源端口耗尽

㈠ 在ip协议中,存在源端口与目的端口吗

存在，在进行IP地址交换时，用到三次握手法，那么也就有源端口和目的端口了。源端口是发送IP的端口，目的端口是接受IP的端口

㈡ 为什么发送HTTP请求，源端口要大于1023

0-1023是公认端口号，即已经公认定义或为将要公认定义的软件保留的；比如FTP：20和21，HTTP：80，TELNET：23等

㈢ 网络通信时，什么情况下源端口是1~1024的范围内 搜索时显示来自NAT的数据是，但没有详细解释，求解

1~~~1024是众所周知端口，都是固定的，例如端口23就是我们常用的TELNET远程访问端口；端口53就是DNS服务等等

㈣ 如何防御僵尸网络对网站服务器80端口的不断攻击

解读DDOS及防御DDOS攻击指南
一、为何要DDOS？
随着Internet互联网络带宽的增加和多种DDOS黑客工具的不断发布，DDOS拒绝服务攻击的实施越来越容易，DDOS攻击事件正在成上升趋势。出于商业竞争、打击报复和网络敲诈等多种因素，导致很多IDC托管机房、商业站点、游戏服务器、聊天网络等网络服务商长期以来一直被DDOS攻击所困扰，随之而来的是客户投诉、同虚拟主机用户受牵连、法律纠纷、商业损失等一系列问题，因此，解决DDOS攻击问题成为网络服务商必须考虑的头等大事。
二、什么是DDOS？
DDOS是英文Distributed Denial of Service的缩写，意即“分布式拒绝服务”，那么什么又是拒绝服务（Denial of Service）呢？可以这么理解，凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确，就是要阻止合法用户对正常网络资源的访问，从而达成攻击者不可告人的目的。虽然同样是拒绝服务攻击，但是DDOS和DOS还是有所不同，DDOS的攻击策略侧重于通过很多“僵尸主机”（被攻击者入侵过或可间接利用的主机）向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务，分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源，因此，拒绝服务攻击又被称之为“洪水式攻击”，常见的DDOS攻击手段有SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script Flood、Proxy Flood等；而DOS则侧重于通过对主机特定漏洞的利用攻击导致网络栈失效、系统崩溃、主机死机而无法提供正常的网络服务功能，从而造成拒绝服务，常见的DOS攻击手段有TearDrop、Land、Jolt、IGMP Nuker、Boink、Smurf、Bonk、OOB等。就这两种拒绝服务攻击而言，危害较大的主要是DDOS攻击，原因是很难防范，至于DOS攻击，通过给主机服务器打补丁或安装防火墙软件就可以很好地防范，后文会详细介绍怎么对付DDOS攻击。
三、被DDOS了吗？
DDOS的表现形式主要有两种，一种为流量攻击，主要是针对网络带宽的攻击，即大量攻击包导致网络带宽被阻塞，合法网络包被虚假的攻击包淹没而无法到达主机；另一种为资源耗尽攻击，主要是针对服务器主机的攻击，即通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网络服务。
如何判断网站是否遭受了流量攻击呢？可通过Ping命令来测试，若发现Ping超时或丢包严重(假定平时是正常的)，则可能遭受了流量攻击，此时若发现和你的主机接在同一交换机上的服务器也访问不了了，基本可以确定是遭受了流量攻击。当然，这样测试的前提是你到服务器主机之间的ICMP协议没有被路由器和防火墙等设备屏蔽，否则可采取Telnet主机服务器的网络服务端口来测试，效果是一样的。不过有一点可以肯定，假如平时Ping你的主机服务器和接在同一交换机上的主机服务器都是正常的，突然都Ping不通了或者是严重丢包，那么假如可以排除网络故障因素的话则肯定是遭受了流量攻击，再一个流量攻击的典型现象是，一旦遭受流量攻击，会发现用远程终端连接网站服务器会失败。
相对于流量攻击而言，资源耗尽攻击要容易判断一些，假如平时Ping网站主机和访问网站都是正常的，发现突然网站访问非常缓慢或无法访问了，而Ping还可以Ping通，则很可能遭受了资源耗尽攻击，此时若在服务器上用Netstat -na命令观察到有大量的SYN_RECEIVED、TIME_WAIT、FIN_WAIT_1等状态存在，而ESTABLISHED很少，则可判定肯定是遭受了资源耗尽攻击。还有一种属于资源耗尽攻击的现象是，Ping自己的网站主机Ping不通或者是丢包严重，而Ping与自己的主机在同一交换机上的服务器则正常，造成这种原因是网站主机遭受攻击后导致系统内核或某些应用程序CPU利用率达到100%无法回应Ping命令，其实带宽还是有的，否则就Ping不通接在同一交换机上的主机了。
