在当今互联网环境中,服务器面临DDoS（分布式拒绝服务）攻击的风险日益增高，这类攻击通过海量恶意请求耗尽服务器资源，导致服务不可用，快速定位攻击源IP是应对攻击的关键第一步，本文将系统介绍服务器被DDoS攻击时查看攻击IP的方法、工具及注意事项，帮助管理员有效识别威胁。
通过系统日志分析可疑IP
Web服务器日志
若服务器运行Nginx、Apache等Web服务，访问日志（如Nginx的
access.log
、Apache的
access_log
）会详细记录每个请求的IP、时间、URL及User-Agent等信息，DDoS攻击时，日志中会出现短时间内同一IP的大量请求，或请求异常路径（如频繁访问、等敏感接口）。
分析步骤
：
系统内核日志
DDoS攻击可能导致系统资源耗尽,内核日志（
/var/log/kern.log
或）会记录网络连接异常信息，SYN Flood攻击时，内核日志可能出现大量“listening on [any] NNNN”或“drop connection from xxx”的警告。
分析技巧
：
利用网络监控工具实时捕获攻击IP
当攻击流量较大时,系统日志可能因写入延迟而无法实时反映情况，此时需借助网络监控工具直接抓取数据包，分析攻击源IP。
：轻量级网络抓包工具
是Linux下常用的命令行抓包工具，可通过过滤规则捕获特定流量，抓取80端口1分钟内的所有访问IP：
tcpdump -i eth0 -nn port 80 -c 1000 -w capture.pcap
抓包后使用打开
capture.pcap
文件，通过“Statistics→Endpoints→IPv4”查看通信频率最高的IP，或通过“Protocol Hierarchy”分析异常流量类型（如UDP Flood、ICMP Flood）。
/：实时流量监控工具
通过防火墙与流量清洗平台获取攻击IP
防火墙作为服务器的第一道防线,会记录被拦截的流量信息；而流量清洗平台（如阿里云DDoS防护、 酷番云 大禹）能提供更专业的攻击分析报告。
防火墙日志分析
云平台流量清洗报告
若服务器部署在云环境,云厂商的DDoS防护系统会自动识别并清洗攻击流量，并提供详细的攻击报告。
结合安全工具深度分析攻击IP
对于复杂DDoS攻击（如反射攻击、慢速攻击），需借助专业安全工具进一步分析攻击特征，避免误判。
与：检查活跃连接
使用
netstat -an | grep ESTABLISHED | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr
查看当前活跃连接数最多的IP，或通过查看进程对应的网络连接，定位异常IP。
安全信息与事件管理（SIEM）工具
企业级环境可通过ELK Stack（Elasticsearch、Logstash、Kibana）或Splunk收集服务器、防火墙、WAF的日志数据，通过关联分析识别攻击IP，设置告警规则：当某IP在1分钟内请求次数超过1000次时，自动标记为可疑IP并触发通知。
注意事项与后续处理
通过系统日志、网络监控工具、防火墙及云平台的多维度分析，管理员可快速定位DDoS攻击源IP，为后续的流量清洗、访问控制等应急响应措施提供依据，日常应加强服务器安全配置（如关闭非必要端口、更新系统补丁），并部署专业的DDoS防护设备，降低攻击风险。
发表评论