Linux tabanlı işletim sistemlerimizde eğer iptables yüklü ise web server için saldırı tespiti oldukça kolaydır. Sunucunuzda loadların yavaş yavaş yükseldiğini görüyorsanız ve load sebebi httpd / apache ise aşağıdaki komutlar işinize yarayacaktır.
Sunucumuzun 80 portuna (apache) bağlantı yapan ip leri bağlantı sayılarına göre küçükten büyüğe tespit ediyoruz ;
eğer SYN bağlantı tespit etmek istiyorsanız ;
ilk sütun bağlantı sayısı, ikinci sütun o bağlantıyı yapan ip adresini belirtir. Siz burada ilk sütunu 100 den büyük olan ip adresleri görür iseniz şüphelenin.
Aşağıdaki komut ile şüpheli ip adreslerini banlayabilirsiniz ;
Sunucumuzun 80 portuna (apache) bağlantı yapan ip leri bağlantı sayılarına göre küçükten büyüğe tespit ediyoruz ;
PHP:
netstat -pant | grep :80 | awk '{ print $5}' | cut -d: -f1 | sort | uniq -c | sort -neğer SYN bağlantı tespit etmek istiyorsanız ;
PHP:
netstat -ntu grep :80 | grep SYN | awk '{print $4}' | cut -d: -f1 | sort | uniq -c | sort -nilk sütun bağlantı sayısı, ikinci sütun o bağlantıyı yapan ip adresini belirtir. Siz burada ilk sütunu 100 den büyük olan ip adresleri görür iseniz şüphelenin.
Aşağıdaki komut ile şüpheli ip adreslerini banlayabilirsiniz ;
PHP:
1iptables -A INPUT -s banlanacakipadresi -j DROP
