1)系统安全

1.1.系统进程

在应急排查中需要查看系统有无异常进程，以下讲解在linux和windows系统中如果快速查看系统进程。

1.1.1.Linux进程

Linux进程可使用ps命令查看，常用命令如下：

当命令运行后，Linux会将结果回显，格式详解如下：

其中STAT状态位常见的状态字符有：

Linux上的进程状态如下：

ps -A 显示所有进程信息，结果如下：

[root@ecs-g5tAc ~]# ps -A

  PID TTY          TIME CMD

    1 ?        00:01:03 systemd

    2 ?        00:00:00 kthreadd

    3 ?        00:00:01 ksoftirqd/0

    5 ?        00:00:01 kworker/0:0H

    7 ?        00:00:00 migration/0

    8 ?        00:00:00 rcu_bh

    9 ?        00:00:00 rcuob/0

   10 ?        00:00:37 rcu_sched

   11 ?        00:01:10 rcuos/0

   12 ?        00:00:02 watchdog/0

   13 ?        00:00:00 khelper

……省略部分结果

ps -u root 显示指定用户信息，结果如下：

[root@ecs-g5tAc ~]# ps -u root

  PID TTY          TIME CMD

    1 ?        00:01:03 systemd

    2 ?        00:00:00 kthreadd

    3 ?        00:00:01 ksoftirqd/0

    5 ?        00:00:01 kworker/0:0H

    7 ?        00:00:00 migration/0

    8 ?        00:00:00 rcu_bh

    9 ?        00:00:00 rcuob/0

   10 ?        00:00:37 rcu_sched

   11 ?        00:01:10 rcuos/0

……省略部分结果

ps -ef 显示所有进程信息，及命令行，结果如下：

[root@ecs-g5tAc ~]# ps -ef

UID        PID  PPID  C STIME TTY          TIME CMD

root         1     0  0 Nov06 ?        00:01:03 /usr/lib/systemd/systemd --system --deserialize 16

root         2     0  0 Nov06 ?        00:00:00 [kthreadd]

root         3     2  0 Nov06 ?        00:00:01 [ksoftirqd/0]

root         5     2  0 Nov06 ?        00:00:01 [kworker/0:0H]

root         7     2  0 Nov06 ?        00:00:00 [migration/0]

root         8     2  0 Nov06 ?        00:00:00 [rcu_bh]

root         9     2  0 Nov06 ?        00:00:00 [rcuob/0]

root        10     2  0 Nov06 ?        00:00:37 [rcu_sched]

root        11     2  0 Nov06 ?        00:01:10 [rcuos/0]

……省略部分结果

ps -ef | grep ssh 查看特定进程，结果如下：

[root@ecs-g5tAc ~]# ps -ef | grep ssh

root       895     1  0 16:40 ?        00:00:00 /usr/sbin/sshd -D

root      1499   895  0 16:41 ?        00:00:00 sshd: root@pts/0

root      1528  1501  0 16:45 pts/0    00:00:00 grep --color=auto ssh

       Windows: echo | tasklist > tasklist.txt

netstat -nltp | grep pid 查看进程对应的监听端口，结果如下：

[root@ecs-g5tAc ~]# netstat -nltp | grep 895

tcp        0      0 0.0.0.0:2566    0.0.0.0:*          LISTEN      895/sshd           

tcp6       0      0 :::2566         :::*              LISTEN      895/sshd      

1.1.2.监听端口

netstat命令用来打印系统的网络状态信息，包括网络连接（network connections）、路由表（routing tables）、网络接口设备统计信息（interface statistics）、伪装连接（masquerade connections）和多播成员信息（multicast memberships）等，可显示与IP、TCP、UDP和ICMP协议相关的统计数据，一般用于检验本机各端口的网络连接情况。

1.1.2.1.Windows监听端口

Windows下netstat常用参数及其含义如下：

当命令运行后，“状态”回显值格式详解如下：

示例如下：

>netstat -a

>netstat -n

>netstat -o

1.1.2.2.Linux监听端口

Linux下netstat常用参数及其含义如下：

当命令运行后，“状态”回显值格式详解如下：

Linux下的netstat的输出结果可以分为两个部分

1)Active Internet connections 有源TCP连接，其中"Recv-Q"和"Send-Q"指接收队列和发送队列。这些数字一般都应该是0。如果不是则表示软件包正在队列中堆积。这种情况只能在非常少的情况见到。

