kernel: possible SYN flooding on port 80. Sending cookies. Атака.

Подробности

Опубликовано 18.10.2012 17:42

Внезапно без веских причин завис сайт. Зайдя в консоль и просмотрев нагрузку на сервере нечего криминального не заметил, сервер работал без нагрузки. Попытавшись зайти на /server-status/ не смог. Пришлось перегружать HTTPD (Apache). Перегрузив увидел в /server-status/ что без прерывно ломится пользователь с IP 77.232.10.216 на одну и туже страницу и забивает все слоты.

Просмотрев лог '/var/log/messages' увидел запись:

kernel: possible SYN flooding on port 80. Sending cookies.

В реальном времени отследить такое нападение, вторжение можно через консоль, просмотрев лидера по запросам SVN:

# netstat -n -p | grep SYN_REC| awk '{print $5}'|awk -F: '{print $1}' | sort -n | uniq -c | sort -nr | head -n10

Заблокировать такое нападение, вторжение можно добавив правило в iptables:

# iptables -I INPUT -p tcp -s 77.232.10.216 -j REJECT --reject-with tcp-reset

после наслаждаться тишиной.