安全報道顯示2015年DDoS攻擊強度創下新紀錄，那麽DDoS到底是什麽呢？了解一些，對產品經理與後臺的同事溝通有好處。

分布式拒絕服務(DDoS:Distributed Denial of Service)攻擊指借助於客戶/服務器技術，將多個計算機聯合起來作為攻擊平臺，對一個或多個目標發動DDoS攻擊，從而成倍地提高拒絕服務攻擊的威力。

如何理解DDoS攻擊

一群惡霸試圖讓對面那家有著競爭關系的商鋪無法正常營業，他們會采取什麽手段呢？（只為舉例，切勿模仿）

惡霸們扮作普通客戶一直擁擠在對手的商鋪，賴著不走，真正的購物者卻無法進入；或者總是和營業員有一搭沒一搭的東扯西扯，讓工作人員不能正常服務客戶；也可以為商鋪的經營者提供虛假信息，商鋪的上上下下忙成一團之後卻發現都是一場空，最終跑了真正的大客戶，損失慘重。

此外惡霸們完成這些壞事有時憑單幹難以完成，需要叫上很多人一起。嗯，網絡安全領域中DoS和DDoS攻擊就遵循著這些思路。

攻擊方式

DDoS攻擊通過大量合法的請求占用大量網絡資源，以達到癱瘓網絡的目的。

這種攻擊方式可分為以下幾種：

通過使網絡過載來幹擾甚至阻斷正常的網絡通訊；

通過向服務器提交大量請求，使服務器超負荷；

阻斷某一用戶訪問服務器；

阻斷某服務與特定系統或個人的通訊。

IP Spoofing

IP欺騙攻擊是一種黑客通過向服務端發送虛假的包以欺騙服務器的

DDOS攻擊示意圖做法。

具體說，就是將包中的源IP地址設置為不存在或不合法的值。服務器一旦接受到該包便會返回接受請求包，但實際上這個包永遠返回不到來源處的計算機。

這種做法使服務器必需開啟自己的監聽端口不斷等待，也就浪費了系統各方面的資源。

LAND attack

這種攻擊方式與SYN floods類似，不過在LAND attack攻擊包中的原地址和目標地址都是攻擊對象的IP。

這種攻擊會導致被攻擊的機器死循環，最終耗盡資源而死機。

ICMP floods

ICMPfloods是通過向未良好設置的路由器發送廣播信息占用系統資源的做法。

Application

與前面敘說的攻擊方式不同，Application level floods主要是針對應用軟件層的，也就是高於OSI的。

它同樣是以大量消耗系統資源為目的，通過向IIS這樣的網絡服務程序提出無節制的資源申請來迫害正常的網絡服務。

攻擊原理

拒絕服務攻擊即攻擊者想辦法讓目標機器停止提供服務或資源訪問。這些資源包括磁盤空間、內存、進程甚至網絡帶寬，從而阻止正常用戶的訪問。

其實對網絡帶寬進行的消耗性攻擊只是拒絕服務攻擊的一小部分，只要能夠對目標造成麻煩，使某些服務被暫停甚至主機死機，都屬於拒絕服務攻擊。

拒絕服務攻擊問題也一直得不到合理的解決，究其原因是因為這是由於網絡協議本身的安全缺陷造成的，從而拒絕服務攻擊也成為了攻擊者的終極手法。

攻擊者進行拒絕服務攻擊，實際上讓服務器實現兩種效果：

一是迫使服務器的緩沖區滿，不接收新的請求；

二是使用IP欺騙，迫使服務器把合法用戶的連接復位，影響合法用戶的連接。

雖然同樣是拒絕服務攻擊，但是DDOS 和DOS 還是有所不同

DDOS的攻擊策略側重於通過很多“僵屍主機”（被攻擊者入侵過或可間接利用的主機）向受害主機發送大量看似合法的網絡包， 從而造成網絡阻塞或服務器資源耗盡而導致拒絕服務。

分布式拒絕服務攻擊一旦被實施， 攻擊網絡包就會猶如洪水般湧向受害主機， 從而把合法用戶的網絡包淹沒， 導致合法用戶無法正常訪問服務器的網絡資源， 因此， 拒絕服務攻擊又被稱之為 “洪水式攻擊” 。

常見的 DDOS 攻擊手段有 SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script Flood、Proxy Flood 等。