2)Active UNIX domain sockets 有源Unix域套接口(和网络套接字一样，但是只能用于本机通信，性能可以提高一倍)。

Linux下netstat回显列名解释如下：

列出所有端口：netstat -a

只显示监听端口： netstat -l

netstat -p 可以与其它开关一起使用，就可以添加 “PID/进程名称” 到 netstat 输出中，这样 debugging 的时候可以很方便的发现特定端口运行的程序。

1.1.3.启动项

1.1.3.1.Windows启动项

1)首先找到电脑的“运行”窗口，或者直接按“win+R”;然后输入“msconfig”，然后会打开系统配置的窗口，选择其中的“启动”;进入启动设置之后，点击“打开任务管理器”;进入任务管理器之后，就可以看到电脑的所有启动项。

2)运行regedit，打开注册表。依次展开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，

其中就包含着你电脑里的启动项。

1.1.3.2.Linux启动项

Linux启动顺序中决定程序启动项的在init这里，分为两大步骤：按级别加载/etc/rc(0-6).d目录下的启动脚本；加载/etc/rc.local文件。所以设置启动项的方案按原理就分为这两种方式。

1)查看路径或文件：/etc/init.d/，/etc/rc.d/，/etc/rc.local ，/etc/rc.sysinit， /etc/inittab，/etc/profile。

2)早期的Linux版本是用chkconfig命令来设置rc的link，设置开机启动项；用service命令调用服务的start、stop、restart、status等函数。在现在主流Linux版本已经将这两个命令合并成一个systemctl命令了，映射关系如下：

1.1.4.系统账号

1.1.4.1.Windows系统账号

1)首先找到电脑的“运行”窗口，或者直接按“win+R”;然后输入“cmd”，之后输入命令“net user”，获得用户列表。

2)右键单击此电脑选择属性；在属性界面点击控制面板主页进入；在控制面板主页点击用户账号进入；继续点击用户账号进入；进入用户账号界面，就可以看到本机的用户账号名称了；

3)首先找到电脑的“运行”窗口，或者直接按“win+R”;然后输入“cmd”，之后输入命令“lusrmgr.msc”，可以获得本地用户和组，但是该方法不适用于 Win10 家庭版。

4)针对Windows隐藏帐户的利用，查看注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\即可。当然，默认管理员权限无法查看，需要分配权限或是提升至Sytem权限。隐藏帐户的登录记录，可通过查看日志获取

1.1.4.2.Linux系统账号

1)Linux里存放的是用户信息是/etc/passwd 文件，该文件是由六个分号组成的7个信息。具体解析如下：

2)查看用户信息

who，查看当前登录用户的账户名

who显示的信息解释如下：

w，w命令显示的信息比who命令显示的信息更加详细一点，他会对系统的资源做一些简单的统计。

whoami，查看当前登录用户的账户名

id，查看用户UID和GID信息

3)Linux密码文件

Linux下密码文件保存在/etc/shadow文件中。cat /etc/shadow可以查看文件内容。

1.1.5.系统共享

1.1.5.1.Windows系统共享

微软的初衷是便于网管进行远程管理，这虽然方便了局域网用户，但对我们个人用户来说这样的设置是不安全的。如果电脑联网，网络上的任何人都可以通过共享硬盘，随意进入你的电脑。

所以我们有必要关闭这些共享。更为可怕的是，黑客可以通过连接你的电脑实现对这些默认共享的访问。

1)在命令提示符中输入：net share可以查看共享。

2)右键点击桌面上的计算机图标，然后点击管理，之后点击计算机管理，打开共享文件夹，可以看到共享。

1.1.6.系统日志

1.1.6.1.Windows日志

Windows日志一般存放在C:\Windows\System32\winevt\Logs目录下。

其中，系统日志记录名字为：System.evtx。记录的是操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据。

