一、事件发生
春节长假刚过完，WEB就出现故障，下午1点吃完回来，立即将桌面解锁并习惯性的检查了Web服务器。通过Web服务器性能监视软件图像显示的向下滑行的红色曲线看到WEB出现问题了。
根据上述的问题，我马上开始核查Web服务器的日志，试试是否能检测到问题究竟什么时候开始，或者发现一些关于引起中断的线索。正当查询线索过程中。公司首席运营官(COO)告诉我，他已经接到客户的投诉电话，报告说无法访问他们的网站。于是从台式机中敲入网站地址，试着从台式电脑访问他们的网站，但是看到的只是无法显示此页面的消息。
回想前几天也未对Web服务器做了任何改变也未对Web服务器做过任何改变，服务器曾经出现过的性能问题。在Web服务器的日志文件中没有发现任何可疑之处，因此接下来我去仔细查看防火墙日志，和路由器日志。仔细查看了防火墙日志，打印出了那台服务器出问题时的记录。并过滤掉正常的流量并保留下可疑的记录。表中显示了打印出来的结果。
表一 防火墙日志
之后在路由器日志上做了同样的工作并打印出了看上去异常的记录。
攻击期间的路由器日志
图一
解释：
IP packet sizedistribution 这个标题下的两行显示了数据包按大小范围分布的百分率。这里显示的内容表明：98.4%的数据包的大小在33字节到64字节之间(注意红色标记)。
参数解释：
IP packet sizedistribution 这个标题下的两行显示了数据包按大小范围分布的百分率。这里显示的内容表明：98.4%的数据包的大小在33字节到64字节之间。
Protocol 协议名称
Total Flows 自从最后一次清除统计信息后，这种协议的信息流的个数。Flows/Sec 每秒钟时间内出现这种协议的信息流的平均个数，它等于总信息流数/综合时间的秒数。
Packets/Flow 遵守这种协议的信息流中平均的数据包数。等于这种协议的数据包数，或者在这段综合时间内，这种协议的信息流数。
Bytes/Pkt 遵守这种协议的数据包的平均字节数(等于这种协议总字节数，或者在这段综合时间内，这种协议的数据包数)。B/Pkt ，这一信息流中每个数据包的平均字节数
Packets/Sec 每秒钟时间内这种协议的平均数据包数(它等于这种协议的总数据包)，或者这段综合时间的总秒数。
Active(Sec)/Flow 从第一个数据包到终止信息流的最后一个数据包的总时间(以秒为单位，比如TCP FIN，终止时间量等等)，或者这段综合时间内这种协议总的信息流数。
Idle(Sec)/Flow 从这种协议的各个非终止信息流的最后一个数据包起，直到输入这一命令时止的时间总和(以秒为单位)，或者这段综合时间内信息流的总时间长度。
正常路由日志
图二
IP packet sizedistribution 这个标题下的两行显示了数据包按大小范围分布的百分率。这里显示的内容表明：2%的数据包的大小在33字节到64字节之间。
注意网站的访问量直线下降。很明显，在这段时间没人能访问他的Web服务器。我开始研究到底发生了什么，以及该如何尽快地修复。
评论