echo “Saving current connections…”
# netstat -nta > /tmp/netstat.txt
echo “Number of connections per IP…”
# cut -b 49-75 /tmp/netstat.txt | grep -o -P “\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b” | sort | uniq -c | sort -n -r -k 1,7 | head -10
從netstat輸出結(jié)果中提取每個(gè)IP地址的連接數(shù)量，計(jì)算每個(gè)連接保持的連接時(shí)間，同時(shí)輸出10個(gè)連接數(shù)量的IP地址，從中可以發(fā)現(xiàn)是否存在單個(gè)IP建立了過(guò)多的連接到serve，采取措施來(lái)阻止這個(gè)IP。
echo “States of connections…”
# cut -b 77-90 /tmp/netstat.txt | sort | uniq -c
從netstat 輸出結(jié)果中提取不同狀態(tài)的連接數(shù)量。以此來(lái)計(jì)算各種狀態(tài)下的連接時(shí)間。
如果在SYN_RECV這個(gè)狀態(tài)下面存在大量的連接，可能存在syn-flood攻擊。
echo “Number of SYN_RECV connections per IP…”
# grep “SYN_RECV” /tmp/netstat.txt | cut -b 49-75 | cut -d ‘:’ -f1 | sort | uniq -c | sort -n -r -k 1,7 | head –10
使用grep netstat的輸出結(jié)果來(lái)看看各IP地址在SYN_RECV狀態(tài)下建立的連接，以此來(lái)計(jì)算單IP的連接情況，列出10個(gè)SYN_RECV連接數(shù)量的IP。如果以上命令沒(méi)有輸出，則說(shuō)明SYN_RECV狀態(tài)沒(méi)有異常
根據(jù)以上列出的一些命令，你已經(jīng)分析出連接到你server目前的連接基本狀態(tài)。但是這還是不夠的。因?yàn)槟阌锌赡芸床坏胶芏嗾诮⒌摹岸獭边B接。為了分析這些新建立的連接，你可以這么做：
echo “Count number of new connection requests over the next 100 packets…”
# time tcpdump -ns 200 -c 100 ‘(dst port http or dst port https) and tcp[13] & 2!=0′ | grep -o -P ‘\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}.\d{1,5}\s\>’ | cut -d ‘.’ -f 1-4 | sort | uniq -c | sort -n -r -k 1,7 | head -25
在這條命令中,參數(shù)-c定義分析的數(shù)據(jù)包數(shù)量
# netstat -nta > /tmp/netstat.txt
echo “Number of connections per IP…”
# cut -b 49-75 /tmp/netstat.txt | grep -o -P “\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b” | sort | uniq -c | sort -n -r -k 1,7 | head -10
從netstat輸出結(jié)果中提取每個(gè)IP地址的連接數(shù)量，計(jì)算每個(gè)連接保持的連接時(shí)間，同時(shí)輸出10個(gè)連接數(shù)量的IP地址，從中可以發(fā)現(xiàn)是否存在單個(gè)IP建立了過(guò)多的連接到serve，采取措施來(lái)阻止這個(gè)IP。
echo “States of connections…”
# cut -b 77-90 /tmp/netstat.txt | sort | uniq -c
從netstat 輸出結(jié)果中提取不同狀態(tài)的連接數(shù)量。以此來(lái)計(jì)算各種狀態(tài)下的連接時(shí)間。
如果在SYN_RECV這個(gè)狀態(tài)下面存在大量的連接，可能存在syn-flood攻擊。
echo “Number of SYN_RECV connections per IP…”
# grep “SYN_RECV” /tmp/netstat.txt | cut -b 49-75 | cut -d ‘:’ -f1 | sort | uniq -c | sort -n -r -k 1,7 | head –10
使用grep netstat的輸出結(jié)果來(lái)看看各IP地址在SYN_RECV狀態(tài)下建立的連接，以此來(lái)計(jì)算單IP的連接情況，列出10個(gè)SYN_RECV連接數(shù)量的IP。如果以上命令沒(méi)有輸出，則說(shuō)明SYN_RECV狀態(tài)沒(méi)有異常
根據(jù)以上列出的一些命令，你已經(jīng)分析出連接到你server目前的連接基本狀態(tài)。但是這還是不夠的。因?yàn)槟阌锌赡芸床坏胶芏嗾诮⒌摹岸獭边B接。為了分析這些新建立的連接，你可以這么做：
echo “Count number of new connection requests over the next 100 packets…”
# time tcpdump -ns 200 -c 100 ‘(dst port http or dst port https) and tcp[13] & 2!=0′ | grep -o -P ‘\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}.\d{1,5}\s\>’ | cut -d ‘.’ -f 1-4 | sort | uniq -c | sort -n -r -k 1,7 | head -25
在這條命令中,參數(shù)-c定義分析的數(shù)據(jù)包數(shù)量