2022年WEB服务器攻击分析 .pdf

《2022年WEB服务器攻击分析 .pdf》由会员分享，可在线阅读，更多相关《2022年WEB服务器攻击分析 .pdf（4页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、WEB 服务器攻击分析故障现象描述客户对外服务的WEB 服务器无法访问，内网机器访问互联网速度较慢。基本环境描述用户基本网络拓扑如下：用户的 Internet出口基本网络拓扑如上图所示，其中出口带宽为1M，内部上网和对外服务的 Web 服务器共享该带宽。服务器 IP 地址为 xx.xx.142.202。分析方案设计分析目标确认 Web 服务器无法访问是由于网络原因引起的还是其他原因引起的，确认访问互联网慢是由于流量引起的还是由于其他原因引起的。分析设备部署我们在交换机上部署分析设备，镜像出口的网络流量，对出口的流量进行捕获并进行分析。分析情况基本流量分析首先利用科来网络分析系统的实时网络流量监

2、控分析功能，对网络中的重要流量参数进行监控分析，确认是否由于网络拥塞导致服务器无法访问，并确认有无异常流量。名师资料总结-精品资料欢迎下载-名师精心整理-第 1 页，共 4 页 -总体流量监控视图总体流量概要统计总体流量分析在测试过程中，链路总流量在200Kbytes/s左右，峰值流量大概为1.6Mbps，链路利用率较大，网络拥塞可能是导致上网慢的主要原因。网络中的数据包分析网络中的数据包率为2392PPS。计算出的平均包长为82bytes左右，平均包长很小，明显有异常现象。从包大小分布中我们可以看出，网络中小包（64Bytes）数量为2261PPS，占绝大多数，比较异常。广播包和多播包网络中

3、的每秒广播包和多播包数量很少，正常。分析结论：网络没有拥塞现象，但小包太多，明显异常。总体通讯情况分析利用科来网络分析系统可以对网络中的总体通讯情况分析，包括主机数量、会话数量、应用请求数量的分析，查看是否存在异常现象。分析结果如下：名师资料总结-精品资料欢迎下载-名师精心整理-第 2 页，共 4 页 -基本通讯情况分析发现的异常结果如下：TCP 流异常TCP 同步发送为2771211，而同步确认发送为2090 个，同步发送数量远高于同步确认数量，明显为异常，需进一步分析。HTTP 应用异常HTTP 连接 97121 个，HTTP 请求 440 个，也就是说绝大多数的HTTP 连接中没有任何H

4、TTP请求，明显异常。分析结论：tcp 同步发送和同步确认数量明显异常，http 连接数量远远大于http 请求数量，这些异常很可能是由于攻击造成的。针对 Web 服务器访问流量进行分析利用科来网络分析系统的端点分析视图和节点浏览器，针对性的对web 服务器主机流量进行分析，确认其没有响应的原因。Web 服务器从上面图上可以看出，web 服务器只有接收的数据包，没有发送数据包，ip 会话和 tcp 会话数量非常大，同时全都是tcp 同步接收。每秒数据包数近2000PPS，占整个网络中数据包数的绝大多数。同时每秒接收流量达到名师资料总结-精品资料欢迎下载-名师精心整理-第 3 页，共 4 页 -

5、992Kbps，占据的 99%的出口接收流量，是造成网络拥塞的主要原因。解码分析通过对 web 服务器的流量进行解码分析，发现大量的internet主机向其发送http 连接请求数据包，但服务器已经完全没有响应，这是明显的DoS 攻击行为特征。在 DoS 攻击分析中也明确发现该主机收到了DoS 攻击。分析结论Web 服务器接收到大量来自互联网的HTTP 连接请求，每秒钟的请求数量达到2000 多个，而服务器没有响应，可能是无法承受大量的连接请求所致，这些大量的请求数据包导致出口链路出现拥塞，特别是入方向的利用率高达100%，从而使Internet 访问受到严重影响。实际上这些请求的数量可能远大于我们看到的数量（由于带宽所限），这些请求来自于不同的 Internet IP（有可能是伪造），是典型的受到DDoS 攻击的特征，建议请相关部门协助查找攻击源。名师资料总结-精品资料欢迎下载-名师精心整理-第 4 页，共 4 页 -