网站防刷方案 -摘自网络

2. 浏览器款控制方案

3. CDN 与 反向代理

4. 网络设备控制方法

5. 服务器上做控制

操作系统部分，主要是通过linux内核提供的包过滤功能，通常所说的iptables

iptables -A INPUT -p icmp -m limit --limit 3/s -j LOG --log-level INFO --log-prefix "ICMP packet IN: "

iptables -N syn-flood
iptables -A INPUT -p tcp --syn -j syn-flood
iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN
iptables -A syn-flood -j REJECT

限制源IP的访问数量

-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -m connlimit --connlimit-above 50 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 --tcp-flags FIN,SYN,RST,ACK SYN -m connlimit --connlimit-above 50 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable

关键字，字符串过略

iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string "XXDD0S" -j DROP

以上所讲都是被动方法，需要系统管理一条一条添加规则。

下面通过脚本实现主动防御，通过提取 access.log 文件定位更精准，同时实现了黑/白名单可以将安全IP放置在白名单中。

#!/bin/bash
########################################
# Homepage: http://netkiller.github.io
# Author: neo <netkiller@msn.com>
########################################
PIPE=/tmp/pipe
pidfile=/tmp/firewall.pid

ACCCESS_LOG=/tmp/access.log
TIMEPOINT=‘24/May/2012‘
BLACKLIST=/var/tmp/black.lst
WHITELIST=/var/tmp/white.lst
########################################

if [ -z "$( egrep "CentOS|Redhat" /etc/issue)" ]; then
	echo ‘Only for Redhat or CentOS‘
	exit
fi

if [ ! -f ${BLACKLIST} ]; then
    touch ${BLACKLIST}
fi

if [ ! -f ${WHITELIST} ]; then
    touch ${WHITELIST}
fi

for deny in $(grep ${TIMEPOINT} ${ACCCESS_LOG} | awk ‘{print $1}‘ | awk -F‘.‘ ‘{print $1"."$2"."$3"."$4}‘ | sort | uniq -c | sort -r -n | head -n 30| awk ‘{print $2}‘)
do

    if [ $(grep -c $deny ${WHITELIST}) -ne 0 ]; then
        echo ‘Allow IP:‘ $deny
	iptables -D INPUT -p tcp --dport 443 -s $deny -j DROP
	iptables -D INPUT -p tcp --dport 80 -s $deny -j DROP
	continue
    fi

    if [ $(grep -c $deny ${BLACKLIST}) -eq 0 ] ; then

	echo ‘Deny IP:‘ $deny
        echo $deny >> ${BLACKLIST}
        iptables -I INPUT -p tcp --dport 443 -s $deny -j DROP
        iptables -I INPUT -p tcp --dport 80 -s $deny -j DROP
    fi
done

相比前面脚本，这个脚本更高级，实现关键字过滤，管道实时处理，这样不回因为日志尺寸变大，影响到脚本的处理性能。

#!/bin/bash
########################################
# Homepage: http://netkiller.github.io
# Author: neo <netkiller@msn.com>
########################################
ACCESSLOG=/www/logs/www.example.com/access.$(date +‘%Y-%m-%d‘).log
TIMEPOINT=‘24/May/2012‘
KEYWORD=send.php
BLACKLIST=/var/tmp/black.lst
WHITELIST=/var/tmp/white.lst
PIPE=/var/tmp/pipe
pidfile=/var/tmp/firewall.pid
logfile=/var/tmp/firewall.log
########################################
if [ -z "$( egrep "CentOS|Redhat" /etc/issue)" ]; then
	echo ‘Only for Redhat or CentOS‘
	exit
fi

if [ -z $1 ]; then
    echo "$0 clear|fw|collect|process|close"
fi

if [ "$1" == "clear" ]; then
    rm -rf $BLACKLIST
    rm -rf $PIPE
    echo "Clear OK!!!"
fi

