cmd = "iptables -I INPUT -p tcp --dport 80 -s $ip -j DROP";  
16.  
17.         shell_exec($cmd);  
18.  
19.         echo "$ip baned!n";  
20.  
21.         $ban_num ++;  
22.  
23.         }  
24.  
25. }  
26.  
27. $proxy_arr = array_unique(file('proxy.txt'));  
28.  
29. foreach($proxy_arr as $proxy){  
30.  
31.     proxy = trim($proxy);  
32.  
33.     $cmd = "iptables -I INPUT -p tcp --dport 80 -s $proxy -j DROP";  
34.  
35.     shell_exec($cmd);  
36.  
37.     echo "$proxy baned!n";  
38.  
39.     $ban_num ++;  
40.  
41. }  
42.  
43. echo "total: $ban_num ipsn";  
44. //開源代碼Vevb.com 
45. ?> 

用下面的命令執(zhí)行腳本,確保php命令在PATH中.

php ban.php:這個腳本依賴于第二段中ips.txt里保存的結(jié)果,當(dāng)其中記錄的IP訪問次數(shù)超過10次,就被當(dāng)作攻擊源給屏蔽掉,如果是代理服務(wù)器,則不判斷次數(shù)直接封掉,封完IP之后,把所有的網(wǎng)站設(shè)置恢復(fù)正常,站點可以繼續(xù)正常運(yùn)行了.