当前主要有三种流行的DDOS攻击：
1、SYN/ACK Flood攻击：
这种攻击方法是经典最有效的DDOS方法，可通杀各种系统的网络服务，主要是通过向受害主机发送大量伪造源IP和源端口的SYN或ACK包，导致主机的缓存资源被耗尽或忙于发送回应包而造成拒绝服务，由于源都是伪造的故追踪起来比较困难，缺点是实施起来有一定难度，需要高带宽的僵尸主机支持。少量的这种攻击会导致主机服务器无法访问，但却可以Ping的通，在服务器上用Netstat -na命令会观察到存在大量的SYN_RECEIVED状态，大量的这种攻击会导致Ping失败、TCP/IP栈失效，并会出现系统凝固现象，即不响应键盘和鼠标。普通防火墙大多无法抵御此种攻击。
2、TCP全连接攻击：
这种攻击是为了绕过常规防火墙的检查而设计的，一般情况下，常规防火墙大多具备过滤TearDrop、Land等DOS攻击的能力，但对于正常的TCP连接是放过的，殊不知很多网络服务程序（如：IIS、Apache等Web服务器）能接受的TCP连接数是有限的，一旦有大量的TCP连接，即便是正常的，也会导致网站访问非常缓慢甚至无法访问，TCP全连接攻击就是通过许多僵尸主机不断地与受害服务器建立大量的TCP连接，直到服务器的内存等资源被耗尽而被拖跨，从而造成拒绝服务，这种攻击的特点是可绕过一般防火墙的防护而达到攻击目的，缺点是需要找很多僵尸主机，并且由于僵尸主机的IP是暴露的，因此容易被追踪。
3、刷Script脚本攻击：
这种攻击主要是针对存在ASP、JSP、PHP、CGI等脚本程序，并调用MSSQLServer、MySQLServer、Oracle等数据库的网站系统而设计的，特征是和服务器建立正常的TCP连接，并不断的向脚本程序提交查询、列表等大量耗费数据库资源的调用，典型的以小博大的攻击方法。一般来说，提交一个GET或POST指令对客户端的耗费和带宽的占用是几乎可以忽略的，而服务器为处理此请求却可能要从上万条记录中去查出某个记录，这种处理过程对资源的耗费是很大的，常见的数据库服务器很少能支持数百个查询指令同时执行，而这对于客户端来说却是轻而易举的，因此攻击者只需通过Proxy代理向主机服务器大量递交查询指令，只需数分钟就会把服务器资源消耗掉而导致拒绝服务，常见的现象就是网站慢如蜗牛、ASP程序失效、PHP连接数据库失败、数据库主程序占用CPU偏高。这种攻击的特点是可以完全绕过普通的防火墙防护，轻松找一些Proxy代理就可实施攻击，缺点是对付只有静态页面的网站效果会大打折扣，并且有些Proxy会暴露攻击者的IP地址。
四、怎么抵御DDOS？
对付DDOS是一个系统工程，想仅仅依靠某种系统或产品防住DDOS是不现实的，可以肯定的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御90%的DDOS攻击是可以做到的，基于攻击和防御都有成本开销的缘故，若通过适当的办法增强了抵御DDOS的能力，也就意味着加大了攻击者的攻击成本，那么绝大多数攻击者将无法继续下去而放弃，也就相当于成功的抵御了DDOS攻击。以下为笔者多年以来抵御DDOS的经验和建议，和大家分享！
1、采用高性能的网络设备
首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的DDOS攻击是非常有效的。
2、尽量避免NAT的使用
无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为NAT需要对地址来回转换，转换过程中需要对网络包的校验和进行计算，因此浪费了很多CPU的时间，但有些时候必须使用NAT，那就没有好办法了。
3、充足的网络带宽保证
网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗现在的SYNFlood攻击，当前至少要选择100M的共享带宽，最好的当然是挂在1000M的主干上了。但需要注意的是，主机上的网卡是1000M的并不意味着它的网络带宽就是千兆的，若把它接在100M的交换机上，它的实际带宽不会超过100M，再就是接在100M的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上限制实际带宽为10M，这点一定要搞清楚。
4、升级主机服务器硬件
在有网络带宽保证的前提下，请尽量提升硬件配置，要有效对抗每秒10万个SYN攻击包，服务器的配置至少应该为：P4 2.4G/DDR512M/SCSI-HD，起关键作用的主要是CPU和内存，若有志强双CPU的话就用它吧，内存一定要选择DDR的高速内存，硬盘要尽量选择SCSI的，别只贪IDE价格不贵量还足的便宜，否则会付出高昂的性能代价，再就是网卡一定要选用3COM或Intel等名牌的，若是Realtek的还是用在自己的PC上吧。

