眾所周知，服務(wù)器是用來提供特定服務(wù)的計(jì)算機(jī)(集群)，因?yàn)榉?wù)不可中斷，所以服務(wù)器都是7x24小時(shí)全天候運(yùn)行的。但由于服務(wù)器長(zhǎng)期暴露在公網(wǎng)上，難免會(huì)受到黑客的攻擊。

很多朋友在遇到服務(wù)器攻擊后會(huì)不知所措，無從下手，只能任由黑客肆意妄為。那在這里我會(huì)給出一些方案，讓大家一來做好服務(wù)器的防御工作，另外在被攻擊時(shí)能從容處理。

服務(wù)器攻擊類型有哪些？

作為服務(wù)器管理員來說，當(dāng)服務(wù)器受到攻擊時(shí)我們要清楚是哪種類型的攻擊，這樣才好對(duì)標(biāo)解決問題。總體來說服務(wù)器常遇到的攻擊有以下幾種：

1、DDoS（分布式拒絕服務(wù)）攻擊

這個(gè)DDoS攻擊其實(shí)就是流量攻擊，它的原理就是利用很多客戶端向服務(wù)器發(fā)送大量的請(qǐng)求，使服務(wù)器的網(wǎng)絡(luò)過載、服務(wù)器負(fù)載飆升，從而讓其它合法用戶無法正常請(qǐng)求服務(wù)器。從本質(zhì)上說DDoS帶來的流量也是正常的流量，所以一般DDoS是很難防御的。

DDoS攻擊針對(duì)的是服務(wù)器的網(wǎng)絡(luò)層。

2、CC攻擊

CC攻擊原理就是黑客利用大量的主機(jī)(客戶端)向我們的服務(wù)（特別是消耗CPU時(shí)間的服務(wù)）不停的請(qǐng)求，造成服務(wù)器資源浪費(fèi)，CC攻擊時(shí)服務(wù)器CPU常常是占滿狀態(tài)的。

CC攻擊針對(duì)的是WEB應(yīng)用層（如網(wǎng)站）。

3、WEB攻擊

這種攻擊主要是利用當(dāng)前的WEB應(yīng)用存在的漏洞進(jìn)行系統(tǒng)及數(shù)據(jù)破壞的行為，手段通常有：

• SQL注入
  

• XSS、CSRF攻擊

• 爆庫攻擊等

4、劫持攻擊

攻擊者通過攻擊DNS服務(wù)器或者更改DNS服務(wù)器來將請(qǐng)求重定向至其它服務(wù)器，比如釣魚網(wǎng)站就是一種劫持。

5、服務(wù)器系統(tǒng)及應(yīng)用漏洞攻擊

這種就是嗅探服務(wù)器及其系統(tǒng)上的應(yīng)用是否存在可利用的漏洞，然后針對(duì)性的攻擊，比如Redis提權(quán)、弱口令提權(quán)等。

服務(wù)器攻擊如何處理？

服務(wù)器受到攻擊后，我們要針對(duì)性處理，以下是對(duì)應(yīng)的解決方案：

1、DDoS攻擊處理方案

• 聯(lián)系機(jī)房做流量清洗，必要時(shí)使用高防IP；

• 使用CDN來分流；

• 實(shí)在不行把域名解析至127.0.0.1；

2、CC攻擊處理方案

• 系統(tǒng)要合理利用緩存，對(duì)于一些結(jié)果做好緩存，避免每次都去重復(fù)計(jì)算；
  

• 利用軟防限制每個(gè)IP的連接數(shù)限制；

• 請(qǐng)求過多時(shí)啟用驗(yàn)證碼驗(yàn)證是否是機(jī)器行為；

3、WEB攻擊處理方案

• 對(duì)于GET、POST請(qǐng)求做過濾，將一些敏感字符過濾掉；
  

• 對(duì)于用戶提交的數(shù)據(jù)，務(wù)必做好數(shù)據(jù)類型檢查和過濾；

• 數(shù)據(jù)庫SQL語句不要使用拼接字符串這種形式，應(yīng)該采用預(yù)編譯和參數(shù)綁定這種方式；

• 如果WEB應(yīng)用是采用開源CMS或者框架二次開發(fā)的，務(wù)必及時(shí)修復(fù)其官方發(fā)布的補(bǔ)丁；

• 站點(diǎn)目錄及文件的讀、寫、執(zhí)行權(quán)限要嚴(yán)格控制，特別是要注意upload目錄的權(quán)限，防止上傳了動(dòng)態(tài)腳本甚至能直接執(zhí)行；

4、服務(wù)器系統(tǒng)及應(yīng)用漏洞處理方案

• 做好端口策略，防火墻里只開放必要的端口（除了WEB端口外，其它端口要特別留意）；
  

• 服務(wù)器上不常用的服務(wù)全部停止掉；

• WEB程序被破壞時(shí)使用備份文件還原；

服務(wù)器安全防御策略

只有服務(wù)器提前做好安全防御措施才能最大程度的避免服務(wù)器被攻擊，結(jié)合我多年運(yùn)維經(jīng)驗(yàn)建議大家：

1、數(shù)據(jù)備份很重要

如果服務(wù)器系統(tǒng)受到破壞，而你又沒有備份數(shù)據(jù)，那危害就相當(dāng)大了。所以我們要對(duì)系統(tǒng)、程序、數(shù)據(jù)庫、配置、其它數(shù)據(jù)要做好備份，以防萬一。

2、服務(wù)器IP隱匿

• 網(wǎng)站走CDN加速；
  

• 禁用服務(wù)器ICMP；

3、防火墻策略嚴(yán)格設(shè)置

• 只開放必要的端口，其它端口一律不開放；

• 同IP特定時(shí)間段內(nèi)限制連接數(shù)；

4、服務(wù)器安全策略

• 不要使用弱口令；只允許特定IP或者用戶登錄服務(wù)器；
  

• 對(duì)于不需要的服務(wù)一律禁用；

• 服務(wù)器要最小化安裝，不要在服務(wù)器上亂裝軟件應(yīng)用；

• 服務(wù)器文件及目錄權(quán)限要嚴(yán)格控制，避免777這種權(quán)限；

5、養(yǎng)成查看服務(wù)器日志的習(xí)慣

很多攻擊在前期都是有征兆的，黑客在攻擊前都會(huì)做很多嘗試。所以我們要把服務(wù)器上相關(guān)的日志做好審查，比如登錄日志等。

以上就是我的觀點(diǎn)，對(duì)于這個(gè)問題大家是怎么看待的呢？歡迎在下方評(píng)論區(qū)交流~我是科技領(lǐng)域創(chuàng)作者，十年互聯(lián)網(wǎng)從業(yè)經(jīng)驗(yàn)，我了解更多科技知識(shí)！