什么是DDoS攻击？

顾名思义，基于流量的 DDoS 攻击取决于入站流量。此类攻击的目标是使网站的带宽过载或导致 CPU 或 IOPS 使用问题。攻击者采用了一种基本策略——更多的资源赢得了这场比赛。如果他们可以使您的资源过载，则攻击是成功的。攻击者很容易实现他们的目标。大多数网站所有者都在利用共享主机，而具有虚拟专用服务器 (VPS) 环境的主机通常设置在最小的层级和配置中。

这种攻击可以以每秒比特数来衡量。

基于卷的 DDoS 攻击包括：

• • UDP 泛洪

    用户数据报协议 (UDP) DoS 攻击将随机淹没各种端口，导致主机服务器使用 Internet 控制消息协议 (ICMP) 数据包进行报告。这是一种协议，用于在问题阻止 IP 数据包传递时向 IP 地址生成错误消息。UDP 泛洪是通过数据包完成的——也称为第 3/4 层攻击。这会迫使 Web 服务器做出响应，进而咀嚼您的 Web 服务器资源，迫使它停止或完全死机。UDP 是一种无连接协议，这意味着它不验证源 IP 地址。正因为如此，UDP 攻击通常与分布式反射拒绝服务 (DRDoS) 攻击相关联。

• • ICMP 泛洪

    攻击者使用从大量源 IP 发送的欺骗性 ICMP 数据包淹没服务器。这种攻击的结果是服务器资源耗尽和无法处理请求，导致服务器重新启动或对其性能造成广泛影响。ICMP 洪水攻击可以针对特定的服务器，也可以是随机的。它基本上将带宽消耗到耗尽的地步。

• • 平洪水

    攻击者使用来自大量源 IP 的欺骗性 ping 数据包淹没服务器。它是 ICMP 洪水攻击的演变。攻击者的目标是淹没服务器直到它下线。对于网站所有者而言，这种攻击的最大缺点是它可能难以检测，被误认为是合法流量。

互联网是基于协议的。这就是事情从 A 点到 B 点的方式。基于协议的 DDoS 攻击利用了第 3 层和第 4 层协议栈中的弱点。这种类型的攻击在处理能力的中间消耗服务器资源或任何其他网络硬件。结果是服务中断。这些攻击试图通过发送比服务器可以处理的更多的数据包或比网络端口可以处理的带宽更多的数据包来利用您的网络堆栈。攻击可以用每秒数据包数 (Pps) 来衡量。

基于协议的 DDoS 攻击包括：

• • 死亡之平

攻击者向服务器发送恶意 ping，操纵 IP 协议。这种攻击在 1990 年代非常普遍。如今，尽管攻击已经发展，但仍有一些形式的 Ping of Death 攻击可以针对应用程序或硬件。这种攻击的结果是服务器重新启动或完全崩溃。这正是 DoS 攻击不能被贬低的原因：一个攻击者可以摧毁一个完整的数据中心。

• • SYN 洪水

攻击者利用传输控制协议 (TCP) 连接三次握手中的弱点，这是客户端、主机和服务器之间的通信过程。攻击者将 SYN 数据包作为欺骗消息发送到目标服务器，直到服务器的表内存连接耗尽导致整个服务关闭。

这种攻击的基础通常针对 Web 服务器（即 Windows IIS、Apache 等）等应用程序；然而，应用层攻击已经发展到 WordPress、Joomla、Drupal、Magento 等应用平台。应用层攻击的目标是破坏应用程序、在线服务或网站。

这些攻击通常比我们以前见过的攻击要小。然而，应用层攻击的后果可能是邪恶的，因为它们可能会被忽视，直到为时已晚做出反应。这就是为什么它们被称为“低速攻击”甚至“慢速攻击”的原因。它们可以是无声的、很小的，尤其是与网络层攻击相比，但它们可能同样具有破坏性。

例如，Linode、Digital Ocean 或 AWS (Amazon) 上的小型 VPS 可以轻松处理每秒 100,000 到 200,000 个数据包的 SYN 洪水。但是，在 WordPress 或 Joomla CMS 上运行的同一台服务器几乎不能在不关闭的情况下每秒中断 500 个 HTTP 请求。这就是为什么应用层攻击会造成与网络应用攻击一样多的破坏。

当您考虑我们在 1.4 节中讨论的放大效应时，即使是一个 HTTP 请求（攻击者可以在不花费太多金钱或资源的情况下执行）也可能导致服务器执行大量内部请求并加载大量文件来创建页。

应用层攻击（通常称为第 7 层攻击）可能是攻击的一部分，不仅针对应用程序，还针对带宽和网络。这些攻击呈上升趋势的原因之一是恶意行为者实施它们的成本往往较低。在应用层攻击中，放大是基于 CPU、内存或资源的，而不是基于网络的。