5、把网站做成静态页面
大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给黑客入侵带来不少麻烦，至少到现在为止关于HTML的溢出还没出现，看看吧！新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器，当然，适当放一些不做数据库调用脚本还是可以的，此外，最好在需要调用数据库的脚本中拒绝使用代理的访问，因为经验表明使用代理访问你网站的80%属于恶意行为。
6、增强操作系统的TCP/IP栈
Win2000和Win2003作为服务器操作系统，本身就具备一定的抵抗DDOS攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约10000个SYN攻击包，若没有开启则仅能抵御数百个，具体怎么开启，自己去看微软的文章吧！《强化 TCP/IP 堆栈安全》。也许有的人会问，那我用的是Linux和FreeBSD怎么办？很简单，按照这篇文章去做吧！《SYN Cookies》

㈤ 目的端口做限制，源端口不限制 是扩展访问ACL 做么

扩展ACL是源和目的都限制哦

㈥ 通常我们所说的TCP、UDP的端口号是源端口号还是目的端口号

TCP中的源端口号的意思是，你这个包是从哪里来，目的端口号是你这个包要去回哪里。
记住一点，源答端口号跟目的端口号是不一定要相同的，比如说，你去访问网页，那么你的目的端口号肯定是80了，那源端口号是大于1024的随机端口.
反正就是你要什么服务，目的端口号就一样，而源端口与就是随机拿个1024的端口去跟这个目的端口形成连接tcp udp 是协义
tcp类似于挂号信，对方收到后会给发送方一下回执。udp类似电报只管发不必要知道对方收没收到。
emule的使用很简单，先看看介面再好好想想就会用了。一般说来 windows的端口号是一个无符号整形的数 也就是从0~65535之间的所有数 在系统里面UDP和TCP是分开的 也就是说 UDP占用的端口号可以从0~65535 TCP的也可以从0~65535 而且两者是独立的
举个例子
一个程序可以用TCP占用2000号端口 另一个程序可以用UDP占用2000号端口 两者互不干涉

