服务器被恶意植入UDP发包工具后，出站流量会异常飙升，这种情况并不罕见。攻击者在获得服务器权限后，往往会植入一个脚本，将服务器变成攻击他人的肉鸡。最令人头疼的是，UDP流量极难管控，因为大多数服务器只有在进行DNS查询时才会用到UDP协议，其他场景几乎用不上。换句话说，如果能精准封堵除DNS以外的所有UDP出站流量，就能从源头上切断这类攻击。
然而，直接禁用所有UDP出站是行不通的，因为服务器必须能正常解析域名。因此，我们需要一条精确的iptables规则：只允许本机向目标DNS服务器发送UDP数据包（端口53），其他所有UDP包一律拒绝。下面这个脚本正是为此而设计，它从`/etc/resolv.conf`中提取出所有DNS服务器地址，逐一放行，最后用一条DROP规则兜底。
#/bin/bash
#DROP UDP Flood
list=`grep nameserver /etc/resolv.conf |awk '{print $NF}'`
for i in $list
do
iptables -A OUTPUT -p udp -d $i --dport 53 -j ACCEPT
done
iptables -A OUTPUT -p udp -j DROP
service iptables sa ve脚本执行后，所有UDP出站流量都会被拦截，唯独DNS解析不受影响。这样一来，即便服务器被上传了发包工具，UDP包也无法发出——攻击者的计划自然落空。
必须强调一点：这个方法只治标，不治本。它只能阻止恶意UDP流量的外泄，但服务器本身的安全防线才是根本。如果系统存在弱口令、漏洞百出，攻击者植入木马后还能换用其他协议继续搞事（例如TCP攻击、ICMP隧道）。因此，请务必牢记：脚本只是一面盾牌，安全加固才是真正的利矛。及时打上系统补丁、关闭不必要的服务、定期审计日志，这些才是保障服务器安全的长久之道。
