轉自：http://drops.wooyun.org/tips/1424
linux的包過濾功能，即linux防火墻，它由netfilter 和 iptables 兩個組件組成。
netfilter 組件也稱為內核空間，是內核的一部分，由一些信息包過濾表組成，這些表包含內核用來控制信息包過濾處理的規則集。
iptables 組件是一種工具，也稱為用戶空間，它使插入、修改和除去信息包過濾表中的規則變得容易。
?
0x01 iptables的結構
iptables的結構：
iptables -> Tables -> Chains -> Rules
簡單地講，tables由chains組成，而chains又由rules組成。iptables 默認有四個表Filter, NAT, Mangle, Raw，其對于的鏈如下圖。
0x02 iptables工作流程
0x03 filter表詳解
1. 在iptables中，filter表起過濾數據包的功能，它具有以下三種內建鏈：
INPUT鏈 – 處理來自外部的數據。
OUTPUT鏈 – 處理向外發送的數據。
FORWARD鏈 – 將數據轉發到本機的其他網卡設備上。
2. 數據流向場景
訪問本機：在INPUT鏈上做過濾
本機訪問外部：在OUTPUT鏈上做過濾
通過本機訪問其他主機:在FORWARD鏈上做過濾
3. Iptables基本操作
啟動iptables：service iptables start
關閉iptables：service iptables stop
重啟iptables：service iptables restart
查看iptables狀態：service iptables status
保存iptables配置：service iptables save
Iptables服務配置文件：/etc/sysconfig/iptables-config
Iptables規則保存文件：/etc/sysconfig/iptables
打開iptables轉發：echo "1"> /proc/sys/net/ipv4/ip_forward
0x04 iptables命令參考
命令：
iptables [ -t 表名] 命令選項 [鏈名] [條件匹配] [-j 目標動作或跳轉]
1. 表名
表名：Filter, NAT, Mangle, Raw
起包過濾功能的為表Filter，可以不填，不填默認為Filter
2. 命令選項
| 選項名 | 功能及特點 |
|---|---|
| -A | 在指定鏈的末尾添加（--append）一條新的規則 |
| -D | 刪除（--delete）指定鏈中的某一條規則，按規則序號或內容確定要刪除的規則 |
| -I | 在指定鏈中插入（--insert）一條新的規則，默認在鏈的開頭插入 |
| -R | 修改、替換（--replace）指定鏈中的一條規則，按規則序號或內容確定 |
| -L | 列出（--list）指定鏈中的所有的規則進行查看，默認列出表中所有鏈的內容 |
| -F | 清空（--flush）指定鏈中的所有規則，默認清空表中所有鏈的內容 |
| -N | 新建（--new-chain）一條用戶自己定義的規則鏈 |
| -X | 刪除指定表中用戶自定義的規則鏈（--delete-chain） |
| -P | 設置指定鏈的默認策略（--policy） |
| -n | 用數字形式（--numeric）顯示輸出結果，若顯示主機的 IP地址而不是主機名 |
| -P | 設置指定鏈的默認策略（--policy） |
| -v | 查看規則列表時顯示詳細（--verbose）的信息 |
| -V | 查看iptables命令工具的版本（--Version）信息 |
| -h | 查看命令幫助信息（--help） |
| --line-number | 查看規則列表時，同時顯示規則在鏈中的順序號 |
3. 鏈名
可以根據數據流向來確定具體使用哪個鏈，在Filter中的使用情況如下：
INPUT鏈 – 處理來自外部的數據。
OUTPUT鏈 – 處理向外發送的數據。
FORWARD鏈 – 將數據轉發到本機的其他網卡設備上。
4. 條件匹配
條件匹配分為基本匹配和擴展匹配，拓展匹配又分為隱式擴展和顯示擴展。
a)基本匹配包括：
| 匹配參數 | 說明 |
|---|---|
| -p | 指定規則協議，如tcp, udp,icmp等，可以使用all來指定所有協議 |
| -s | 指定數據包的源地址參數，可以使IP地址、網絡地址、主機名 |
| -d | 指定目的地址 |
| -i | 輸入接口 |
| -o | 輸出接口 |
b)隱式擴展包括：
c)常用顯式擴展
5. 目標值
數據包控制方式包括四種為：
ACCEPT：允許數據包通過。
DROP：直接丟棄數據包，不給出任何回應信息。
REJECT：拒絕數據包通過，必須時會給數據發送端一個響應信息。
LOG：在/var/log/messages 文件中記錄日志信息，然后將數據包傳遞給下一條規則。
QUEUE：防火墻將數據包移交到用戶空間
RETURN：防火墻停止執行當前鏈中的后續Rules，并返回到調用鏈(the calling chain)
0x05 Iptables常見命令
a) 1. 刪除iptables現有規則
iptables –F
b) 2. 查看iptables規則
iptables –L（iptables –L –v -n）
c) 3. 增加一條規則到最后
iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
d) 4.添加一條規則到指定位置
