|
|
发表于 2006-5-15 11:19:52
|
显示全部楼层
来自 中国–福建–厦门
回复: 关于最近几天CS1.5服务器频繁关闭的问题讨论！
服务器频繁重启，99％是被攻击了，如果你是用FireDaemon这个服务器软件，可以到系统日志里看到，几分几秒服务器挂了，同时FireDaemon是会在服务器关闭后自动重启hlds的，所以系统日志里有非常清楚的记录被攻击的时间和启动的时间。 我经历过这个，花了一个月，当时是用了3种防火墙吧，好像是瑞星，诺顿，还有一个是检查网络数据包的。因为服务有玩家在，所以要分析里面的数据，哪些是玩家和正在搜索服务器的数据（正常的）哪些是不正常的。当时我用了换端口和换ip地址（我的有5个可用的光纤地址，开过网吧的都知道），换完会正常一段时间（对方没那么快查到，他应该是用了一个黑软件，设定固定多少分或多少秒对填入的地址发起攻击），当时忍无可忍，报了公安局网安科。 先附上我当时的日记（由于有些ip地址和电话是当地一个网吧的，我就用*.*.*.*来代替了，希望对你有所启发：
防黑日记.doc
8月19日，13：48分
根据防火墙的日记，黑客在攻击前15秒会探测服务器状态，可以知道它的ip,然后再路由器里将ip封了，结果我将地址218.86.32.238封了后，服务器未招到攻击.
14：58我将路由器里ip又开通，按照每13分钟就攻击一次的推算，15：02应该会被攻击，但是没有；估计是发现ping不通我的服务器后，先休息了.不知道下次攻击会在什么时间...
17:05刚才发现在16：25：55和16：38：55被攻击，察看了防火墙日记，16：38：49是220.192.71.55攻击，好像是联通的线路，刚要封，17：04：56又被攻击，服务器瘫痪...查看ip,发现日记被刷新了，估计下次攻击应该是17：17：56，我就守株待兔了...果然就在这个时间服务器被攻了这时间的数据见“防火墙819-1721”ip还是220.192.71.55(联通)，现在我要在路由器封这个ip,然后看看服务器的问题；17：26分这个ip被封,估计17：30：56应该不会被攻击...
结果，还是被攻击，看了日记是220.192.69.112）也是联通的--17：30：50；估计是我封得太早了，结果当他刷新我的服务器是发现不通，立刻断线重拨，开始攻击（见防火墙819-1738）...所以下一次我要在17：43：56前几秒封ip看看如何效果...17：43：30在离对手攻击前20秒，我将他的ip220.192.69.112在路由器封了，果然这次我的服务器没有事..难道我就要这样天天守着么...
对手有什么理由可以这样每天没日没夜的来黑我的服务器呢？！！！！
17：47，继续观察，据我估计对方会歇会了...同时我把刚封的两个ip开封，看看他是怎样的动作。我在等待17：56：56...
同时，这台服务器的另外两个端口的cs服务器也关了，这样防火墙的日记会少些...
我发现67.43.6.179多次出现，见日记--防火墙819-1755
17：57，果然我的服务器一切正常..我是不是该去忙我该忙的呢？还是再等13分钟吧。
现在想想，昨天晚上应该继续通宵的，不然服务器不会被攻成这样没有人玩...
发现17：59到18：07防火墙只有几次数据，
20:46
刚刚转过来看看，发现从19：14又开始了攻击...晕
看防火墙日记，最新的攻击（19：53：57）刚好是**网吧的*.*.*.*发起的（见日记：防火墙819-2044），还有之前看了一个可疑的ip刚刚把它封了220.175.13.154，**网吧这个我没有封，看看他下一轮的动作，
果然在20：55：52这个时间，*.*.*.*这个地址在这个时间准时发起了攻击，（见日记：防火墙819-2100），同时我也准备在21：08：40秒的时候将这个ip封了，看看对方什么反应，同时我将刚才的220.175.13.154地址解封。
果然，时间过了21：09，现在是21：10，对方的攻击被挡住，我的服务器继续运行，然后我马上将
*.*.*.*地址解封，欺骗对手进行下一轮的攻击，按照13分钟一次的频率，对方会在21：21这个时间进行攻击,不知道是不是还是**网吧的这个地址：*.*.*.*！
刚刚被叫去忙了一下，回来刚好21：22分，一看服务器被黑了，果然是21：21，可是看防火墙日记，由于太多（有些正常的数据都有记录，尤其服务器断线时，很多人要连进来，造成21：21分的纪录被冲了，看来只有等待21:34这次攻击了，如果还是他的话，这次就封了他；还没有吃饭，该去定快餐了...
21：34，服务器被攻，马上看日记，在21:34:49这个时间，*.*.*.*发动了攻击（见日记：防火墙819-2134），现封了这个ip,估计能撑1小时左右；看他下一步是用哪条线路攻击了，我也该吃饭去了
22:12
服务器正常!!
