ddos全称为分布式拒绝服务，指借助于客户或服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。DDoS攻击通过大量合法的请求占用大量网络资源，以达到瘫痪网络的目的。

通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在网络上的许多计算机上。代理程序收到指令时就发动攻击。利用客户或服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。

对分布式攻击进行必要的分析，就可以得到这种攻击的特性。分布式拒绝服务在进行攻击的时候，要对攻击目标的流量地址进行集中，然后在攻击的时候不会出现拥塞控制。在进行攻击的时候会选择使用随机的端口来进行攻击，会通过数千端口对攻击的目标发送大量的数据包，使用固定的端口进行攻击的时候，会向同一个端口发送大量的数据包。

随着计算机与网络技术的发展，计算机的处理能力与网络带宽迅速增长。这使得DoS攻击的困难程度大大增加了，因为攻击目标对这些恶意服务请求的“消化能力”加强了很多。既然一个攻击者无法使目标“拒绝服务”，那么就需要多个攻击者同时发起分布式攻击了，这时DDoS攻击也就应运而生了。DDoS攻击是指攻击者控制僵尸网络中的大量僵尸主机（肉鸡）向攻击目标发送大流量数据，耗尽攻击目标的系统资源，导致其无法响应正常的服务请求。

如果大家觉得以上描述很深奥，那么我来换一种易懂的说法。小时候，我们都听说过餐厅很难开，因为需要“白道黑道都有关系”。如果一家餐厅希望他的竞争对手无法正常营业，他们会采取什么手段呢？（纯属虚构，请勿模仿）首先他会雇佣一个恶霸，恶霸会找来一群小混混，让他们扮作普通客户一直占用对手餐厅的座位赖着不走，这样真正的客户就无法就餐了；或者让混混们总是和对手餐厅的服务员闲扯，让服务员不能正常服务客户；也可以为对手餐厅的老板提供虚假信息，让他们上上下下忙成一团之后却发现是一场空，却最终忽略了真正的客户。恩，这里的恶霸就是攻击者，小混混就是傀儡主机，对方餐厅就是攻击目标，采取的种种手段就是DDoS攻击，最终的结果是对方餐厅损失惨重，甚至关门大吉。

DDoS攻击两大特点

DDoS发起攻击容易，攻击者很容易从互联网获取各类DDoS攻击工具，从而发起攻击。

比较出名的免费工具有卢瓦（LOIC）、HOIC（LOIC升级版）、XOIC、Hulk、DAVOSET、黄金眼等。而且更绝妙的是，DDoS攻击者往往可以借助正常的普通软件或网站发起攻击，例如历史上著名的“暴风影音”事件和“搜狐视频”事件。

DDoS攻击受害者防御难度大，攻击会损害受害者的金钱、服务和信誉。报告显示，65%以上的DDoS攻击每小时给受害企业造成的损失高达一万美金。例如最近针对美国DNS服务提供商Dyn公司的一波DDoS攻击导致Twitter、GitHub、BBC、华尔街日报、Xbox官网、CNN、HBO Now、星巴克、纽约时报、The Verge、金融时报等大量站点无法正常访问。如下图所示，这几乎就是半个美国的互联网都瘫痪了啊，那损失可不止每小时数万美金，简直是无法估量！

DDoS攻击三大动机

一切事物出现都有其动机。欲破解DDoS攻击，必先了解其动机。政治分歧、恶意竞争、敲诈勒索、经济犯罪是DDoS攻击的主要动机。

• 政治动机型攻击惯于采用大规模网络攻击，攻击目标一般是银行和政府网站或者DNS服务器，影响范围大，容易引起民众大范围恐慌，堪称网络攻击的“核武器”。

例如“土耳其攻击事件”, 著名黑客组织匿名者发布视频向土耳其宣战谴责其支持某极端组织，由此引发针对土耳其DNS根服务器的大规模网络攻击，导致土耳其400,000个网站离线。

