怎么样可以追踪到攻击系统的IP

对攻击溯源有很多方式，
1、如果攻击过程还在继续，可以查看当前网络连接确定对方ip，例如：QQ的通信对方可通过netstat和防火墙报文日志确定，隐藏很好的木马可通过icesword等工具查看，等等。
2、如果攻击过程已结束，可以通过查看对应的系统日志、安全日志、防火墙日志等方式确定，当然，前提是对应的审核策略都打开了，而且对方的攻击没有清楚对应的痕迹。
3、如果对方的整个攻击过程加了代理，确定起来就相对比较麻烦，需要抓包后拆包处理才能确定攻击源了。如果对方用的高度匿名代理，或者跳了若干次代理，确定起来就非常困难了。
4、如果对方用的僵尸网络发动DDoS攻击，兄弟，确定对方控制端发布攻击指令的IP就需要很多知识了。。。

DDoS 如何溯源？

对于如何溯源这样的一个问题来说，我们可以有很多的方法来解决这一个问题。我们虽然说平时不需要做太多编程的事情，不过这样的一个常识我们还是需要有的。

DDoS攻击分为不同类型。这样的一些不同的类型取决于源的不同来源。下面的讨论是将来源123描述为level1 /level2/ level3。

直接攻击:

例如，SYN flood/ACK flood/DNS flood/UDP Plain flood/HTTP flood等，这些通常是由僵尸网络发起的，其中一些可以伪造源IP，有些则不是伪造的。识别攻击流，并且简单的统计信息知道级别1。没有源IP,leve2就等于1级。在伪造源IP的情况下，被攻击方的二级商店无法获得，操作员级别可以进行欺骗检测，或连续跟踪僵尸网络，并持续跟踪CC攻击指令，查看CC所有客户端，查看客户收到的攻击指令。

反射率大:

反射放大主要是为了带宽，因为它里面有一个反射系数，基本上不用僵尸网络，找几台机器来达到流量。在攻击的情况下，您看到的IP是真实的IP，它是所使用的反射放大节点，第一级是简单的。但和直接攻击是不一样的,这个时候的IP不能说它是真正的攻击的IP,因为里面的反射率,二级存储IP应该几个机器启动原始流,而不是反映源IP流量。这个级别2，操作员可以做到，看哪个子网有非自段的源IP流量，然后可以做终端流量检测，如HIDS。

最重要的

我问过一些运营商，他们都说他们可以做到，但他们不能这样做，他们也不想这样做，这是另一个话题。第3级被单独讨论的原因是，如果你想做的话，1 / 2是属于你的，理论上你可以做到。从理论上讲，第三级不能说它会起作用。

看到CC是由人控制的,反射放大控制,这是困难的,毕竟网络攻击网站你看不到人,但并不是没有思想,攻击也为了赚钱,他们将有一个协议,所以说，如果要溯源，我们就要去通过这几个方法来观察。