DDoS（分布式拒絕服務攻擊）-三個皮匠報告百科

DDoS攻擊是什么

DDoS(Distributed Denial of Service)，即“分布式拒絕服務”俗稱洪水攻擊，指利用一批主機對一個或多個目標實施協作式的DOS攻擊。它是在拒絕服務DoS(Denial of Service)攻擊基礎上產生的一種攻擊方式，最基本的DoS攻擊就是利用大量正常的請求來占用過多的服務資源，使得服務器無法處理其他正常的請求。它囊括了已經出現的各種重要的DOS攻擊方法。根據WWW安全FAQ對DDOS的定義:

“一個DDOS攻擊使用許多計算機來發動一個并發的DOS攻擊來攻擊一個或多個目標。使用C/S技術，攻擊者能夠利用不知情的“同謀”計算機的資源，來成倍的增加DOS攻擊的效力。這些被利用的“同謀”計算機作為攻擊平臺提供服務”。

DDoS攻擊方式

從DDoS的危害性和攻擊行為來看，可以將DDoS攻擊劃分為以下幾種攻擊方式：

(1)資源消耗類攻擊

資源消耗類攻擊往往伴隨著龐大的網絡流量，主要攻擊對象為網絡資源，例如內存資源、計算資源、帶寬資源等等，通過消耗網絡信息系統的資源，使得信息系統無法對正常用戶的請求提供服務，嚴重的情況下甚至可能造成服務器崩潰。資源消耗類是比較典型的DDOS攻擊，最具代表性的包括：Syn F100d、Ack F100d、UDP F100d。這類攻擊方式的目標很簡單，就是通過大量的非法或合法請求消耗正常的帶寬和協議棧處理資源的能力，從而達到目標服務端網絡無法正常工作的目的。

(2)服務消耗型攻擊

與資源消耗類攻擊相比而言，服務消耗類攻擊不需要龐大的的網絡流量，它主要是針對具體服務的特點進行精確定點打擊，如web的CC，數據服務的檢索，文件服務的下載等。這類攻擊往往不是為了擁塞流量通道或協議處理通道，它們的目標是讓服務端始終處于處理高消耗型的業務的忙碌狀態，進而無法對正常業務進行響應。

(3)反射類攻擊

反射攻擊也叫放大攻擊，該類攻擊以UDP協議為主，一般請求回應的流量遠遠大于請求本身流量的大小。攻擊者通過流量被放大的特點以較小的流量帶寬就可以制造出大規模的流量源，從而對目標發起攻擊。反射類攻擊嚴格意義上來說不算是攻擊的一種，它只是利用某些服務的業務特征來實現用更小的代價發動Flood攻擊。

(4)混合型攻擊

混合型攻擊是上述幾種攻擊類型混合使用的攻擊，混合型在攻擊過程中會不斷進行探測，及時調整攻擊策略，選擇最佳的攻擊方式?；旌闲凸敉殡S著資源消耗型攻擊和服務消耗型攻擊兩種攻擊類型特征。

常見的DDoS攻擊類型

根據阿里云DDoS攻擊介紹，常見的DDoS攻擊類型有畸形報文、傳輸層DDoS攻擊、DNS DDoS攻擊、連接型DDoS攻擊、Web應用層DDoS攻擊。其中畸形報文主要包括Frag Flood、smurf、StreamFlood、Land Flood、IP畸形報文、TCP畸形報文.UDP畸形報文等；傳輸層DDoS攻擊主要包括Syn Flood、Ack FIood.UDP Flood、ICMP Flood、RstFlood等；DNS DDoS攻擊主要包括DNS Request Flood、DNSResponse FlIood、虛假源+真實源DNS Query Flood.權威服務器攻擊和Local服務器攻擊等；連接型DDoS攻擊主要是指TCP慢速連接攻擊、連接耗盡攻擊.Loic.Hoic.Slowloris、Pyloris、Xoic等慢速攻擊；Web應用層攻擊主要是指HTTP Get Flood、HTTP PostFlood、cC等攻擊。

DDoS攻擊原理

(1)攻擊發起者發送控制指令到一臺已經提前占領的控制服務器上；這臺控制服務器通過對網絡環境掃描以完成信息收集，并鎖定具有脆弱性的僵尸主機。

(2)將木馬程序或者惡意軟件安裝到僵尸網絡中的若干臺僵尸主機上，再源源不斷地把控制信息實時地分發至這些僵尸主機(一般是Linux或者Solaris操作系統的主機)，指揮這些僵尸主機在網絡上有針對性地選擇一些攻擊程序，比如：Trinoo、TFN、TFN2K和Stacheldraht等；

(3)利用這些攻擊程序對目標主機發動攻擊。

老道的攻擊者在占領一臺控制服務器的同時，會為自己留好后門，并有選擇地從內存中刪除某些日志記錄或者歷史文件，將自己隱藏起來，以此實現長期利用、操縱僵尸主機的目的。其主要的攻擊目標有政府機關、企事業單位的門戶網站，互聯網公司網站以及搜索引擎等。

DDos攻擊的防護手段

DDoS的防護系統本質上是一個基于資源較量和規則過濾的智能化系統，現存的主要的防御手段和策略包括：

(1)資源隔離

資源隔離可以看作是用戶服務的一堵防護盾，這套防護系統擁有無比強大的數據和流量處理能力，為用戶過濾異常的流量和請求。如：針對Syn Flood，防護盾會響應Syn Cookie或Syn Reset認證，通過對數據源的認證，過濾偽造源數據包或發功攻擊的攻擊，保護服務端不受惡意連接的侵蝕。資源隔離系統主要針對ISo模型的第三層和第四層進行防護^[1]。