网站被DDOS了怎么办？

九曲DDOS解决方案：1、使用工具:DDoS deflate . 自动查封IP.2、解析域名到127.0.0.1 让攻击方自己攻击自己[代价.网站不可访问].3、关闭网站的nginx 或者IIS 阿帕奇.等攻击过后再打开.4、换高防服务器(首页使用静态页提高处理器速度).5、随他玩吧,等玩够了就不会攻击了.6、有条件的朋友,可以考虑做cdn加速.

使用DDoS deflate脚本自动屏蔽攻击ip

DDoS deflate是一款免费的用来防御和减轻DDoS攻击的脚本。它通过netstat监测跟踪创建大量网络连接的IP地址，在检测到某个结点超过预设的限制时，该程序会通过APF或IPTABLES禁止或阻挡这些IP.

DDoS deflate其实是一个Shell脚本，使用netstat和iptables工具，对那些链接数过多的IP进行封锁，能有效防止通用的恶意扫描器，但它并不是真正有效的DDoS防御工具。

DDoS deflate工作过程描述：

同一个IP链接到服务器的连接数到达设置的伐值后，所有超过伐值的IP将被屏蔽，同时把屏蔽的IP写入ignore.ip.list文件中，与此同时会在tmp中生成一个脚本文件，这个脚本文件马上被执行，但是一

运行就遇到sleep预设的秒，当睡眠了这么多的时间后，解除被屏蔽的IP，同时把之前写入ignore.ip.list文件中的这个被封锁的IP删除，然后删除临时生成的文件。

一个事实：如果被屏蔽的IP手工解屏蔽，那么如果这个IP继续产生攻击，那么脚本将不会再次屏蔽它（因为加入到了ignore.ip.list），直到在预设的时间之后才能起作用，加入到了ignore.ip.list中的

IP是检测的时候忽略的IP。可以把IP写入到这个文件以避免这些IP被堵塞，已经堵塞了的IP也会加入到ignore.ip.list中，但堵塞了预定时间后会从它之中删除。

如何确认是否受到DDOS攻击？

[root@test3-237 ~]# netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

1 Address

1 servers)

2 103.10.86.5

4 117.36.231.253

4 19.62.46.24

6 29.140.22.18

8 220.181.161.131

2911 167.215.42.88

每个IP几个、十几个或几十个连接数都还算比较正常，如果像上面成百上千肯定就不正常了。比如上面的167.215.42.88，这个ip的连接有2911个！这个看起来就很像是被攻击了！

---