什么是DDOS攻击？怎么有效防御DDOS攻击？

• 一、DDoS 攻击的含义
• 二、DDoS 攻击的工作原理是什么？
• 三、DDoS 攻击类型
• 四、DDoS 攻击中涉及的 OSI 模型中的七个网络连接层
• 1.容积攻击
  • 常见的容积攻击类型
• 1.UDP 泛洪攻击
• 2.DNS 反射/放大
• 3.ICMP 泛洪攻击
• 4.协议攻击
• 5.SYN 泛洪攻击
• 6.Smurf DDoS 攻击
• 7.应用层攻击
  • 示例：HTTP 泛洪攻击
• 四、DDoS 攻击的目的是什么？
• 五、DDoS 防御教程
  • 1.采用高性能的网络设备
  • 2.尽量避免 NAT 的使用
  • 3.充足的网络带宽保证
  • 4.升级主机服务器硬件
  • 5.把网站做成静态页面或者伪静态
  • 6.增强操作系统的 TCP/IP 栈
  • 7.安装专业抗 DDoS 防火墙
  • 8.HTTP 请求的拦截
  • 9.备份网站
  • 10.部署 CDN
• 六、游戏怎么避免 DDOS

一、DDoS 攻击的含义

在分布式拒绝服务 (DDoS) 攻击中，攻击者发出海量实际上并不需要的互联网流量，耗尽其目标的资源，造成正常流量无法到达其预定目的地。

• 但是这到底意味着什么呢？不妨设想一下您喜爱的僵尸片。成群结队的受感染生物有着相同的目标 – 传播“僵尸瘟疫”，摧毁文明世界。它们让执法机构的资源不堪重负，耗尽了军事力量，并破坏了医疗服务。然后人们为了逃生而涌向高速公路，造成不可避免的严重交通堵塞。DDoS 攻击也是如此：网络世界里的“僵尸启示录”。只不过威胁并非僵尸，而是大量受到感染的电脑，它们同时攻击目标网站，将人类和企业赶走。

针对一家公司的网站、Web 应用程序、API、网络或数据中心基础架构的发起的 DDoS 攻击会造成停机，导致合法用户无法购买产品、使用服务、获取信息或者进行其他正常访问。

在 DDoS 攻击中，攻击者利用大量遭遇入侵的机器和接入互联网的设备，包括物联网 (IoT) 设备、智能手机、个人电脑和网络服务器，向目标发送大量流量。

再举一个更直观的例子：两家相互竞争的商铺，一家为了抢生意，雇佣大批人挤在对方商铺，赖着不走，让真正的顾客无法进入，或者和店员东拉西扯，妨碍正常工作，让对手错过真正的顾客，造成损失。DDoS 攻击利用的就是这种思路。

立即避免 DDOS 攻击

二、DDoS 攻击的工作原理是什么？

DDoS 攻击利用接入互联网上的设备构成的彼此连接的网络，切断用户与服务器或网络资源（比如用户经常访问的网站或者应用程序）的联系。

为了发动 DDoS 攻击，攻击者会使用恶意软件或利用安全漏洞，恶意感染机器和设备，并获得其控制权。每台电脑或者受到感染的设备都称之为“爬虫程序”或“僵尸”，它们能够进一步传播恶意软件并参与 DDoS 攻击。这些爬虫程序共同构成了称为“僵尸网络”的僵尸军团，利用数量优势扩大攻击规模。此外，人们往往不会注意到物联网设备受感染，这很像是僵尸恐怖片里经常会有的那只麻烦的僵尸，主角们根本不知道它已经被感染了，而在物联网设备中，这会造成合法的设备所有者成为次要受害者或不知情的参与者，而受害企业仍然难以分辨攻击者的身份。

在攻击者成功建立起僵尸网络之后，就可以远程对每个爬虫程序发号施令，

发起对于目标系统的 DDoS 攻击。在僵尸网络攻击某个网络或服务器时，攻击者会指示僵尸向受害者的 IP 地址发送请求。我们每个人都有独一无二的指纹，而设备也有类似的特征，每台设备都有一个唯一的地址，可以用来在互联网或本地网络上识别它们。流量过大造成拒绝服务，使正常流量无法访问网站、Web 应用、API 或网络。

有时，僵尸网络及其中的爬虫程序会通过“雇佣攻击”服务的形式出租给其他有意发起攻击的人。这让那些没有接受过训练、缺乏经验的恶意攻击者也能轻松自行发动 DDoS 攻击。