• 恶意竞争、敲诈勒索则属于对特定业务系统的精准打击，攻击行为越来越像“特种部队”。

例如“网游大战”事件，电竞选手PhantomL0rd为了保住自己的“王”位，采用了恶意竞争手段。他勾结黑客组织DERP Trolling，每当自己游戏即将失败时，便召唤DERP Trolling使用DDoS攻击攻瘫游戏服务器，导致游戏异常终端。英雄联盟、EA官网、暴雪战网、DOTA2官网、企鹅俱乐部等等知名游戏网站都因遭到DDoS攻击而瘫痪。这真是赤裸裸地“打不过就拔网线啊！”

• 经济犯罪则大多属于声东击西式的“烟雾弹”，以大流量攻击转移安全人员的注意力，掩盖其数据窃取的真实目的。当前比较流行的做法是黑客通过大流量DDoS攻击吸引注意力，掩护潜伏的APT攻击完成最后的数据窃取。

DDoS攻击分类

知己知彼，百战不殆。在前几篇技术帖中，我们已经学习了几种经典DDoS攻击。在这里我们再来系统总结下DDoS攻击的种类。

DDoS攻击按攻击方式划分有：泛洪攻击(Flood)、畸形报文攻击(Malformation)、扫描探测类攻击(Scan&Probe)。

• 泛洪攻击，也叫Flood攻击，是指攻击者通过僵尸网络、代理或直接向攻击目标发送大量的伪装的请求服务报文，最终耗尽攻击目标的资源。发送的大量报文可以是TCP的SYN和ACK报文、UDP报文、ICMP报文、DNS报文、HTTP/HTTPS报文等。
  近年来，泛洪攻击又发展出了一种高级形式，我们称之为反射攻击。顾名思义，反射攻击并不是直接向攻击目标发起大量服务请求，而是攻击者控制僵尸网络中的海量僵尸主机伪装成攻击目标，都以攻击目标的身份向网络中的服务器发起大量服务请求。网络中的服务器会响应这些大量的服务请求，并发送大量的应答报文给攻击目标，从而造成攻击目标性能耗尽。反射攻击大多是由UDP Flood变种而来，反射的是UDP报文，例如NTP、DNS、SSDP、SMTP、Chargen等。为什么选中UDP呢？因为UDP的响应（Reponse）报文大小要大于请求（request）报文，这样攻击者就实现了对攻击流量的放大。以NTP报文为例，NTP的Monlist命令用来查询主机最近所有和服务器通信的记录，服务器会返回最多600个通信记录，这样流量就被放大了数百倍。如果攻击者控制成千上万的傀儡机伪装成攻击目标大量发送此命令给NTP服务器，那么反射给攻击目标的流量可想而知！
• 畸形或特殊报文攻击通常指攻击者发送大量有缺陷或特殊控制作用的报文，从而造成主机或服务器在处理这类报文时系统崩溃。畸形报文攻击例如Smurf、Land、Fraggle、Teardrop、WinNuke攻击等。特殊控制报文攻击包括超大ICMP报文、ICMP重定向报文、ICMP不可达报文和各种带选项的IP报文攻击。
• 扫描探测类攻击是一种潜在的攻击行为，并不具备直接的破坏行为，通常是攻击者发动真正攻击前的网络探测行为，例如IP地址扫描和端口扫描等。

DDoS攻击按TCP/IP协议分层划分有：网络层攻击、传输层攻击、应用层攻击。具体如下：

分层DDoS攻击网络层IP地址扫描攻击、大部分特殊控制报文攻击、Teardrop攻击、Smurf攻击、IP分片报文攻击、ICMP Flood攻击传输层SYN Flood、SYN-ACK Flood、ACK Flood、FIN/RST Flood、TCP连接耗尽攻击、UDP Flood（包括各种反射攻击）、TCP/UDP分片报文攻击、DNS Flood、DNS缓存投毒、其余各种与TCP、UDP报文和端口相关的攻击应用层HTTP Flood、HTTP慢速攻击、HTTPS Flood、SSL DDoS攻击、SIP Flood

DDoS攻击天下大势

通过以上描述，大家应该对DDoS攻击有了初步的了解。下面华安再为大家分析下当前DDoS攻击的“天下大势”，让大家对我们当今所处网络环境的DDoS攻击有一个初步的认识。

根据华为未然实验室现网攻击事件统计数据显示，SYN Flood、UDP Flood（包括UDP类反射放大攻击）、HTTP Get Flood、DNS Query Flood依然是DDoS攻击的惯用手段。