应用程序日志记录名字为：Application.evtx。记录的是应用程序或系统程序记录的事件，主要包括程序运行方面的事件。

安全日志记录名字为：Security.evtx。记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。

安全日志也是调查取证中最常用到的日志。默认安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。

1)在打开的控制面板当中，以“类别”方式来查看时，点击系统和安全；在“系统和安全”面板中找到“管理工具”，点击下面的“查看事件日志”，就可以打开“事件查看器”了。

2)可以通过dos命令来打开“事件查看器”。按下组合键“win+r”，然后输入“eventvwr.exe”，然后回车就可以打开了。

3)选择其中一种日志，例如：“windows日志”下的“系统”，之后右击系统选择“将所有事件另存为”，在弹出的窗口中选择存储路径，填写文件名，选择文件类型（4种类型，xml，txt，csv，evtx），点击保存。

1.1.6.2.Linux系统日志

大部分Linux发行版默认的日志守护进程为 syslog，位于 /etc/syslog 或 /etc/syslogd，默认配置文件为 /etc/syslog.conf，任何希望生成日志的程序都可以向 syslog 发送信息。

而Fedora、Ubuntu,、rhel6、centos6以上版本默认的日志系统都是rsyslog，rsyslog是syslog的多线程增强版。

Linux系统内核和许多程序会产生各种错误信息、警告信息和其他的提示信息，这些信息对管理员了解系统的运行状态是非常有用的，所以应该把它们写到日志文件中去。

完成这个过程的程序就是syslog。syslog可以根据日志的类别和优先级将日志保存到不同的文件中。默认配置下，日志文件通常都保存在“/var/log”目录下。

常见日志的优先级：

所有的系统应用都会在 /var/log 目录下创建日志文件，或创建子目录再创建日志文件。

常用的日志文件如下：

1.1.6.3.Nginx日志

打开nginx 安装目录，找到logs目录，日志在*/nginx/logs/目录下。打开日志可以看到日志内容。

Nginx日志中可以设置每个字段来到得到相应的日志类型，以下为常用字段。

1.1.6.4.Apache日志

1)Apache在Linux下的日志默认路径为：“/etc/httpd/logs/*”或者“/var/log/httpd/*”，如果未找到相对应的apache日志，可以查看默认配置文件内容来寻找相对应的路径，默认配置文件路径为：“/etc/httpd/conf/httpd.conf”或者“/etc/init.d/httpd”。

2)Apache在Windows下的日志默认路径为：“*/apache/logs/*”。

1.1.6.5.IIS日志

1)由于不同的 Windows 版本，iis日志路径不一样。

Windows Server 2003 iis6日志路径：C:\Windows\System32\LogFiles。

Windows Server 2008 R2、2012、2016、2019 iis7以上日志路径：C:\inetpub\logs\LogFiles。

2)Windows Server 2003 iis6选择“开始”菜单 ，找到 管理工具（或 Windows 管理工具） ，之后打开Internet 信息服务(IIS)管理器（或 Internet Information Services (IIS)管理器），然后打开 iis 服务器窗口，依次展开要查看日志的网站；右键要查看日志的网站，点击属性，找到“网站”选项卡，然后查看属性，最后点击“常规”选项卡，会找到日志存放路径。

3)Windows Server 2008 R2、2012、2016、2019 系统选择“开始”菜单 ，找到 管理工具（或 Windows 管理工具） ，之后打开Internet 信息服务(IIS)管理器（或 Internet Information Services (IIS)管理器），然后打开 iis 服务器窗口，双击“日志”图标；

1.1.6.6.weblogic日志

WebLogic 8.x 和 9及以后的版本目录结构有所不同。

WebLogic 9及以后版本，日志在$MW_HOME\user_projects\domains\\servers\\logs\目录下。

WebLogic 8.x日志在$MW_HOME\user_projects\domains\\\目录下。

1.1.6.7.

