今天，一个平时没多少访问量的站点数据库连接池在几分钟内爆满，导致不能正常访问

# netstat

tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:3024 TIME_WAIT

tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:3034 TIME_WAIT

tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:4342 TIME_WAIT

tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:1524 TIME_WAIT

……

netstat发现大量类似的连接信息，特征是：
1、都来自123.114.11.31
2、都处于TIME_WAIT状态
3、每个端口都不同，在1000-5000间浮动

用netstat -p查看连接的pid，再用ps -aux，看到pid对应是resin的进程

怀疑遭到攻击

用iptables封掉该ip
# /sbin/iptables -A INPUT -s 123.114.17.31 -j REJECT

再用netstat查看

tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:1626 LAST_ACK -tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:1115 LAST_ACK - tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:2139 LAST_ACK -tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:2118 LAST_ACK - tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:1606 LAST_ACK - tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:4934 LAST_ACK - tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:1092 LAST_ACK - tcp 1 11209 HOST.localdomai:http ::ffff:123.114.17.31:1356 LAST_ACK -

所有的TIME_WAIT变成了LAST_ACK,同时数据库连接池也恢复正常，网站恢复访问。

Related posts:

1. 如何在Linux中防御SYN型DOS攻击
2. 优化Linux下的内核TCP参数来提高服务器负载能力
3. 系统安全笔记