立即避免 DDOS 攻击

三、DDoS 攻击类型

DDoS 攻击分为许多不同类型，攻击者经常混合使用多种攻击来给目标造成严重破坏。其中三种关键类型是容积攻击、协议攻击和应用层攻击。所有攻击的目的都是为了严重拖慢合法流量的速度，或者阻止合法流量到达其预定目的地。例如，这可能意味着用户无法正常访问网站、购买产品或服务、观看视频，或者无法在社交媒体上进行互动。此外，DDoS 会造成资源不可用或性能下降，导致业务陷入停滞。它可能导致员工无法访问电子邮件、Web 应用，或让他们无法照常处理工作。

为了进一步探究 DDoS 攻击的工作原理，我们来具体分析一下攻击者可能采取的不同攻击途径。开放系统互连模型也叫做“OSI 模型”，它是各种网络标准的分层式框架，包含七个不同层次。OSI 模型的每一层都有独特的用途，就像一栋办公楼中每个楼层都有不同的业务功能。攻击者根据他们想要破坏的网络或面向互联网的资产类型，针对不同的层次发起攻击。

立即避免 DDOS 攻击

四、DDoS 攻击中涉及的 OSI 模型中的七个网络连接层

1.容积攻击

容积型 DDoS 攻击的目的是用海量流量充塞网络，耗尽预期受害方资源的带宽。海量攻击流量阻断了合法用户对应用程序或服务的访问，造成流量无法正常流入或流出。根据目标的不同，阻止合法流量可能意味着银行客户无法按时支付账单、电商购物者无法完成在线交易、医院患者无法查看其病历，公民无法查看自己在政府机构处的纳税记录。无论受到攻击的是什么企业，只要人们无法使用他们期望通过网络使用的服务，就会产生负面影响。

容积攻击使用的攻击途径是由一种恶意软件感染的众多系统和设备组成的僵尸网络。在攻击者的控制下，爬虫程序发出恶意流量，耗尽所有可用带宽，造成攻击目标与互联网之间的连接拥塞。

不可预见的僵尸流量造成的冲击可能大大减慢或阻止对于 Web 资源或面向互联网的服务的访问。由于爬虫程序会取代合法设备，以放大带宽密集型 DDoS 攻击，但用户往往毫不知情，因此受害企业很难发现恶意流量。

常见的容积攻击类型

恶意攻击者使用的容积 DDoS 攻击媒介分为很多种。许多攻击者都利用反射和放大技术来造成目标网络或服务不堪重负。

1.UDP 泛洪攻击

UDP 泛洪攻击经常被选择用于带宽较大的 DDoS 攻击。攻击者会试图用包含无状态 UDP 协议的 IP 数据包充塞目标主机上的端口。随后，受害主机寻找与 UDP 数据包相关的应用程序，如果没有找到，就向发送者回发一条“目标不可达”消息。攻击者经常通过冒用 IP 地址来隐藏自己的身份，一旦目标主机被攻击流量淹没，系统就会失去响应，造成合法用户无法正常使用。

2.DNS 反射/放大

DNS 反射攻击是一种常见的攻击媒介，网络犯罪分子通过伪装其目标的 IP 地址，向开放的 DNS 服务器发送大量请求。作为回应，这些 DNS 服务器通过伪造的 IP 地址响应恶意请求，大量的 DNS 答复形成洪流，从而构成预定目标的攻击。很快，通过 DNS 答复产生的大量流量就会造成受害企业的服务不堪重负、无法使用，并造成合法流量无法到达其预定目的地。

3.ICMP 泛洪攻击

互联网控制消息协议 (ICMP) 主要用于错误信息传递，通常不会在系统之间交换数据。ICMP 数据包可能与传输控制协议 TCP 数据包一同传输，让应用程序和计算设备在连接到服务器时可以通过网络交换信息。ICMP 泛洪攻击是一种第 3 层基础架构 DDoS 攻击方法，它使用 ICMP 消息来造成目标网络带宽超载。

4.协议攻击

协议攻击通过尝试利用协议通信的恶意连接请求来消耗并耗尽各种网络基础架构资源（如服务器或防火墙）的计算容量。同步 (SYN) 泛洪攻击和 Smurf DDoS 是基于协议的 DDoS 攻击的两种常见类型。协议攻击可以用每秒数据包数量 (pps) 和每秒比特数 (bps) 来衡量。