1.1.6.8.Tomcat日志

tomcat 对应日志的配置文件在tomcat目录下/conf/。

tomcat 的日志等级有：日志输出级别：SEVERE (最高级别) > WARNING > INFO > CONFIG > FINE > FINER(精心) > FINEST (所有内容,最低级别)。

tomcat  一般有两部分日志 一是运行中的日志catalina.out，它主要记录运行的一些信息，尤其是一些异常错误日志信息；二是访问日志信息access.`date +%F`.log，它记录的访问的时间，IP，访问的资料等相关信息。

作为整个 tomcat 服务器最核心的配置文件，server.xml位于$TOMCAT_HOME/conf目录下，server.xml的每一个元素都对应了 tomcat中的一个组件，通过对xml中元素的配置，实现对 tomcat中的各个组件和端口的配置。

1)catalina.out即标准输出和标准出错，所有输出到这两个位置的都会进入catalina.out，这里包含tomcat运行自己输出的日志以及应用里向console输出的日志。默认这个日志文件是不会进行自动切割的，我们需要借助其他工具进行切割（注意：catalina.out文件如果过大会影响）

2)catalina.{yyyy-MM-dd}.log是tomcat自己运行的一些日志，这些日志还会输出到catalina.out，但是应用向console输出的日志不会输出到catalina.{yyyy-MM-dd}.log,它是tomcat的启动和暂停时的运行日志，注意，它和catalina.out是里面的内容是不一样的。

3)localhost.{yyyy-MM-dd}.log主要是应用初始化(listener, filter, servlet)未处理的异常最后被tomcat捕获而输出的日志,它也是包含tomcat的启动和暂停时的运行日志,但它没有catalina.2018-09-19.log 日志全。它只是记录了部分日志。

4)localhost_access_log. {yyyy-MM-dd}.txt：这个是访问tomcat的日志，请求时间和资源，状态码都有记录。

5)host-manager. {yyyy-MM-dd}.log：这个是放虚拟主机方面日志。

6)manager. {yyyy-MM-dd}.log：这个是放管理的日志。

1.1.7.最近创建或修改的文件

1.1.7.1.Windows

1)打开“我的电脑”，在搜索框里进行搜索“修改日期：本周”，即可将本周创建或修改的文件列出。如果想选择其他时间范围，可以点击修改日期，有相应的选项。

2)右键桌面左下角“开始”按钮。然后点击“运行”，或者“win+R”。在打开的“运行窗口”输入“recent”，点击“确定”。

按时间排序所有最近编辑过的文件都一目了然。

1.1.7.2.Linux

find命令可以用于查找目录和文件，Linux中find常见用法“find path -option [-print ] [-exec -ok command ] {} \”

find / -amin -10     # 查找在系统中最后10分钟访问的文件

find / -atime -2        # 查找在系统中最后48小时访问的文件

find / -empty             # 查找在系统中为空的文件或者文件夹

find / -group cat        # 查找在系统中属于 groupcat的文件

find / -mmin -5         # 查找在系统中最后5分钟里修改过的文件

find / -mtime -1       #查找在系统中最后24小时里修改过的文件

find / -nouser           #查找在系统中属于作废用户的文件

1.1.8.计划任务

1.1.8.1.Windows

1)首先找到电脑的“运行”窗口，或者直接按“win+R”;然后输入“taskschd.msc”， 跳出任务计划程序框，点击左上角“任务计划程序库”，就能看到任务计划。

2)找到电脑的“运行”窗口或者直接按“win+R”,输入“regedit”,依次定位到：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Schedule

1.1.8.2.Linux

crontab命令是Unix和Linux用于设置周期性被执行的指令, 该命令从标准输入设备读取指令，并将其存放于“crontab”文件中，以供之后读取和执行。

系统周期性所要执行的工作，比如写缓存数据到硬盘、日志清理等即为系统任务调度。在/etc目录下有一个crontab文件，这个就是系统任务调度的配置文件。

命令格式为：

crontab [-u user] file

crontab [-u user] [ -e | -l | -r ]

一般用命令：crontab -l

1.1.9.历史记录

1)找到所有浏览器，找到历史记录进行查看。以火狐为例，打开菜单，找到“我的足迹”，点击“历史”，找到“查看历史记录侧栏。

2)Linux下输入“history”，查看历史命令。

1.1.10.Hosts头文件

Hosts是一个没有扩展名的系统文件，可以用记事本等工具打开，其作用就是将一些常用的网址域名与其对应的IP地址建立一个关联“数据库”，当用户在浏览器中输入一个需要登录的网址时，系统会首先自动从Hosts文件中寻找对应的IP地址，一旦找到，系统会立即打开对应网页，如果没有找到，则系统会再将网址提交DNS域名解析服务器进行IP地址的解析。

