记一次DDOS攻击定位及解决

原创已于 2025-04-27 11:56:41 修改 · 309 阅读

CC 4.0 BY-SA版权

文章标签：

于 2025-04-27 11:11:58 首次发布

背景:

公司有台服务器近来产生了异常流出数据,共计300个G,因此产生了流量费用, 阿里云服务器有一种流量计费方式为按照流量计费,0.8元每G, 通过阿里云监控,排查出是因为出口流量费用导致,

地址来查看所有消费明细后,发现是出口流量产生的费用, 服务器只部署了一个web网页,nginx日志显示整个四月份有一天集中被同一个公网IP访问了几万次,明显属于恶意访问；

查看命令如下:

awk '{print $1}' nginx-access.log | sort | uniq -c | sort -nr | head -n 50 | more

命令是查询nginx-access.log 日志文件按照第一列（即IP地址）进行访问次数排序，取排序后前50个IP地址寄访问次数；

grep '\[.*Apr/2025:.*\]' nginx-access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 50 | more

查看四月份所有访问流量；

解决方案：

1.在nginx层做访问频次限制：

nginx.conf文件的http节点下新增配置：

limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

在对应的location访问控制块内配置 limit_req zone=one burst=5 nodelay;

2. 在http节点下新增如下配置：对哪些ip进行拒绝访问控制，将要拒绝的IP地址列到列表里。

            geo $allowed {
                default 0;
                110.80.135.11 1;
                120.244.158.57 1;     
            }

然后在具体的location块中加上如下代码：

                    if ($allowed = 1) {
                        return 403;
                    }

或者将云服务器的流量套餐更换了，目前是按流量计费，适合访问比较固定，且没有恶意攻击的，如果访问量大，建议换成固定宽带，按照 1Mb = 128kb的固定宽带和上行、下行实际速率比进行计算适合自己服务器流量的宽带。