而 DOS 則側重於通過對主機特定漏洞的利用攻擊導致網絡棧失效、系統崩潰、 主機死機而無法提供正常的網絡服務功能， 從而造成拒絕服務。

常見的 DOS 攻擊手段有 T earDrop、 Land、 Jolt、 IGMP Nuker、 Boink、 Smurf、 Bonk、OOB 等。

就這兩種拒絕服務攻擊而言，危害較大的主要是 DDOS 攻擊，原因是很難防範，至於 DOS 攻擊，通過給主機服務器打補丁或安裝防火墻軟件就可以很好地防範。

DDOS 的表現形式主要有兩種：

一種為流量攻擊，主要是針對網絡帶寬的攻擊，即大量攻擊包導致網絡帶寬被阻塞， 合法網絡包被虛假的攻擊包淹沒而無法到達主機；

另一種為資源耗盡攻擊，主要是針對服務器主機的攻擊，即通過大量攻擊包導致主機的內存被耗盡或CPU 被內核及應用程序占完，造成的無法提供網絡服務。

如何判斷網站是否遭受了流量攻擊？

如何判斷網站是否遭受了流量攻擊可通過 Ping 命令來測試，若發現 Ping 超時或丟包嚴重(假定平時是正常的)，則可能遭受了流量攻擊，此時若發現和你的主機接在同一交換機上的服務器也訪問不了， 基本可以確定是遭受了流量攻擊。

當然， 這樣測試的前提是你到服務器主機之間的 ICMP 協議沒有被路由器和防火墻等設備屏蔽， 否則可采取 T elnet 主機服務器的網絡服務端口來測試，效果是一樣的。

不過有一點可以肯定，假如平時 Ping 你的主機服務器和接在同一交換機上的主機服務器都是正常的，突然都Ping 不通了或者是嚴重丟包，那麽假如可以排除網絡故障因素的話則肯定是遭受了流量攻擊，再一個流量攻擊的典型現象是，一旦遭受流量攻擊，會發現用遠程終端連接網站服務器會失敗。

如何判斷網站是否遭受了資源耗盡攻擊？

相對於流量攻擊而言， 資源耗盡攻擊要容易判斷一些， 假如平時 Ping 網站主機和訪問網站都是正常的，發現突然網站訪問非常緩慢或無法訪問了，而 Ping 還可以 Ping 通，則很可能遭受了資源耗盡攻擊 。

此時若在服務器上用Nistat -na命令觀察到有大量的SYN_RECEIVED、TIME_W AIT、FIN_W AIT_1 等狀態存在，而EST BLISHED 很少，則可判定肯定是遭受了資源耗盡攻擊。

還有一種屬於資源耗盡攻擊的現象是，Ping 自己的網站主機 Ping 不通或者是丟包嚴重，而 Ping 與自己的主機在同一交換機上的服務器則正常，造成這種原因是網站主機遭受攻擊後導致系統內核或某些應用程序 CPU 利用率達到 100%無法回應 Ping 命令，其實帶寬還是有的，否則就 Ping 不通接在同一交換機上的主機了。

當前主要有三種流行的 DDOS

1、SYN/ACK Flood 攻擊：

這種攻擊方法是經典最有效的 DDOS 方法， 可通殺各種系統的網絡服務， 主要是通過向受害主機發送大量偽造源 IP 和源端口的 SYN 或 ACK 包，導致主機的緩存資源被耗盡或忙於發送回應包而造成拒絕服務。

由於源都是偽造的故追蹤起來比較困難， 缺點是實施起來有一定難度， 需要高帶寬的僵屍主機支持。

少量的這種攻擊會導致主機服務器無法訪問， 但卻可以 Ping 的通， 在服務器上用 Netstat -na 命令會觀察到存在大量的 SYN_RECEIVED 狀態，大量的這種攻擊會導致 Ping 失敗、TCP/IP 棧失效，並會出現系統凝固現象，即不響應鍵盤和鼠標。普通防火墻大多無法抵禦此種攻擊。

2、TCP 全連接攻擊：

這種攻擊是為了繞過常規防火墻的檢查而設計的，一般情況下，常規防火墻大多具備過濾 T earDrop、Land 等DOS 攻擊的能力。

但對於正常的 TCP 連接是放過的，殊不知很多網絡服務程序（如：IIS、Apache 等 W eb 服務器）能接受的 TCP連接數是有限的，一旦有大量的 TCP 連接，即便是正常的，也會導致網站訪問非常緩慢甚至無法訪問。

TCP 全連接攻擊就是通過許多僵屍主機不斷地與受害服務器建立大量的 TCP 連接，直到服務器的內存等資源被耗盡而被拖跨， 從而造成拒絕服務， 這種攻擊的特點是可繞過一般防火墻的防護而達到攻擊目的，缺點是需要找很多僵屍主機，並且由於僵屍主機的 IP 是暴露的，因此容易被追蹤。