一般情况下hosts文件的每行为一个主机，每行由三部分组成，每个部分由空格隔开。

当然每行也可以是两部分，即网络ip地址和主机名。主机名（hostname）和域名（Domain）的区别在于，主机名通常在局域网内使用，通过hosts文件，主机名就被解析到对应ip。

域名通常在internet上使用，但如果本机不想使用internet上的域名解析，这时就可以更改hosts文件，加入自己的域名解析。格式如下：

1.1.10.1.Windows

1)Windows HOSTS文件是在“c:\windows\system32\drivers\etc，注意这个文件一定是在系统盘，如果你的系统在D盘请自行修改前面的盘符。

2)按下“Win+R”组合键，调出运行栏，在运行文本框输入“c:\windows\system32\drivers\etc”，点击确定按钮。

1.1.10.2.Linux

Linux HOSTS文件是“/etc/hosts”。

1.1.11.文件关联

1)进入控制面板，点击程序，找到默认程序一栏中的“设置默认程序”然后就可以设置默认程序了。

2)运行regedit，打开注册表。依次展开“计算机\HKEY_CLASSES_ROOT\”。

1.1.12.映像劫持

“映像劫持”，也被称为“IFEO”（Image File Execution Options），在WindowsNT架构的系统里，IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。

当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而WindowsN T架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。

出于简化原因，IFEO使用忽略路径的方式来匹配它所要控制的程序文件名，所以程序无论放在哪个路径，只要名字没有变化，它就运行出问题。

1)运行regedit，打开注册表。依次展开“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File ExecutionOptions”。

1.1.13.防火墙

1.1.13.1.Windows

点击开始，找到控制面板，点击管理工具，选择高级安全windows防火墙

1.1.13.2.Linux

Linux下查看防火墙是否开启使用命令“service iptables status”或“systemctl status firewalld”

如果要查看iptables目前运行的规则，使用iptables -vnL可以列出。

1.1.14.邮件信息

电子邮件也许是一个Internet上的流行最广泛的应用。也是我们现在的大多数网络办公流程的基础。各种邮件服务器很多,但都大都遵循以1982年出版的RFC822--《ARPA网络文本信息格式标准(STANDARD FOR THE FORMAT OF ARPA INTERNET TEXT MESSAGES)》为基础的一系列邮件格式的规定。

　　RFC（The Requests for Comments）是用来规定互联网工作标准的文档。我们使用的时候并没有注意到这些协议在我们的邮件通信过程中默默的发挥着的作用，这丝毫也不能减低这些作用的重要性。邮件内部还有很多不为人知的秘密。

　　在RFC822中规定一封信包括一个必须的多个头部域（header fields）和一个可选的体部（body）组成。从一封信头开始至第一个空行都是头部。头部定义了一个邮件的各项基本要素，路由信息等内容。

在Outlook EXPress中选定一封信看它的属性。在详细资料选项卡中显示的就是这封邮件的头部内容。也可以选定一封信，另存为一个.eml文件。由于文件是一个纯文本文件，用一般的编辑器打开就可以看到邮件的内容。

头部有各个头部域组成，每一个头部域都包括域名（field-name）和域体（field-body），它们之间以"："分隔。每一个头部域都可以看作由ASCII码字符组成的独立的文本。常见的头部域包括："Return-Path", "Received", "Date", "From", "Subject", "Sender","To", "cc","MIME-Version"等。各头部域之间没有规定顺序。

就像各个域的名字一样。他们表示的具体意义也不同。

Received域：Internet上的信件可能是由多个服务器依靠协议传递到达最终的目的邮箱的。每一个服务器都会把自己的一段 Received域信息添加近信件。

所以可能有多段Received域，依传递次序排列。这个域的内容很有意思，我们可以根据每一段的内容来跟踪一封信在internet上的传递过程。网管人员也可以根据这些信息做出很有价值的判断。

Content-Type域：这个域的内容根据互联网的发展产生，使邮件可以用来传输非文本内容，在RFC822中并没有定义，而是在后续的RFC2045,RFC2046等文档中有定义。

