分布式拒絕服務(wù) (DDoS) 攻擊是惡意嘗試使用戶無法使用在線服務(wù)，通常是暫時(shí)中斷或暫停其托管服務(wù)器的服務(wù)。DDoS攻擊是從眾多受感染設(shè)備發(fā)起的，這些設(shè)備通常分布在全球范圍內(nèi)，稱為 僵尸網(wǎng)絡(luò)。它與其他拒絕服務(wù) (DoS) 攻擊不同，因?yàn)樗褂脝蝹€(gè)連接 Internet 的設(shè)備（一個(gè)網(wǎng)絡(luò)連接）來用惡意流量淹沒目標(biāo)。這種細(xì)微差別是這兩個(gè)有些不同的定義存在的主要原因。這是有關(guān)網(wǎng)絡(luò)安全的一系列廣泛指南的一部分。

從廣義上講，DoS 和 DDoS 攻擊可以分為三種類型：

基于卷的攻擊

包括 UDP 泛洪、ICMP 泛洪和其他欺騙性數(shù)據(jù)包泛洪。攻擊的目標(biāo)是使被攻擊站點(diǎn)的帶寬飽和，并且幅度以每秒比特?cái)?shù) (Bps) 為單位。

協(xié)議攻擊

包括 SYN 泛洪、分段數(shù)據(jù)包攻擊、Ping of Death、Smurf DDoS 等。這種類型的攻擊消耗實(shí)際的服務(wù)器資源，或中間通信設(shè)備的資源，例如防火墻和負(fù)載均衡器，并以每秒數(shù)據(jù)包數(shù) (Pps) 為單位。

應(yīng)用層攻擊

包括低速和慢速攻擊、GET/POST 洪水、針對 Apache、Windows 或 OpenBSD 漏洞的攻擊等。這些攻擊由看似合法和無辜的請求組成，其目標(biāo)是使 Web 服務(wù)器崩潰，其大小以每秒請求數(shù) (Rps) 為單位。

常見的 DDoS 攻擊類型

一些最常用的 DDoS 攻擊類型包括：

UDP洪水

根據(jù)定義，UDP 泛洪是使用用戶數(shù)據(jù)報(bào)協(xié)議 (UDP) 數(shù)據(jù)包泛洪目標(biāo)的任何 DDoS 攻擊。攻擊的目標(biāo)是淹沒遠(yuǎn)程主機(jī)上的隨機(jī)端口。這會導(dǎo)致主機(jī)反復(fù)檢查在該端口上偵聽的應(yīng)用程序，并（當(dāng)沒有找到應(yīng)用程序時(shí)）回復(fù) ICMP 'Destination Unreachable' 數(shù)據(jù)包。此過程會消耗主機(jī)資源，最終可能導(dǎo)致無法訪問。

ICMP（Ping）洪水

原理上與 UDP 泛洪攻擊類似，ICMP 泛洪使用 ICMP Echo Request (ping) 數(shù)據(jù)包淹沒目標(biāo)資源，通常在不等待回復(fù)的情況下盡可能快地發(fā)送數(shù)據(jù)包。這種類型的攻擊會消耗傳出和傳入帶寬，因?yàn)槭芎φ叩姆?wù)器通常會嘗試使用 ICMP Echo Reply 數(shù)據(jù)包進(jìn)行響應(yīng)，從而導(dǎo)致整個(gè)系統(tǒng)顯著變慢。

SYN 洪水

SYN 泛洪 DDoS 攻擊利用 TCP 連接序列中的一個(gè)已知弱點(diǎn)（“三次握手”），其中啟動與主機(jī)的 TCP 連接的 SYN 請求必須由來自該主機(jī)的 SYN-ACK 響應(yīng)來回答，并且然后由請求者的 ACK 響應(yīng)確認(rèn)。在 SYN 泛洪場景中，請求者發(fā)送多個(gè) SYN 請求，但要么不響應(yīng)主機(jī)的 SYN-ACK 響應(yīng)，要么從欺騙的 IP 地址發(fā)送 SYN 請求。無論哪種方式，主機(jī)系統(tǒng)都會繼續(xù)等待每個(gè)請求的確認(rèn)，綁定資源直到無法建立新連接，最終導(dǎo)致 拒絕服務(wù)。

