如何编写服务器防止DDoS攻击的脚本？

服务器防止DDoS脚本

DDoS（Distributed Denial of Service，分布式拒绝服务）攻击是一种通过大量无效或高流量的网络请求，使目标服务器资源耗尽，从而无法正常为合法用户提供服务的攻击方式，为了应对这种威胁，可以使用各种自动化脚本来检测和阻止DDoS攻击，本文将详细介绍一种用于防止DDoS攻击的Linux Shell脚本，包括其工作原理、实现步骤以及相关FAQs。

工作原理

DDoS防御脚本的主要目标是监控网络流量，识别异常流量模式，并自动阻止可疑的IP地址，当某个IP地址在单位时间内建立的连接数超过预设阈值时，脚本会将其视为攻击者并进行阻止，以下是详细的实现步骤：

1、监控网络连接数：使用netstat命令统计当前的网络连接数。

2、分析连接数：通过awk、cut、sort和uniq等命令对连接数进行排序和去重，找出连接数最多的IP地址。

3、设置阈值：定义一个阈值，当某个IP地址的连接数超过该阈值时，即认为是攻击行为。

4、阻止攻击者：使用iptables或ufw等防火墙工具阻止攻击者的IP地址。

5、日志记录：将检测到的攻击信息记录到日志文件中，便于后续分析和审计。

6、定期轮询：每隔一段时间（如每分钟）重复上述步骤，确保持续监控。

脚本实现

以下是一个示例脚本，用于防止DDoS攻击：

#!/bin/bash
配置参数
LOG_DIR="/var/log/ddos"
ERROR_LOG="$LOG_DIR/error.log"
DETECTION_LOG="$LOG_DIR/detection.log"
PREVENTION_LOG="$LOG_DIR/prevention.log"
THRESHOLD=100   # 定义攻击阈值
BLOCK_TIME=600  # 定义阻止攻击者的时间（秒）
ARCHIVE_DIR="/var/log/ddos/archive"  # 存档目录
创建日志目录
mkdir -p "$LOG_DIR" "$ARCHIVE_DIR"
检查是否以root用户运行
if [ "$(id -u)" != "0" ]; then
    echo "This script must be run as root." >&2
    exit 1
fi
检查ufw是否可用
if ! command -v ufw &> /dev/null; then
    echo "ufw command not found. Please install ufw." >&2
    exit 1
fi
主循环
while true; do
    # 获取当前网络流量
    CURRENT_TRAFFIC=$(netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -n 1 | awk '{print $1}')
    # 判断是否超过阈值
    if [ "$CURRENT_TRAFFIC" -gt "$THRESHOLD" ]; then
        # 记录攻击信息
        TIMESTAMP=$(date +"%Y-%m-%d %H:%M:%S")
        ATTACKER_IP=$(netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -n 1 | awk '{print $2}')
        echo "$TIMESTAMP Detected DDoS attack from $ATTACKER_IP with $CURRENT_TRAFFIC connections" >> "$DETECTION_LOG"
        # 阻止攻击者的IP
        ufw deny from "$ATTACKER_IP"
        echo "$TIMESTAMP Blocked IP: $ATTACKER_IP" >> "$PREVENTION_LOG"
        # 等待一段时间后解封IP
        sleep "$BLOCK_TIME"
        ufw delete deny from "$ATTACKER_IP"
        echo "$TIMESTAMP Unblocked IP: $ATTACKER_IP" >> "$PREVENTION_LOG"
    fi
    # 每天轮转一次日志
    if [ "$(date '+%H%M')" == "0000" ]; then
        # 将当前日志归档
        ARCHIVE_FILE="$ARCHIVE_DIR/ddos_$(date +'%Y%m%d').log.gz"
        cat "$DETECTION_LOG" "$PREVENTION_LOG" > "$ARCHIVE_FILE"
        # 清空当前日志
        > "$DETECTION_LOG" "$PREVENTION_LOG"
        gzip "$ARCHIVE_FILE"
    fi
    # 每分钟轮询一次
    sleep 60
done