5.SYN 泛洪攻击

人们连接到互联网应用的主要方式之一是通过传输控制协议 (TCP)。这种连接需要从 TCP 服务（如 Web 服务器）进行三方握手，涉及到从用户连接到服务器的位置发送所谓的 SYN（同步）数据包，然后服务器返回一个 SYN-ACK（同步确认）数据包，最终通过最后的 ACK（确认）通信作为应答，以此完成 TCP 握手。

在 SYN 泛洪攻击中，恶意客户端发送大量 SYN 数据包（通常在握手的第一部分），但永远不会发送确认以完成握手。这使得服务器一直等待对于这些半开放的 TCP 连接的响应，而这些连接最终会耗尽容量，造成服务器无法接受跟踪连接状态的新连接。

SYN 泛洪攻击就好像一所大型高中里，整个毕业班的一场可怕恶作剧 – 所有学生在同一时间段内打电话给同一家披萨店，每个人都要订个披萨。在送餐员备货时，她会发现收到了太多的披萨订单，外卖车根本装不下，而且订单上也没有地址，所以所有送餐都会停止。

6.Smurf DDoS 攻击

这种 DDoS 攻击的名称来源是：众多规模较小的攻击者可以凭借纯粹的数量优势来压倒更大规模的对手，就像幻想故事里的蓝精灵 (Smurf) 一样。

在 Smurf 分布式拒绝服务攻击中，攻击者使用某个 IP 广播地址，向计算机网络广播大量带有目标仿冒源 IP 的互联网控制消息协议 (ICMP) 数据包。默认情况下，网络上的大多数设备将通过向该源 IP 地址发送回复的方式来做出响应。根据网络上机器数量的不同，受害计算机的速度可能会因为流量泛洪而被严重拖慢。

7.应用层攻击

示例：HTTP 泛洪攻击

应用层攻击是通过向应用程序发送大量恶意请求实现的，以每秒请求数 (RPS) 来衡量。这类攻击也称为第 7 层 DDoS 攻击，针对并破坏特定的网络应用程序，而不是整个网络。虽然这类 DDoS 攻击难以预防和抵御，但发动起来却相对比较容易。

打个比方来说，惊吓一群马并让它们到处乱跑容易，但要再次将它们控制起来几乎很难实现。应用层攻击就是这样：容易实施，但难以减缓或阻止，而且特定于某个目标。

立即避免 DDOS 攻击

四、DDoS 攻击的目的是什么？

分布式拒绝服务攻击 (DDoS) 试图通过多个来源的恶意流量造成在线服务、网站和网络应用程序不堪重负，或者耗尽目标资产的计算资源并且使之因此而陷入瘫痪。攻击者的目标是让合法用户无法正常使用该目标，它的目的只有一个——就是破坏。DDoS 攻击的目标是人们日常生活中依赖的各种资源，包括金融服务、医疗信息、新闻机构、教育系统和网络购物。

在发起旨在给企业造成破坏的 DDoS 攻击时，攻击者的动机不一而足。常见的动机可能包括：

• 出于政治或社会原因而进行黑客攻击
• 民族国家攻击者试图造成经济或社会混乱
• 造成竞争对手的服务或产品不可用，并尝试借机招揽业务
• 将 DDoS 攻击用作“烟幕”，转移紧急事件响应小组对更不易察觉的复杂攻击的注意力
• 通过敲诈勒索来谋取经济利益

近来， DDoS 敲诈攻击 已成为网络犯罪分子间一个极为常见的动机。DDoS 敲诈攻击也叫做 DDoS 勒索 (RDDoS) 攻击，在此类攻击中，威胁攻击者团体（比如 Copycats 等）用 DDoS 事件威胁企业，要求企业支付赎金或满足敲诈勒索最后通牒中的要求，否则就会发动 DDoS 攻击。通常情况下，这些犯罪份子会先给一个下马威，证明他们有能力造成破坏，并提高成为攻击目标的公司支付赎金的可能性。为了避免被抓，攻击者往往坚持要求被勒索者通过比特币等加密货币付款。

DDoS 勒索攻击的目的就是索要赎金，就好像小学生被霸凌者偷走了作业，霸凌者要求小学生交出午餐钱来换回作业一样。在复杂的网络霸凌世界中，赎金采用数字化形式，无法追踪。

立即避免 DDOS 攻击

五、DDoS 防御教程

1.采用高性能的网络设备

首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的 DDoS 攻击是非常有效的。

2.尽量避免 NAT 的使用

无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换 NAT 的使用，因为采用此技术会较大降低网络通信能力，其实原因很简单，因为 NAT 需要对地址来回转换，转换过程中需要对网络包的校验和进行计算，因此浪费了很多 CPU 的时间，但有些时候必须使用 NAT，那就没有好办法了。