iptables -I INPUT 2 -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
e) 5.? 刪除一條規則
iptabels -D INPUT 2
f) 6.修改一條規則
iptables -R INPUT 3 -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
g) 7. 設置默認策略
iptables -P INPUT DROP
h) 8.允許遠程主機進行SSH連接
iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
i) 9.允許本地主機進行SSH連接
iptables -A OUTPUT -o eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INTPUT -i eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT
j) 10.允許HTTP請求
iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT
k) 11.限制ping 192.168.146.3主機的數據包數，平均2/s個，最多不能超過3個
iptables -A INPUT -i eth0 -d 192.168.146.3 -p icmp --icmp-type 8 -m limit --limit 2/second --limit-burst 3 -j ACCEPT
l) 12.限制SSH連接速率(默認策略是DROP)
iptables -I INPUT 1 -p tcp --dport 22 -d 192.168.146.3 -m state --state ESTABLISHED -j ACCEPT?
iptables -I INPUT 2 -p tcp --dport 22 -d 192.168.146.3 -m limit --limit 2/minute --limit-burst 2 -m state --state NEW -j ACCEPT
0x06 如何正確配置iptables
a) 1. 刪除現有規則
iptables -F
b) 2.? 配置默認鏈策略
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
c) 3. 允許遠程主機進行SSH連接
iptables -A INPUT -i eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT
d) 4. 允許本地主機進行SSH連接
iptables -A OUTPUT -o eth0 -p tcp –dport 22 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp –sport 22 -m state –state ESTABLISHED -j ACCEPT
e) 5. 允許HTTP請求
iptables -A INPUT -i eth0 -p tcp –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp –sport 80 -m state –state ESTABLISHED -j ACCEPT
0x07 使用iptables抵抗常見攻擊
1.防止syn攻擊
思路一：限制syn的請求速度（這個方式需要調節一個合理的速度值，不然會影響正常用戶的請求）
iptables -N syn-flood iptables -A INPUT -p tcp --syn -j syn-flood iptables -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN iptables -A syn-flood -j DROP
思路二：限制單個ip的最大syn連接數
iptables –A INPUT –i eth0 –p tcp --syn -m connlimit --connlimit-above 15 -j DROP
2. 防止DOS攻擊
利用recent模塊抵御DOS攻擊
iptables -I INPUT -p tcp -dport 22 -m connlimit --connlimit-above 3 -j DROP
單個IP最多連接3個會話
iptables -I INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH?
只要是新的連接請求，就把它加入到SSH列表中
Iptables -I INPUT -p tcp --dport 22 -m state NEW -m recent --update --seconds 300 --hitcount 3 --name SSH -j DROP?
5分鐘內你的嘗試次數達到3次，就拒絕提供SSH列表中的這個IP服務。被限制5分鐘后即可恢復訪問。
3. 防止單個ip訪問量過大
iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 30 -j DROP
4. 木馬反彈
iptables –A OUTPUT –m state --state NEW –j DROP
5. 防止ping攻擊
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/m -j ACCEPT
)
