拒绝服务与 DDoS

拒绝服务攻击试图通过流量压垮系统或网络资源，或者利用会导致服务崩溃的漏洞，使合法用户无法使用这些资源。

拒绝服务攻击源自单一来源。分布式拒绝服务攻击利用数千甚至数百万台遭入侵的设备（僵尸网络），或利用放大机制生成攻击流量。由于攻击源分散在全球各地，分布式拒绝服务攻击更难拦截。

流量型攻击使用原始流量淹没目标的带宽：

• UDP 洪泛——伪造的 UDP 数据包耗尽带宽
• ICMP 洪泛——ping 数据包压垮目标
• DNS 放大——小型 DNS 查询向受害者返回大型响应

攻击流量以 Gbps 为单位计量，有些攻击超过 1 Tbps。

协议攻击会利用网络协议中的弱点：

• SYN 洪泛——发送数千个 TCP SYN 数据包，耗尽服务器连接表
• 死亡之 ping——发送过大的 ICMP 数据包，使存在漏洞的系统崩溃
• Smurf 攻击——将伪造的 ICMP 发送到网络广播地址，所有主机都向受害者回复

应用层（第 7 层）攻击会使用看似合法的请求，针对特定的应用功能：

• 超文本传输协议洪泛——发送数百万个 GET/POST 请求
• Slowloris——缓慢发送不完整的超文本传输协议标头，占用服务器的所有连接
• SSL 耗尽——滥用 TLS 握手的 CPU 开销

放大攻击会利用返回数据量远大于请求数据量的协议：

• DNS 放大：放大倍数为 60 倍
• NTP 放大：放大倍数为 556 倍
• Memcached 放大：放大倍数为 51,000 倍（2018 年的一次攻击达到 1.7 Tbps）

攻击者会将受害者的 IP 伪造成源地址，反射器则向受害者发送海量响应。

流量清洗中心是专用基础设施，会在分布式拒绝服务流量到达目标之前将其吸收并过滤。主要提供商（Cloudflare、Akamai、AWS Shield）拥有数百 Tbps 的流量清洗能力。

应用层防御措施：

• 按 IP/用户进行速率限制
• 针对可疑流量模式发起 CAPTCHA 验证
• 连接限流
• 基于 IP 信誉进行阻断（已知僵尸网络 IP）

任播会将攻击流量分散到全球多个数据中心。这样，流量负载不会由单个目标全部承担，而是分散处理。Cloudflare 和其他内容分发网络使用任播来应对大规模流量型攻击。

分布式拒绝服务攻击常被用作网络战工具。重大事件包括：

• 2007 年，爱沙尼亚——政治危机期间，政府和银行网站被迫离线
• 2022 年，乌克兰——俄罗斯入侵期间，乌克兰政府网站遭到攻击
• 黑客行动主义者利用分布式拒绝服务攻击发表政治声明

组织可以使用经过授权的负载测试工具来测试系统的抗压能力：

• siege——超文本传输协议负载测试
• ab（Apache Bench）——简单的超文本传输协议基准测试
• 商业压力测试服务（需获得授权）

绝不要测试不属于您或未获得书面许可的系统。

哪种攻击会极其缓慢地发送不完整的超文本传输协议标头，占用服务器的所有可用连接？

拒绝服务攻击和分布式拒绝服务攻击会通过流量压垮目标或利用协议弱点来阻止服务。攻击类型包括流量型（UDP/DNS 洪泛）、协议型（SYN 洪泛）和应用层（Slowloris、超文本传输协议洪泛）。防御措施包括流量清洗中心、任播、速率限制和 CAPTCHA。放大攻击会利用反射器成倍提升攻击能力。