简介
DDoS （分布式拒绝服务攻击）是一种恶意的网络攻击，旨在通过占用目标系统的资源，使其无法提供正常的服务。在DDoS攻击中，攻击者通常控制大量的被感染的计算机或其他网络设备，同时将它们协调起来向目标系统发起海量的请求，超出其处理能力范围，导致服务不可用。
防DDoS脚本指的是用于识别和阻止DDoS攻击的自动化脚本。这些脚本可以运行在网络设备如防火墙、入侵检测系统（IDS）等中，也可以在服务器上运行。
脚本编写
#!/bin/bash
# 配置参数
LOG_DIR="/var/log/ddos"
ERROR_LOG="$LOG_DIR/error.log"
DETECTION_LOG="$LOG_DIR/detection.log"
PREVENTION_LOG="$LOG_DIR/prevention.log"
THRESHOLD=100 # 定义攻击阈值
BLOCK_TIME=600 # 定义阻止攻击者的时间（秒）
ARCHIVE_DIR="/var/log/ddos/archive" # 存档目录
# 创建日志目录
mkdir -p "$LOG_DIR"
mkdir -p "$ARCHIVE_DIR"
# 检查是否以root用户运行
if [ "$(id -u)" != "0" ]; then
echo "This script must be run as root." >&2
exit 1
fi
# 检查ufw是否可用
if ! command -v ufw &> /dev/null; then
echo "ufw command not found. Please install ufw." >&2
exit 1
fi
# 主循环
while true; do
# 获取当前网络流量
CURRENT_TRAFFIC=$(netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -n 1 | awk '{print $1}')
# 判断是否超过阈值
if [ "$CURRENT_TRAFFIC" -gt "$THRESHOLD" ]; then
# 记录攻击信息
TIMESTAMP=$(date +"%Y-%m-%d %H:%M:%S")
ATTACKER_IP=$(netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -n 1 | awk '{print $2}')
echo "$TIMESTAMP - Detected DDoS attack from $ATTACKER_IP with $CURRENT_TRAFFIC connections" >> "$DETECTION_LOG"
# 阻止攻击者的IP
ufw deny from "$ATTACKER_IP"
# 记录阻止信息
echo "$TIMESTAMP - Blocked IP: $ATTACKER_IP" >> "$PREVENTION_LOG"
# 等待一段时间后解封IP
sleep "$BLOCK_TIME"
ufw delete deny from "$ATTACKER_IP"
echo "$TIMESTAMP - Unblocked IP: $ATTACKER_IP" >> "$PREVENTION_LOG"
fi
# 每天轮转一次日志
if [ "$(date '+%H%M')" == "0000" ]; then
# 将当前日志归档
ARCHIVE_FILE="$ARCHIVE_DIR/ddos_$(date +'%Y%m%d').log.gz"
cat "$DETECTION_LOG" "$PREVENTION_LOG" >> "$ARCHIVE_FILE"
# 清空当前日志
> "$DETECTION_LOG"
> "$PREVENTION_LOG"
# 压缩存档文件
gzip "$ARCHIVE_FILE"
fi
# 每分钟轮询一次
sleep 60
done
脚本释义
# 配置参数
LOG_DIR="/var/log/ddos"
ERROR_LOG="$LOG_DIR/error.log"
DETECTION_LOG="$LOG_DIR/detection.log"
PREVENTION_LOG="$LOG_DIR/prevention.log"
THRESHOLD=100 # 定义攻击阈值
BLOCK_TIME=600 # 定义阻止攻击者的时间（秒）
ARCHIVE_DIR="/var/log/ddos/archive" # 存档目录
这一段定义了脚本中使用的一些配置参数，例如日志目录、日志文件路径、攻击阈值、阻止攻击者的时间、以及存档目录。
# 创建日志目录
mkdir -p "$LOG_DIR"
mkdir -p "$ARCHIVE_DIR"
这里使用 mkdir -p 命令来创建日志目录和存档目录。 -p 参数会确保如果目录不存在的话，也会递归地创建它。
# 检查是否以root用户运行
if [ "$(id -u)" != "0" ]; then
echo "This script must be run as root." >&2
exit 1
fi
这个部分检查脚本是否以 root 用户的身份运行。如果不是，脚本会输出错误信息并退出。
# 检查ufw是否可用
if ! command -v ufw &> /dev/null; then
echo "ufw command not found. Please install ufw." >&2
exit 1
fi
这个部分检查系统是否安装了 ufw 命令。如果没有安装，脚本会输出错误信息并退出。
# 主循环
while true; do
脚本进入一个无限循环，用于不断地监测网络流量。
# 获取当前网络流量
CURRENT_TRAFFIC=$(netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -n 1 | awk '{print $1}')
这一行使用 netstat 命令获取当前网络连接的信息，然后通过一系列的 awk、cut、sort 等命令进行处理，最终得到当前网络流量的连接数。
# 判断是否超过阈值
if [ "$CURRENT_TRAFFIC" -gt "$THRESHOLD" ]; then
这一行判断当前网络流量是否超过了预设的阈值。
# 记录攻击信息
TIMESTAMP=$(date +"%Y-%m-%d %H:%M:%S")
ATTACKER_IP=$(netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -n 1 | awk '{print $2}')
echo "$TIMESTAMP - Detected DDoS attack from $ATTACKER_IP with $CURRENT_TRAFFIC connections" >> "$DETECTION_LOG"
如果检测到攻击，脚本会获取当前时间戳和攻击者的IP地址，然后将攻击信息记录到检测日志中。
# 阻止攻击者的IP
ufw deny from "$ATTACKER_IP"
使用 ufw 命令阻止攻击者的IP。
# 记录阻止信息
echo "$TIMESTAMP - Blocked IP: $ATTACKER_IP" >> "$PREVENTION_LOG"
将阻止信息记录到防攻击日志中。
# 等待一段时间后解封IP
sleep "$BLOCK_TIME"
ufw delete deny from "$ATTACKER_IP"
echo "$TIMESTAMP - Unblocked IP: $ATTACKER_IP" >> "$PREVENTION_LOG"
脚本会等待一段时间后，解封被阻止的IP，并将解封信息记录到防攻击日志中。
# 每天轮转一次日志
if [ "$(date '+%H%M')" == "0000" ]; then
这一段判断是否到了每天的午夜时分（00:00），如果是，则进行日志轮转。
# 将当前日志归档
ARCHIVE_FILE="$ARCHIVE_DIR/ddos_$(date +'%Y%m%d').log.gz"
cat "$DETECTION_LOG" "$PREVENTION_LOG" >> "$ARCHIVE_FILE"
将当前的检测日志和防攻击日志合并，并将合并后的日志归档到指定的存档文件中。
# 清空当前日志
> "$DETECTION_LOG"
> "$PREVENTION_LOG"
清空当前的检测日志和防攻击日志。
# 压缩存档文件
gzip "$ARCHIVE_FILE"
fi
对归档文件进行压缩。
# 每分钟轮询一次
sleep 60
done
脚本结束。整个脚本会以每分钟一次的频率运行，不断监测网络流量，处理攻击，进行日志轮转。这是一个简单的示例，实际环境中可能需要根据需求进一步定制和优化。