㈦ 路由器后台进不去，端口频繁被改怎么办

巧用ACL功能，远离病毒攻击现在的网络病毒可谓随处可见，它们的攻击力之强、破坏力之大，足以让任何人对它敬而远之。不过，任何一种网络病毒都是借助网络通道进行传输、扩散的，它的数据报文也是按照TCP/IP协议标准进行通信传输的，因此每一个病毒数据包都包含目的IP地址、源IP地址，同时包含目的传输端口、源传输端口，类型相同的网络病毒所使用的目的传输端口一般都是相同的，比方说震荡波病毒全部使用445端口、冲击波病毒全部使用135端口等;如果我们想办法在路由器的后台管理界面中对这些病毒通信端口进行适当的限制，那么来自Internet网络的一些病毒就不会通过路由器，进入到单位局域网网络了，如此一来局域网中的所有工作站包括路由器设备遭受到病毒攻击的可能性就大大降低了。要让路由器远离病毒攻击，我们可以巧妙地利用路由器设备自带的ACL功能，来对特定网络端口的数据网络报文进行限制，我们既可以对局域网内部通信接口的数据报文进行过滤，也可以对外部通信接口的数据报文进行过滤，这么一来就能确保网络病毒的数据报文不会消耗路由器设备的系统资源，同时也不会消耗有限的网络带宽资源，那样的话路由器设备出现掉线的机率就会大大降低。限制NAT链接，谨防资源耗尽一般来说，单位局域网中包含的工作站数量少则几十台，多则几百台，而本地ISP服务商由于手头的IP地址资源本就非常有限，他们通常只会给单位局域网分配一到两个公网IP地址，这么少的IP地址显然是不够分配的，那么我们如何利用这一到两个公网IP地址让局域网中的所有工作站都能接入到Internet网络中呢?其实很简单，我们只要善于使用路由器设备的NAT功能就可以了。当局域网中的内部工作站要访问Internet网络中的资源时，我们可以在路由器设备的后台管理界面创建一个对应列表，这个列表中包含的信息有内部工作站的IP地址、外部目标网站IP地址、内部网络通信端口、外部网站的通信端口等，局域网用户每一次的网络访问操作都会自动在路由器设备的后台创建对应关系列表，要是列表中的网络链接记录有数据在传输，那么这些列表记录将会一直存储在路由器设备中，一旦某个网络链接项目没有数据在传输时，那么要不了多长时间该链接记录就会自动消失。倘若局域网中的某台工作站不幸感染了某种特殊网络病毒，该病毒可能在短暂的时间内，向路由器设备同时连续发出成千上万个针对不同目标工作站的网络链接请求，如此一来路由器设备就必须腾出适当的系统资源来为这些成千上万个链接请求创建对应列表。而路由器设备本身能够支持的NAT网络链接数量是十分有限的，要是这些链接资源全部被网络病毒给占用的话，那么局域网中的其他用户再尝试通过路由器设备访问外部网络时，路由器设备就无法腾出有效的NAT链接资源给其他工作站了，那么其他工作站自然就会发生无法访问网络的故障，这种上网掉线故障事实上就是由于网络病毒耗尽NAT资源引起的。为了避免由NAT资源耗尽引起的路由器掉线故障，我们可以进入到路由器设备的后台管理界面，将其中的NAT网络链接数量设置到最大数值(当然这需要路由器设备在自身性能方面能够承受)，如果路由器设备自身性能有限的话，我们必须对NAT网络链接数量进行适当限制，采取的限制措施既可以针对局域网中的所有工作站，也可以只针对其中的某一台工作站。当然，要是我们从路由器设备的后台管理界面中，看到来自内网某台工作站的NAT网络链接数量比较多时，我们不妨尝试断开那台内网工作站，然后再进行网络访问测试，看看路由器设备是否还会继续发生频繁掉线故障，要是掉线故障现象立即就消失了的话，那就说明那台内网工作站感染了病毒，此时我们只要对那台特定的内网工作站执行病毒查杀操作就可以了。预防ping攻击，避免系统拖跨为了测试某个网站的连通性，相信多数朋友都会使用Ping命令，来对目标网站执行Ping测试操作，而目标网站接受到工作站的Ping连接请求后，往往需要腾出一定的系统资源来应答这个请求;同样地，如果目标网站同时接收到大量的Ping测试请求，那么目标工作站就需要耗费更多的系统资源进行应答，而在此刻如果有用户在尝试访问该目标网站时，那么该网站系统可能就腾不出系统资源进行及时应答这个用户的上网请求了，所以该用户也就会遇到上网掉线故障了。而网络病毒或黑客在对目标网络或设备发动攻击之前，往往要对目标网络中的各个工作站地址进行依次Ping扫描，如果某个网络设备或工作站进行了应答，那说明该网络设备或主机是可以攻击的，于是病毒或木马就会对目标主机发动Ping攻击，直到把目标主机系统拖跨为止。为了避免路由器设备遭受ping攻击，从而导致路由器无法正常处理上网请求，我们可以对路由器设备的WAN端口进行设置，启用防Ping功能，以便阻止来自外部网络的数据包对路由器执行ping攻击，这么一来路由器设备日后对所有来自外部网络的ping数据请求都作弃权处理，那样的话路由器设备不但不会暴露自己，而且还能预防ping攻击，从而保证路由器设备能够安全、稳定地工作。 合适分配带宽，有效限制速度我们知道，现在的局域网出口带宽多数都是2MB或10MB标准，每一台工作站所能享受到的带宽资源平均为100KB左右，在这种上网环境中，要是有几台工作站同时进行BT下载，那么局域网中有限的出口带宽资源很快就会被挥霍一空，那么其他人再尝试上网时，就会明显感觉到网络访问速度缓慢，甚至会频繁发生掉线故障。为了让路由器设备远离由带宽没有限制引起的掉线现象，我们可以进入到路由器设备的后台管理界面，对所有工作站的出口带宽速度进行合适限制，以避免某几台工作站过度消耗局域网的有限带宽资源。当然，我们也可以在局域网工作站中，对信息上传速度和信息下载速度进行限制，确保网络带宽资源不会被非法使用。

㈧ 怎么保留用户源端口号啊，公安要求来了

一些文献关于TCP报头中源端口和目的端口的描述：字段长度各为16位（两个字节），他们封装的数据指定了源和目地的应用程序。这些端口号与应用程序所在主机的IP地址统称为“套接字”。在网络上，套接字唯一地标示了每一个应用程序。

㈨ 为什么客户端连续向服务器发起多次请求不会爆本地端口被耗尽

一个连接的 tcp socket 描述符代表一条 tcp 连接， 一条 tcp 连接不止由本地的 ip 和本地端口决定专，一条 tcp 连接是由 本地 ip、本地端口、对属方 ip 、对方端口共同决定的，在本地可以存在具有同样的本地 ip 和本地端口的 socket ，只要对方的 ip 或者端口不一样就行（许多基于 tcp 的服务器就是这种情况，包括 http），理论上讲只要四个元素（本地 ip、本地端口、对方 ip 、对方端口）中 有一个不同，就可以存在无数个 tcp 连接， 不过操作系统可能对 tcp 连接的数目有限制。

㈩ 知道源ip怎么知道源端口呀

知道源ip不能知道源端口，一般是通过提供的服务(比如http、ftp)来知道服务的默认端口。端口可以自定义，只要不和常用的冲突。