3.充足的网络带宽保证

网络带宽直接决定了能抗受攻击的能力，假若仅仅有 10M 带宽的话，无论采取什么措施都很难对抗现在的 SYNFlood 攻击，当前至少要选择 100M 的共享带宽，最好的当然是挂在 1000M 的主干上了。但需要注意的是，主机上的网卡是 1000M 的并不意味着它的网络带宽就是千兆的，若把它接在 100M 的交换机上，它的实际带宽不会超过 100M，再就是接在 100M 的带宽上也不等于就有了百兆的带宽，因为网络服务商很可能会在交换机上限制实际带宽为 10M，这点一定要搞清楚。

4.升级主机服务器硬件

在有网络带宽保证的前提下，请尽量提升硬件配置，要有效对抗每秒 10 万个 SYN 攻击包，服务器的配置至少应该为：P4 2.4G/DDR512M/SCSI-HD，起关键作用的主要是 CPU 和内存，若有志强双 CPU 的话就用它吧，内存一定要选择 DDR 的高速内存，硬盘要尽量选择 SCSI 的，别只贪 IDE 价格不贵量还足的便宜，否则会付出高昂的性能代价，再就是网卡一定要选用 3COM 或 Intel 等名牌的，若是 Realtek 的还是用在自己的 PC 上吧。

5.把网站做成静态页面或者伪静态

大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给黑客入侵带来不少麻烦，至少到现在为止关于 HTML 的溢出还没出现，看看吧!新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器，当然，适当放一些不做数据库调用脚本还是可以的，此外，最好在需要调用数据库的脚本中拒绝使用代理的访问，因为经验表明使用代理访问你网站的 80%属于恶意行为。

6.增强操作系统的 TCP/IP 栈

Windows 操作系统本身就具备一定的抵抗 DDoS 攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约 10000 个 SYN 攻击包，若没有开启则仅能抵御数百个，具体怎么开启，可以去看微软的文章!

7.安装专业抗 DDoS 防火墙

8.HTTP 请求的拦截

如果恶意请求有特征，对付起来很简单：直接拦截它就行了。

HTTP 请求的特征一般有两种：IP 地址和 User Agent 字段。比如，恶意请求都是从某个 IP 段发出的，那么把这个 IP 段封掉就行了。或者，它们的 User Agent 字段有特征(包含某个特定的词语)，那就把带有这个词语的请求拦截。

9.备份网站

你要有一个备份网站，或者最低限度有一个临时主页。生产服务器万一下线了，可以立刻切换到备份网站，不至于毫无办法。

备份网站不一定是全功能的，如果能做到全静态浏览，就能满足需求。最低限度应该可以显示公告，告诉用户，网站出了问题，正在全力抢修。这种临时主页建议放到 Github Pages 或者 Netlify，它们的带宽大，可以应对攻击，而且都支持绑定域名，还能从源码自动构建。

10.部署 CDN

CDN 指的是网站的静态内容分发到多个服务器，用户就近访问，提高速度。因此，CDN 也是带宽扩容的一种方法，可以用来防御 DDOS 攻击。

立即避免 DDOS 攻击

六、游戏怎么避免 DDOS

为了规避游戏中的 DDoS 攻击，可以考虑使用 VPN。

了解 VPN 怎样帮助抵御 DDoS 攻击，首先要了解，当您在玩在线游戏时，您是从一个唯一的 IP 地址连接到 Internet 的。 在许多游戏中，其他玩家很容易看到您的 IP 地址。 然后，他们将 DDoS 攻击定向到此地址。

使用 VPN 时，您的真实 IP 地址是隐藏的。 黑客将改为看到 VPN 服务器的 IP 地址。 他们可以根据需要攻击 VPN 服务器的 IP 地址，但是安全的 VPN 将具有广泛的 DDoS 保护，因此这些攻击不会影响网络性能。

要防御 DDos 攻击，推荐 StrongVPN, 使用 StrongVPN，你真实的 IP 地址被隐藏，StrongVPN 会加密您的每台设备（包括实时消息应用程序）、以使您的加密变得无懈可击。通过加密所有互联网流量来防止黑客进入您的个人信息。使 ISP 和第三方无法监视您的活动、并帮助您匿名浏览互联网。

StrongVPN 的恶意网站屏蔽和广告拦截功能，可以拦截不必要的流量和垃圾广告信息等，让你可以不受干扰的自由的上网，没有任何打扰或者障碍。