服务器受到攻击，写了几个小脚本，大家给看看

查看那些机器正常访问网站的ip
[root@www flowing]# cat r3educe_repeat.sh
echo "Num:"
read maxnum
export maxnum
netstat -an | grep 80 |grep ffff| awk '{print $5}'| awk 'BEGIN { FS=":" } { Num[$4]++ } END { for(i in Num) if(Num[i]>ENVIRON["maxnum"]) { print i } }'

输入:
0
查看


也可以
[root@www flowing]# cat reduce_repeat.sh
netstat -an | grep 80 |grep ffff| awk '{print $5}'| awk 'BEGIN { FS=":" } { Num[$4]++ } END { for(i in Num) if(Num[i]>36) { print i} }'|xargs -i[] iptables -I INPUT -s [] -j DROP

把并发量大于36的加入禁止访问列表。可以加入crontabe每分钟执行一次


[root@www flowing]# cat r2educe_repeat.sh
netstat -an | grep 80 |grep ffff| awk '{print $5}'| awk 'BEGIN { FS=":" } { Num[$4]++ } END { for(i in Num) if(Num[i]>16) { print i} }' >>repeat.txt
记录并发量比较大的ip


限制SYN_RECV过多的ip
[root@www flowing]# cat r4educe_repeat.sh
netstat -an | grep 80 |grep ffff| awk '{print $5}'| awk 'BEGIN { FS=":" } { Num[$1]++ } END { for(i in Num) if(Num[i]>36) { print i} }'|xargs -i[] iptables -I INPUT -s [] -j DROP