22:34
服务器正常!!
8月20日上午7点
服务器正常!!我也该去睡觉了...
8月20日下午15：53
进入服务器日记一看，好家伙，从11点40又开始攻击了，而且与以前有点不一样的是，有几次攻击间隔时间不是原来的13分钟，大概是有点发觉了，试探试探我。 刚好能看到最近的防火墙日记（见日记：防火墙820-1553），，找到了最近一次的攻击，是15：47：13，攻击的IP是218.85.125.12（注，后通过电信的同学查到该拨号的登记电话是**网吧的），是厦门电信adsl用户，接下来呢?
会不会是16：00？
16：12：59 攻击ip:220.192.70.147
18:08:05 攻击ip:220.192.68.119
18:09:55 攻击ip:220.192.68.119
黑客发现了我开始封ip,现在开始不规律的攻击了...
再晚上最高峰的时端，又开始被攻击了
11：05
11：06 （两次）
11：07
11：14
11：18
.
..
客人都在骂。。。
忍无可忍
8月21日
有事1天没来网吧，但愿一切ok,停止黑手
8月22日
下午15点打开服务器
靠，从21日的19点开始又开始13分钟攻击一次的历程了...
打开最近的防火墙日记
16：14：53的攻击ip是220.160.128.185
在我封了这个ip后，220.160.181.224(16:22) 这个ip又开始探测我的服务器信息（应该是重新拨号了)被我封了.
然后是从16：25开始*.*.*.*（网通的？）该网吧也有一条网通的线。不停的探测到16：26：54，不知道会不会黑客的，
16：32分，服务器恢复正常
8月23日
15：30打开服务器，发现从10:11分开始被攻击
看防火墙日记15：34：08的攻击ip是：220.192.68.24（联通？)（见防火墙日记防火墙823-1535）
有可能**网吧有联通这条线
随后，15：46：53的攻击也是220.192.68.24）（见防火墙日记防火墙823-1550）
2004-8-23 12:45:26的攻击是218.85.96.152
13：50:23的攻击是*.*.*.*福州大学旁**网吧
8.28
凌晨2：00
发现换了端口的服务器27017也开始被攻击，设好防火墙，在1：35时被攻击的ip是*.*.*.*
然后禁止了这个ip
8:29凌晨
2：46分
忍无可忍，给**网吧店打了电话，是女的接的，她说没有的事情，还追问我是谁。。。喝酒后我可能暴露了自己，打草惊蛇了，甚至我提到了用国外代理的事情，他们矢口否认，电话挂了之后，我来服务器看，服务器马上被攻击，甚至到了以前从未有过的短时间攻击（见系统日记系统日记829日0253.evt）其中多次有类似81.210.13.52，80.37.87.166，83.148.193.218，194.251.249.103等不可能的地址连接我的cs服务器端口：27017
看了防火墙日记，可疑的地址是：220.160.128.219 ，在3：00：30
攻击了27015，和27017端口，其中27015时220.160.128.219攻击，而27017是83.148.193.218攻击，第一次看了用代理的，看了**网吧被我警告后也是聪明了些，其中2：49和2：43的地址攻击也是
220.160.128.219.
但是奇怪的是之后就没有攻击了 ，有点怪（比较以前的攻击，）是我的电话起作用了？？？？（看日记29-3-17）
睡觉去了...明天看看吧，每人管，我能如何？....
9.21 16:31: 222.173.231.253
9月22日:CDMA1X无线上网联通
21:09 220.192.69.70
21:20 220.192.69.70
9月23日:CDMA1X无线上网联通
8:50 220.192.68.194
9:36 220.192.68.194
16:05 222.76.8.120
18日数据查adsl 电话:*******
25日:
25日:23:14 220.192.68.183
后记，记得当时封了相关的ip后，发现后面几次的全是联通的，再查询，才知道是联通的CDMA1X无线上网，该上网无用户登记资料，只要你有手提电脑，去营业厅买一个，就可以无休止的攻击别人，而且没人查的到是你。！！！当时给公安局报案后，他们带人去（同时我也去了，但没让我进他们网吧，让我在外面等）可惜他们根本就不会看......
再之后，依然被攻击，我封了相关的ip，同时在路由器上将福建联通CDMA1X的几个网段全封了，正常了约10天，之后变成了adsl拨号攻击，在公安也不介入的情况下，我关了服务器，都用cs16了...
判断是否被攻击的要点，1，首先将外网的端口映射不设，只开在内网，看是否服务器会重启，或者看端口换了后是否有攻击，或者换完后下次攻击是否迟一些。2，看看你们同城的网吧是否有cs15服务器比较旺的网吧... |
|
IP卡
狗仔卡
显身卡