# 如何知道是否有人正在進行網路攻擊

對於一臺伺服器或電腦而言，網路卡就是系統的門戶。而門上既沒有安裝門鈴又沒有安裝監控，是否有人正在敲門或搞破壞，我們往往對此一無所知。

在作業系統層面，我們無法直接感知到網路層面正在發生的變動，只能透過工具對網路會話進行觀察。通用方法是使用 netstat 檢視當前已經建立的連線，或斷開的連線。

我最近在3A伺服器購買了雲伺服器。

```
# Windowsnetstat -an -p tcp# Linuxnetstat -tn -p
```

而這種方法很難持續地進行觀察和分析。比如我們的系統正在被誰訪問，以及嘗試的頻率和持續時間。

實際上是有方法對網路流進來的資料包進行分析的，比如抓包工具。但抓包工具的特點就是流量非常大，很吃硬碟空間。抓的包存在檔案裡很快就能把硬碟撐爆，因為資料包裡是含檔案資料的。有沒有簡單地記錄入站IP以及所訪問的業務埠的方法？

有，還是使用抓包工具，只是使用抓包工具的簡化模式，不抓資料流量只抓訪問記錄。所使用的抓包工具是tcpdump，我們先給個可用版本的命令列，再對命令列進行分解：

```
$ tcpdump -n -c 10 -q -t -i eth0 tcp and dst host 172.27.220.9
```

首先不要被這麼長的命令嚇住，我們一步步簡化就可以看到每一個引數的效果。先解釋一下上面的命令列要達到的效果：

- -i eth0 只監聽 eth0 網口
- tcp   只監聽 tcp 的資料包
- dst   只監聽入站方向的資料包
- host  只監聽目的IP為指定IP的資料包

最終得到的監聽日誌為：

```
IP 27.22.77.188.37490 > 172.27.220.9.7822: tcp 1692IP 27.22.77.188.37490 > 172.27.220.9.7822: tcp 1316IP 183.93.155.47.16607 > 172.27.220.9.7777: tcp 0IP 183.93.155.47.16607 > 172.27.220.9.7777: tcp 0IP 183.93.155.47.16607 > 172.27.220.9.7777: tcp 53IP 183.93.155.47.16607 > 172.27.220.9.7777: tcp 0IP 183.93.155.47.16607 > 172.27.220.9.7777: tcp 0IP 183.93.155.47.16607 > 172.27.220.9.7777: tcp 53IP 183.93.155.47.16684 > 172.27.220.9.7822: tcp 0IP 183.93.155.47.16684 > 172.27.220.9.7822: tcp 0
```

其中有用資訊為訪問者的IP，以及被訪問IP的埠。源埠是動態的沒有意義，目的埠是最終的業務埠。從日誌上可以得到訪問者的IP，以及訪問的業務埠。

tcpdump 可以一直處於監聽狀態，預設什麼引數都不加，就是監聽所有的資料包：

```
tcpdump -c 10
```

![圖片](https://f.pz.al/pzal/2022/09/08/d69f8ed23bca8.png)

因為資料量非常大，幾乎就是刷屏，所以加了個-c引數只抓10個包。並且裡面包含了很多的看不懂的欄位，我們再加幾個引數，簡化一下輸出。

```
$ tcpdump -c 10 -q
```

![圖片](https://f.pz.al/pzal/2022/09/08/2709411e96810.png)

此時輸出已經簡單了很多了，但裡面有域名，我們只想看IP，可以再加個引數把域名轉為IP。

```
$ tcpdump -c 10 -q -n
```

![圖片](https://f.pz.al/pzal/2022/09/08/ddb6f85b1ddde.png)

此時基本上就達到我們的要求了，輸出內容包含了時間、源地址.埠、目的地址.埠 以及包的長度。把輸出重定向到檔案，就可以對日誌檔案進行分析了。

如果不想看時間欄位可以加 -t 引數。資料包中還含有udp、arp的資料包，格式不一致。如果想抓取固定格式的資料包，可以再加一些引數，比如：

```
$ tcpdump tcp
```

以上命令是隻抓tcp的包，src 和 dst 則代表方向，多個條件用 and 連起來，如果只監聽入站方向到本機IP的資料包，則命令為：

```
$ tcpdump tcp and dst host 172.27.220.9
```

tcpdump 的命令很長，但只取一部分也可以執行。我們還原到最開始的最長的那麼命令，把抓到的入站方向的日誌重定向到檔案中。

```
$ tcpdump -n -c 10 -q -t -i eth0 tcp and dst host 172.27.220.9 > tcp.log
```

示例命令只抓取10個包，如果當前網路沒有資料包，則命令會hung住。如果需要長時間觀察資料包，可以使用 tee 代替重定向。可以在另一個視窗中使用 tail -f tcp.log 對日誌進行觀察。

```
# console 1tcpdump -n -c 10 -q -t -i eth0 tcp and dst host 172.27.220.9 | tee tcp.log# console 2tail -f tcp.log
```

tcpdump 對網口的抓包是實時的，透過分析日誌檔案可以動態觀察資料包的流向和IP訪問情況。對於異常IP流量，可以對風險IP實行封堵。另一種情況，如果一個埠不應該有訪問，但訪問的IP特別多，此時就可以認定這些IP都是風險IP。這比設立蜜罐有效的多，因為只要有流量進來都能看到。針對特定埠的監聽命令為：

```
$ tcpdump -n -c 10 -q -t -i eth0 tcp and dst host 172.27.220.9 and port 7822
```

![圖片](https://f.pz.al/pzal/2022/09/08/58cf0041e8e1c.png)

tcpdump 的引數很多，但語法很簡單，常用的過濾欄位有：

- tcp udp 協議型別
- src dst   方向
- host net 主機IP 或 網段
- port 埠

多個條件用 and 相連即可，文中用到的引數說明：

- -n 將域名解析為IP
- -c 10 抓10個包
- -q 精簡模式
- -t 不輸出時間
- -i eth0 只監聽eth0網口

如何知道是否有人正在進行網路攻擊

相關文章