3、刷 Script 腳本攻擊：

這種攻擊主要是針對存在 ASP、JSP、PHP、CGI 等腳本程序，並調用 MSSQLServer、MySQLServer、Oracle 等數據庫的網站系統而設計的，特征是和服務器建立正常的 TCP 連接， 並不斷的向腳本程序提交查詢、 列表等大量耗費數據庫資源的調用。

一般來說， 提交一個 GET 或 POST 指令對客戶端的耗費和帶寬的占用是幾乎可以忽略的，而服務器為處理此請求卻可能要從上萬條記錄中去查出某個記錄， 這種處理過程對資源的耗費是很大的， 常見的數據庫服務器很少能支持數百個查詢指令同時執行。

而這對於客戶端來說卻是輕而易舉的， 因此攻擊者只需通過 Proxy 代理向主機服務器大量遞交查詢指令， 只需數分鐘就會把服務器資源消耗掉而導致拒絕服務。

常見的現象就是網站慢如蝸牛、ASP 程序失效、PHP 連接數據庫失敗、數據庫主程序占用 CPU 偏高。

這種攻擊的特點是可以完全繞過普通的防火墻防護， 輕松找一些 Proxy 代理就可實施攻擊， 缺點是對付只有靜態頁面的網站效果會大打折扣，並且有些 Proxy 會暴露攻擊者的 IP 地址。

怎麽抵禦 DDOS

僅僅依靠某種系統或產品防住 DDOS 是不現實的， 可以肯定的是， 完全杜絕 DDOS是不可能的，但通過適當的措施抵禦 90%的 DDOS 攻擊是可以做到的。

基於攻擊和防禦都有成本開銷的緣故，若通過適當的辦法增強了抵禦 DDOS 的能力，也就意味著加大了攻擊者的攻擊成本，那麽絕大多數攻擊者將無法繼續下去而放棄，也就相當於成功的抵禦了DDOS 攻擊。

1、采用高性能的網絡設備引

首先要保證網絡設備不能成為瓶頸，因此選擇路由器、交換機、硬件防火墻等設備的時候要盡量選用知名度高、 口碑好的產品。

再就是假如和網絡提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網絡接點處做一下流量限制來對抗某些種類的DDOS 攻擊是非常有效的。

2、盡量避免 NAT 的使用

無論是路由器還是硬件防護墻設備要盡量避免采用網絡地址轉換 NAT 的使用， 因為采用此技術會較大降低網絡通信能力。

其實原因很簡單，因為 NA T 需要對地址來回轉換，轉換過程中需要對網絡包的校驗和進行計算，因此浪費了很多 CPU 的時間，但有些時候必須使用 NA T，那就沒有好辦法了。

3、充足的網絡帶寬保證

網絡帶寬直接決定了能抗受攻擊的能力， 假若僅僅有 10M 帶寬的話， 無論采取什麽措施都很難對抗當今的SYNFlood 攻擊， 至少要選擇 100M 的共享帶寬，最好的當然是掛在1000M 的主幹上了。

但需要註意的是，主機上的網卡是 1000M 的並不意味著它的網絡帶寬就是千兆的， 若把它接在 100M 的交換機上， 它的實際帶寬不會超過 100M， 再就是接在 100M的帶寬上也不等於就有了百兆的帶寬， 因為網絡服務商很可能會在交換機上限制實際帶寬為10M，這點一定要搞清楚。

4、升級主機服務器硬件

在有網絡帶寬保證的前提下，請盡量提升硬件配置，要有效對抗每秒 10 萬個 SYN 攻擊包，服務器的配置至少應該為：P4 2.4G/DDR512M/SCSI-HD。

起關鍵作用的主要是 CPU 和內存， 若有誌強雙 CPU 的話就用它吧， 內存一定要選擇 DDR 的高速內存， 硬盤要盡量選擇SCSI 的，別只貪 IDE 價格不貴量還足的便宜，否則會付出高昂的性能代價，再就是網卡一定要選用 3COM 或 Intel 等名牌的，若是 Realtek 的還是用在自己的 PC 上吧。

5、把網站做成靜態頁面

大量事實證明，把網站盡可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給黑客入侵帶來不少麻煩，至少到為止關於 HTML 的溢出還沒出現，新浪、搜狐、網易等門戶網站主要都是靜態頁面。

若你非需要動態腳本調用， 那就把它弄到另外一臺單獨主機去，免的遭受攻擊時連累主服務器， 當然， 適當放一些不做數據庫調用腳本還是可以的。

此外，最好在需要調用數據庫的腳本中拒絕使用代理的訪問， 因為經驗表明使用代理訪問你網站的80%屬於惡意行為。

服務器遭受攻擊的方式與服務器受到攻擊應該怎麽辦