这些攻击也比网络层攻击更难检测。

专业提示：开发了强大的网站应用程序防火墙 (WAF)解决方案，可阻止 DDoS 攻击关闭您的网站。稍后我们将详细解释 防火墙。

您的设备（例如家庭路由器）可能会受到攻击并充当 DDoS 攻击的僵尸网络。我们发现了一些与物联网设备相关的大规模 DDoS 攻击。

应用层攻击包括：

• • 针对 DNS 服务器的攻击：

域名系统 (DNS) 对网站基础架构至关重要。DNS 将信息与域名相关联，它们也可能成为 DDoS 攻击的目标。这些攻击使用欺骗、反射和放大，这意味着可以大幅放大微小的查询，以产生更大的字节响应。

僵尸网络用于发送 DNS 请求。如果攻击者想要针对 DNS 服务器，它将使用其网络中的所有僵尸网络来发出 DNS 请求消息，以获取来自将域名转换为 IP 地址的开放递归 DNS 服务器的放大记录。当是新请求时，服务器会及时向被感染服务器发出自己的请求，以获取放大记录。这种攻击是使用欺骗完成的，因此即使服务器从未发送过请求，它的响应也已经不堪重负。

这些攻击在今天非常流行。它们发生在第 3 层/第 4 层，使用世界各地可公开访问的 DNS 服务器来用 DNS 响应流量压倒您的 Web 服务器。您的网络服务器被大量的响应淹没，进而使其资源耗尽而难以运行，从而无法响应合法的 DNS 流量。

第 3 层 DNS 放大是一种 DDoS 攻击，攻击者通过反射第三方的攻击来隐藏目标站点的攻击来源。它使用放大，这意味着受害者收到的字节数多于攻击者发送的字节数，从而增加了攻击的威力。

如果这些攻击成功，目标站点将关闭并且不可用。

• • 第 7 层 HTTP 洪水 - 缓存绕过：

第 7 层 HTTP 洪水——缓存绕过是最聪明的攻击类型。攻击者试图使用造成最大破坏的 URL，使站点在没有缓存的情况下耗尽其所有资源。例如，攻击可以对“news”、“gov”、“faith”进行随机字典搜索，这将消耗网站的大量资源并且不容易被发现，因为它看起来像普通用户的搜索习惯。

• • 第 7 层 HTTP 洪水攻击：

第 7 层 HTTP 洪水攻击是一种 DDoS 攻击，旨在使站点或服务器的特定部分过载。它们很复杂且难以检测，因为发送的请求看起来像是合法流量。这些请求会消耗服务器的资源，导致站点宕机。这些请求也可以由机器人发送，从而增加攻击的威力。

关于第 7 层 DDOS 攻击（即 HTTP 泛洪攻击）的一个有趣之处在于，它们对带宽的依赖性很小，这使得它们能够通过使服务器资源过载而轻松关闭服务器。根据 Web 服务器和应用程序堆栈，即使每秒的请求数量很少，也会阻塞应用程序和后端数据库。平均而言，每秒超过 100 个请求的攻击有可能导致大多数中型网站瘫痪。

这种攻击的问题在于服务器级缓存无法阻止它。传入的 URL 是动态的，应用程序会为每个不在缓存中的新请求强制从数据库重新加载内容，从而创建一个新页面。攻击者知道这一点，使其成为当今第 7 层 DDoS 攻击的首选攻击方法。我们将 HTTP 洪水（第 7 层 DDoS 尝试）分为 4 个主要类别：

• • 基本 HTTP 洪水：尝试一遍又一遍地访问同一页面的常见且简单的攻击。它们通常使用相同范围的 IP 地址、用户代理和引荐来源网址。

• • 随机 HTTP 洪水：利用大量 IP 地址并随机使用 URL、用户代理和引用者的复杂攻击。

• • 缓存绕过 HTTP 洪水：随机 HTTP 洪水的一个子类别，它也试图绕过 Web 应用程序缓存。

• • WordPress XMLRPC Floods：使用 WordPress pingback 作为攻击反映的子类别。

任何启用了 pingback 的 WordPress 站点（默认情况下处于启用状态）都可用于针对其他站点的 DDoS 攻击。XMLRPC 用于 pingbacks、trackbacks、通过移动设备进行远程访问和许多其他功能。但是，它也可能被攻击者严重滥用。可能发生的情况是，其他 WordPress 网站可以大规模发送随机请求并导致网站瘫痪。

一名攻击者可以使用数千个干净的 WordPress 安装，通过对 XML-RPC 文件的简单 pingback 请求来执行 DDoS 攻击。换句话说，Linux 中的一个简单命令就可以发动一场猛烈的攻击。如果您有兴趣了解更多关于合法 WordPress 网站被滥用以执行 DDoS 攻击的信息。