生产环境中对于防范DDOS攻击的讨论（获奖名单已公布）

king_819

回复 32# Godbach


    如果说攻击者一方也使用了类似于SYN cookie的方法，修改SYN/ACK的封包从而完成TCP握手咧？

Godbach

回复 37# 20032007

各种防御措施都有其应用的场合及其长处，实际中要结合公司自身的业务综合使用。



   

king_819

回复 41# Godbach


    这个确实，就算用到流量牵引、黑洞路由，也必须有一个好的带宽承载量，才能很好的进行数据分析，如果达到带宽承载的极限，那也就没有办法了

Godbach

king_819 发表于 2012-04-25 21:53
回复 32# Godbach

我不太明白 king_819 兄所说的这个伪造的方式，能够详细说一下。

攻击者本身就是伪造源 IP，那么 SYN Cookie 应答的 SYN/ACK 包攻击者还能拦截得到吗？

老男孩linux培训

回复 9# cgweb


老男孩回复：    
赞这个！很有实战性！

老男孩linux培训

回复 12# king_819


老男孩回复：
很好啊，分析问题，查找原因是非常重要的问题（仅次于防护了）。其次是解决问题。实际生产环境还有太多疑似但非DDOS攻击案例，也许更常见，比如:内部服务器中毒、CDN猛抓。都有搞过1G-3G带宽的实际案例。

king_819

回复 48# 老男孩linux培训


    是的，有些症状像DDOS攻击一样，但实际分析过后并不是真正的DDOS，就如：
   
   CDN设置不合理，前端缓存狂抓后端源服务器的资源

   程序bug出现死循环

   系统内核参数设置不合理

   交换机、路由器设置不合理

   。。。 。。。

   分析问题 ---  解决问题

king_819

回复 46# Godbach


    呵呵。。我只是提出这种假设，具体怎么伪造我不知道咧

milujite

king_819 发表于 2012-04-25 21:53
回复 32# Godbach

SYN COOKIE一般在服务器操作系统内核中启动，系统会维护一份已经正常连接的表，当新连接进来的时候会让那些在这些表的用户优先连接，也就是说想半连接来攻击启动SYN COOKIE的服务器会有一定难度。现在很多基于Linux的防火墙都有开这个。但是如果是完整的连接，比带宽什么的，就只能靠带宽之类的了。