死亡 ping

死亡 ping (“POD”) 攻擊涉及攻擊者向計(jì)算機(jī)發(fā)送多個(gè)格式錯(cuò)誤或惡意的 ping。IP 數(shù)據(jù)包（包括頭）的最大數(shù)據(jù)包長度為 65,535 字節(jié)。然而，數(shù)據(jù)鏈路層通常對最大幀大小有限制——例如以太網(wǎng)上的 1500 字節(jié)。在這種情況下，一個(gè)大的 IP 數(shù)據(jù)包被拆分為多個(gè) IP 數(shù)據(jù)包（稱為片段），并且接收主機(jī)將這些 IP 片段重新組合成完整的數(shù)據(jù)包。在Ping of Death 場景中，在惡意操作片段內(nèi)容之后，接收者最終得到一個(gè)重新組裝后大于 65,535 字節(jié)的 IP 數(shù)據(jù)包。這可能會溢出為數(shù)據(jù)包分配的內(nèi)存緩沖區(qū)，從而導(dǎo)致對合法數(shù)據(jù)包的拒絕服務(wù)。

Slowloris

Slowloris是一種針對性很強(qiáng)的攻擊，可以讓一個(gè) Web 服務(wù)器關(guān)閉另一臺服務(wù)器，而不會影響目標(biāo)網(wǎng)絡(luò)上的其他服務(wù)或端口。Slowloris 通過保持與目標(biāo) Web 服務(wù)器的盡可能多的連接盡可能長時(shí)間地保持打開狀態(tài)來做到這一點(diǎn)。它通過創(chuàng)建與目標(biāo)服務(wù)器的連接來實(shí)現(xiàn)這一點(diǎn)，但只發(fā)送部分請求。Slowloris 不斷發(fā)送更多 HTTP 標(biāo)頭，但從未完成請求。目標(biāo)服務(wù)器保持這些虛假連接中的每一個(gè)處于打開狀態(tài)。這最終會溢出最大并發(fā)連接池，并導(dǎo)致拒絕來自合法客戶端的額外連接。

NTP 放大

在 NTP 放大攻擊中，犯罪者利用可公開訪問的網(wǎng)絡(luò)時(shí)間協(xié)議 (NTP) 服務(wù)器來淹沒目標(biāo)服務(wù)器的 UDP 流量。攻擊被定義為放大攻擊，因?yàn)樵谶@種情況下查詢與響應(yīng)的比率在 1:20 到 1:200 或更高之間。這意味著任何獲得開放 NTP 服務(wù)器列表的攻擊者（例如，通過使用諸如 Metasploit 之類的工具或來自開放 NTP 項(xiàng)目的數(shù)據(jù)）都可以輕松產(chǎn)生毀滅性的高帶寬、大容量 DDoS 攻擊。

HTTP 洪水

在 HTTP 洪水 DDoS 攻擊中，攻擊者利用看似合法的 HTTP GET 或 POST 請求來攻擊 Web 服務(wù)器或應(yīng)用程序。HTTP 洪水不使用格式錯(cuò)誤的數(shù)據(jù)包、欺騙或反射技術(shù)，并且比其他攻擊需要更少的帶寬來破壞目標(biāo)站點(diǎn)或服務(wù)器。當(dāng)它強(qiáng)制服務(wù)器或應(yīng)用程序分配盡可能多的資源以響應(yīng)每個(gè)請求時(shí)，這種攻擊是最有效的。

零日 DDoS 攻擊

“零日”定義包括所有未知或新的攻擊，利用尚未發(fā)布補(bǔ)丁的漏洞。該術(shù)語在黑客社區(qū)的成員中廣為人知，交易零日漏洞的做法已成為一種流行的活動。

DDoS 攻擊背后的動機(jī)

根據(jù)最近的市場研究，DDoS 攻擊正迅速成為最普遍的網(wǎng)絡(luò)威脅類型，在過去一年中，無論是數(shù)量還是數(shù)量都在迅速增長。趨勢是攻擊持續(xù)時(shí)間更短，但每秒數(shù)據(jù)包攻擊量更大。

攻擊者的主要?jiǎng)訖C(jī)是：

• 意識形態(tài)——所謂的“黑客主義者”使用 DDoS 攻擊作為針對他們在意識形態(tài)上不同意的網(wǎng)站的一種手段。
• 業(yè)務(wù)不和——企業(yè)可以使用 DDoS 攻擊戰(zhàn)略性地關(guān)閉競爭對手的網(wǎng)站，例如，阻止他們參與重大活動，例如網(wǎng)絡(luò)星期一。
• 無聊——網(wǎng)絡(luò)破壞者，又名“腳本小子”，使用預(yù)先編寫的腳本來發(fā)起 DDoS 攻擊。這些攻擊的肇事者通常是無聊的，潛在的黑客正在尋找腎上腺素的沖動。
• 勒索——犯罪者使用 DDoS 攻擊或 DDoS 攻擊的威脅作為從目標(biāo)勒索金錢的手段。
• 網(wǎng)絡(luò)戰(zhàn)——政府授權(quán)的 DDoS 攻擊可用于削弱反對派網(wǎng)站和敵國的基礎(chǔ)設(shè)施。