if [ "$1" == "close" ]; then
	killall tail
    kill `cat $pidfile`
    echo > $pidfile
fi

if [ ! -e $PIPE ]; then
    mkfifo $PIPE
fi

if [ "$1" == ‘fw‘ ]; then
    iptables -A OUTPUT -p tcp --dport 2049 -j REJECT
    iptables -A OUTPUT -p tcp -m multiport --dports 22,21 -j REJECT

	for ipaddr in ${WHITELIST}
	do
		if [ $(grep -c $ipaddr ${WHITELIST}) -ne 0 ]; then
			iptables -A INPUT -p tcp --dport 443 -s $ipaddr -j ACCEPT
			iptables -A INPUT -p tcp --dport 80 -s $ipaddr -j ACCEPT
			echo ‘Allow IP:‘ $ipaddr >> $logfile
		fi
		if [ $(grep -c $ipaddr ${BLACKLIST}) -eq 0 ] ; then
			iptables -D INPUT -p tcp --dport 443 -s $ipaddr -j DROP
			iptables -D INPUT -p tcp --dport 80 -s $ipaddr -j DROP
			echo ‘Deny IP:‘ $ipaddr

		fi
	done

fi

if [ "$1" == "collect" ]; then
    killall tail
    for (( ; ; ))
    do
        tail -f $ACCESSLOG | grep $KEYWORD | cut -d ‘ ‘ -f1 > $PIPE
    done &
    echo $! > $pidfile
fi

if [ "$1" == "process" ]; then

	if [ ! -f $BLACKLIST ]; then
		touch $BLACKLIST
	fi

	if [ ! -f ${WHITELIST} ]; then
		touch ${WHITELIST}
	fi

	for (( ; ; ))
	do
		while read ipaddr
		do
			if [ $(grep -c $ipaddr ${WHITELIST}) -ne 0 ]; then
				echo ‘Allow IP:‘ $ipaddr >> $logfile
				continue
			fi

			grep $ipaddr ${BLACKLIST}
			if [ $? -eq 1 ] ; then
				echo $ipaddr >> ${BLACKLIST}
				iptables -I INPUT -p tcp --dport 80 -s $ipaddr -j DROP
				echo "Deny IP: $ipaddr" >> $logfile
			fi
		done < $PIPE
	done &
	echo $! >> $pidfile
fi

下面所讲技术，适用于反向代理，负载均衡，web服务器

Web 服务器也可以实现前面所说的防火墙等设备3/4层的功能，同时具备七层功能，很多负载均衡设备7层采用web服务器实现，例如 F5 7层的高级功能是由 Apache httpd 来完成（apache 是经过二次开发的）， 所以7层的部门我们主要在这里深入讨论

如果你有防火墙设备应该首先考虑在防火墙端做控制，如果没有防火墙那麽就考虑在负载均衡设备中做控制，这些设备你都没有，最后考虑在反向代理中处理，最后考虑web服务器。

限制IP地址在这里可以做到更细腻的控制，例如实现某个目录的，某URL的IP访问策略。请自行查找手册或参考《Netkiller Web 手札》

HTTP 协议头

上面7层访问控制还是比较粗糙的，主要是给应用程序减压，更细腻的控制需要通过程序手段，实现更智能判断。 不过同上上面的层层限制，已经足矣改善你的状况，如果还是无效继续往下看。

valid_referers none blocked *.example.com example.com;
if ($invalid_referer) {
	#rewrite ^(.*)$  http://www.example.com/cn/$1;
	return 403;
}

if ($http_user_agent = "") { 
	return 403; 
}

6. 通过程序控制访问行为

我们要做以下几种限制

1. 单位时间内访问次数

2. 访问时间间隔设置

3. 封锁时间设置

4. 黑白名单

提示

上面所有的操作都将计入日志，通过脚本可以将异常访问行文达到一定次数后，放入iptables DROP链中。

7. 总结