还有一些不太常见的头部域，如"References","Message-ID"域。以及一些由不同厂家定义的自己的域（域名以"X-"开头）。

一封邮件首先建立的是核心的几个域:From，To，Message-Id，Subject，Date等，在传输过程中每通过一个服务器再由此服务器在邮件头部添加一行Received信息，最后一个服务器添加退信地址(Return-Path)。判断伪造邮件可以找sender或者authsender字段。

查看邮件头信息操作如下：打开outlook客户端，随便找一封需要查看邮件头的邮件。双击打开邮件之后，找到“标记”菜单栏下方的选项箭头“邮件选项”，接着出现的邮件“属性”对话框下方的internet邮件头就是所要的信息。

1.1.15.DDOS

分布式拒绝服务攻击原理分布式拒绝服务攻击DDoS是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布的、协同的大规模攻击方式。

单一的DoS攻击一般是采用一对一方式的，它利用网络协议和操作系统的一些缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。

与DoS攻击由单台主机发起攻击相比较，分布式拒绝服务攻击DDoS是借助数百、甚至数千台被入侵后安装了攻击进程的主机同时发起的集团行为。

一个完整的DDoS攻击体系由攻击者、主控端、代理端和攻击目标四部分组成。主控端和代理端分别用于控制和实际发起攻击，其中主控端只发布命令而不参与实际的攻击，代理端发出DDoS的实际攻击包。

对于主控端和代理端的计算机，攻击者有控制权或者部分控制权．它在攻击过程中会利用各种手段隐藏自己不被别人发现。

真正的攻击者一旦将攻击的命令传送到主控端，攻击者就可以关闭或离开网络．而由主控端将命令发布到各个代理主机上。这样攻击者可以逃避追踪。

每一个攻击代理主机都会向目标主机发送大量的服务请求数据包，这些数据包经过伪装，无法识别它的来源，而且这些数据包所请求的服务往往要消耗大量的系统资源，造成目标主机无法为用户提供正常服务。甚至导致系统崩溃。

DDoS的表现形式主要有两种，一种为流量攻击，主要是针对网络带宽的攻击，即大量攻击包导致网络带宽被阻塞，合法网络包被虚假的攻击包淹没而无法到达主机；另一种为资源耗尽攻击，主要是针对服务器主机的攻击，即通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网络服务。

当被DDoS攻击时，主要表现为：

(1)被攻击主机上有大量等待的TCP连接。

(2)网络中充斥着大量的无用的数据包，源地址为假。

(3)制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯。

(4)利用受害主机提供的服务或传输协议上的缺陷，反复高速地发出特定的服务请求，使受害主机无法及时处理所有正常请求。

(5)严重时会造成系统死机。

1.1.15.1.基于系统及协议的弱点分类

1)洪水攻击。在洪水攻击中。傀儡机向受害者系统发送大量的数据流为了充塞受害者系统的带宽，影响小的则降低受害者提供的服务，影响大的则使整个网络带宽持续饱和，以至于网络服务瘫痪。典型的洪水攻击有UDP洪水攻击和ICMP洪水攻击。

2)扩大攻击。扩大攻击分为两种，一种是利用广播lP地址的特性，一种是利用反射体来发动攻击。前一种攻击者是利用了广播IP地址的特性来扩大和映射攻击，导致路由器将数据包发送到整个网络的广播地址列表中的所有的广播IP地址。这些恶意的流量将减少受害者系统可提供的带宽。典型的扩大攻击有Smurf和Fraggle攻击。

3)利用协议的攻击。该类攻击则是利用某些协议的特性或者利用了安装在受害者机器上的协议中存在的漏洞来耗尽它的大量资源。典型的利用协议攻击的例子是TCP SYN攻击。

4)畸形数据包攻击。攻击者通过向受害者发送不正确的IP地址的数据包，导致受害系统崩溃。畸形数据包攻击可分为两种类型：IP地址攻击和IP数据包属性攻击。

发生DDOS攻击时，可以通过wireshark进行捕获流量，之后对流量进行分析判断。

wireshark是一款很专业的网络数据包分析软件。网络数据包分析软件的功能是截取网络数据包，并尽可能显示出最为详细的网络数据包数据。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

