Apache mod状态显示..reading。

Question

最近我的apache受到了DoS攻击，发生了攻击者对我们apache的SYN请求，我知道，因为当时我启用了wireshark。

攻击结束后，我重新启动apache并将其全部恢复正常运行。但是，当我从mod-status检查我的服务器状态时，有一些线程正在显示。

> 0-92 61968 0/0/674 R 1125 0 0.0 0.00 22.93 ? ? ..reading..
> 0-92 61968 0/0/29 R 537889 0 0.0 0.00 0.01 ? ? ..reading..
> 0-92 61968 0/0/852 R 1158 15 0.0 0.00 15.05 ? ? ..reading..
> 0-92 61968 0/0/2 R 537933 578 0.0 0.00 0.02 ? ? ..reading..
> 0-92 61968 0/0/3 R 537933 0 0.0 0.00 0.02 ? ? ..reading..
> 0-92 61968 0/0/1 R 538060 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/2 R 538060 0 0.0 0.00 0.01 ? ? ..reading..
> 0-92 61968 0/0/71 R 538146 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/31 R 538146 0 0.0 0.00 0.01 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 R 1287665833 0 0.0 0.00 0.00 ? ? ..reading..
> 0-92 61968 0/0/0 K 1287665833 0 0.0 0.00 0.00

这些..reading..。总是在我重新启动后显示。你知道怎么移除这个吗？它是从哪里来的？

Answer 1

来验证你是否还在被攻击：

1. 以root身份登录您的服务器
2. 输入以下命令netstat -plan | grep :80 | awk {'print $5′} | cut -d: -f 1 | sort | uniq -c | sort -n，您将看到一个IP的列表，其中包含每个连接到您的服务器的连接数。
3. 如果任何is都有超过100个连接，那么就有可能是您的攻击者。如果您安装了APF或CSF，请继续使用APF阻止此IP。-d IP或csf -d IP

Answer 2

我最近也看到了一些关于我的apache状态的东西。看来他们会自动为我离开。我也想找个解释。

关于这些进程在重新启动后不会消失，您可以尝试停止apache：

killall -KILL httpd

那就重启它。它们可能是僵尸进程，apache在重新启动时不能单独杀死这些进程。

Answer 3

我知道这种攻击几乎是不可能阻止的，但只需确保:您是否对Apache TimeOut值进行了微调，还是将其设置为默认值(我认为是300秒)？如果是默认的300秒，您可以安全地将其更改为一些明显较低的值，例如15或30秒。