基于nginx的web服務器cc攻擊保護實現(xiàn)(完整版)
【正文】 了中國互聯(lián)網(wǎng)的輝煌，而如此數(shù)量的網(wǎng)站，都離不開web服務器。你還能夠不間斷服務的情況下進行軟件版本的升級。這個判斷比Cookie更加方便，不光可以IP認證，還可以防刷新模式，在頁面里判斷刷新，是刷新就不讓它訪問，沒有刷新符號給它刷新符號。最主要的研究問題是如何找到一種優(yōu)秀的算法，實現(xiàn)服務器對于CC攻擊的保護最優(yōu)化。但是當訪問請求流量突破這個門限時，則需要引起重視，因為這有可能服務器正受到攻擊，比如CC攻擊。 總體設計這種利用令牌桶算法實現(xiàn)CC攻擊檢測的方法，其實是屬于基于流量檢測的范疇。Webload能通過模擬真實用戶的操作,生成壓力負載來測試web的性能。然后我們在客戶端安裝一個超強CC攻擊器，用來模擬CC攻擊，并在webload上讀取攻擊前后的web服務器的性能數(shù)據(jù)變化，從而得出基于此算法的CC攻擊檢測防御的實際效果示意圖。但是，實際應用中，由于上限是人為指定，存在一定局限性，有時突發(fā)事件，也會造成正常的訪問在短時間內(nèi)超過上限，為了排除這種誤報率，在模塊中，增加一個計數(shù)器t（t根據(jù)現(xiàn)有突發(fā)事件發(fā)生時產(chǎn)生的超流量持續(xù)時間計算得），只有當訪問流量超限持續(xù)一定時間后，才啟動安全策略，這樣在最大努力檢測CC攻擊的同時，減少了因誤報造成正常訪問失敗的情況發(fā)生，避免對正?？蛻舳嗽L問的影響。如果令牌到達時令牌桶已經(jīng)滿了，那么這個令牌會被丟棄；當一個n個字節(jié)的數(shù)據(jù)包到達時，就從令牌桶中刪除n個令牌，并且數(shù)據(jù)包被發(fā)送到網(wǎng)絡；如果令牌桶中少于n個令牌，那么不會刪除令牌，并且認為這個數(shù)據(jù)包在流量限制之外；算法允許最長b個字節(jié)的突發(fā)，但從長期運行結果看，數(shù)據(jù)包的速率被限制成常量r。 基于令牌桶算法的CC攻擊檢測 令牌桶算法令牌桶算法[13,14]是控制網(wǎng)絡流量中最常使用的一種算法。通過代理發(fā)送的HTTP_X_FORWARDED_FOR變量來判斷使用代理攻擊機器的真實IP[11]，這招完全可以找到發(fā)動攻擊的人，當然，不是所有的代理服務器都發(fā)送，但是有很多代理都發(fā)送這個參數(shù)。如新浪、網(wǎng)易、騰訊等門戶網(wǎng)站，六間房、酷6等視頻分享網(wǎng)站，Discuz!、水木社區(qū)等知名論壇，豆瓣、宏博cms等建站系統(tǒng)網(wǎng)站。Nginx是由Igor ，它已經(jīng)在該站點運行超過兩年半。郵件、關鍵數(shù)據(jù)、甚至電話都通過網(wǎng)絡來處理。起先，拒絕服務（DoS）攻擊開始可能只是為了“取樂”，或是對系統(tǒng)操作員進行某種報復。地理政治形勢、戰(zhàn)爭、宗教問題、生態(tài)等任何動機都可能成為對公司、政治組織或甚至國家的IT基礎網(wǎng)絡架構發(fā)動進攻的動機[2]。例如，搜索引擎和博彩web站點等都完全依賴網(wǎng)絡連接。[8]Nginx作為負載均衡服務器：Nginx既可以在內(nèi)部直接支持Rails和PHP程序?qū)ν膺M行服務，也可以支持作為HTTP代理服務器對外進行服務。此后CC攻擊，憑其攻擊的高效性，在網(wǎng)上快速蔓延，針對它的防御方法也層出不窮，概括起來主要有五種，但都有自己的優(yōu)缺點：使用Cookie認證。還有一個方法就是把需要對數(shù)據(jù)查詢的語句做在Redirect后面，讓對方必須先訪問一個判斷頁面，然后Redirect過去[12]。令牌桶中的每一個令牌都代表一個字節(jié)。圖1 令牌桶算法示意圖 防御策略在正常訪問情況下，由于客戶訪問的穩(wěn)定性，總體的訪問流量浮動在一個相對穩(wěn)定的水平上，而CC攻擊將會嚴重破壞這種穩(wěn)定性，導致流量瞬間突破峰值，我們可以設置一個定時器，當這種情況持續(xù)超過一定時間T，即判斷為發(fā)生CC攻擊，并啟動防御策略。另
法律信息相關推薦
鄂ICP備17016276號-1