1)Frame

2)Ethernet II

3)Internet Protocol Version 4

4)Transmission Control Protocol

1.1.15.2.捕获过滤

1)捕捉过滤器语法

语法：< Value> < Logical Operations>

Protocol（协议）: ether，fddi， ip，arp，rarp，decnet，lat， sca，moprc，mopdl， tcp ， udp 等，如果没指明协议类型，则默认为捕捉所有支持的协议。

Direction（方向）:src， dst，src and dst， src or dst等，如果没指明方向，则默认使用 “src or dst” 作为关键字。

Host(s): net, port, host, portrange等，默认使用”host”关键字，”src 10.1.1.1″与”src host 10.1.1.1″等价。

Logical Operations（逻辑运算）:not, and, or 等，否(“not”)具有最高的优先级。或(“or”)和与(“and”)具有相同的优先级，运算时从左至右进行。

2)显示过滤器语法

捕获过滤器使用BPF语法，而显示过滤器使用wireshark专有格式。并且显示显示过滤器区分大小写，大部分使用的是小写。

语法格式：Protocol String1 String2 Comparision operator Value Logical Operations Other expression

Protocol(协议)：该选项用来指定协议。该选项可以使用位于OSI模型第2-7层的协议。

String1,String2(可选项)：协议的子类。

Comparision operator: 指定运算比较符。

Logical expression: 指定逻辑运算符。

1.1.15.3.常见使用的捕获过滤语句

1)只（不）捕获某主机的HTTP流量

host 192.168.5.231 and port 80 and http
#只捕获主机192.168.5.231 的http流量。注意如果你的HTTP端口为8080，把80 改为8080。

port 80 and http
#捕获所有经过该接口的http流量。注意如果你的HTTP端口为8080，把80 改为8080。

host 192.168.5.231 and not port 80
#捕获主机192.168.5.231除 http 之外的其他所有流量，注意如果你的HTTP端口为8080，把80 改为8080。

not port 80
#捕获除 http 之外的其他所有流量，注意如果你的HTTP端口为8080，把80 改为8080。

not port 80 and !http
#捕获除 http 之外的其他所有流量，注意如果你的HTTP端口为8080，把80 改为8080。

2)只捕获某主机的所有流量

host 192.168.5.231
#捕获源目主机均为192.168.5.231

dst 192.168.5.231
#捕获目的主机均为192.168.5.231

src 192.168.5.231
#捕获来源主机均为192.168.5.231

net 192.168.5.0/24
#捕获网段为d192.168.5的所有主机的所有流量

3)只捕获某主机的DNS流量

host 192.168.5.231 and port 53
#只捕获主机192.168.5.231 的dns流量。

src 192.168.5.231 and port 53
#只捕获主机192.168.5.231 对外的dns 的流量。

dst 192.168.5.231 and port 53
#只捕获dns服务器相应主机192.168.5.231的dns流量。

port 53
#捕获接口中的所有主机的dns流量

4)只（不）捕获APR流量

host 192.168.5.231 and arp
#只捕获主机192.168.5.231 的arp流量。

host 192.168.5.231 and !arp
#只捕获主机192.168.5.231 除arp外的所有流量。

arp
#捕获接口中的所有arp请求

!arp
#捕获接口中所有非arpq请求。

5)只捕获特定端口的流量

tcp portrange 8000-9000 an port 80
#捕获端口8000-9000之间和80端口的流量

port 5060
#捕获sip流量，因为sip的默认端口是5060。举一反三：port 22#捕获ssh流量

6)捕获电子邮件的流量

host 192.168.5.231 and port 25
#捕获主机192.168.5.231 的POP3协议的流量。

port 25 and portrange 110-143
#因为电子邮件的协议：SMTP、POP3、IMAP4，所以捕获端口的流量。

7)捕获vlan 的流量

vlan
#捕获所有vlan 的流量

vlan and (host 192.168.5.0 and port 80)

#捕获vlan 中主机192.168.5.0 ，前提是有vlan，在wifi中不一定可以捕获到相应的流量，局域网（公司，学校里面的网络应该有vlan)