ddos攻击类型

2023年秋天，攻击Cloudflare 披露了一起峰值 3.98 Tbps 的类型 DDoS 攻击，目标是攻击一家游戏公司。攻击持续不到两分钟，类型流量却相当于把整个 Netflix 的攻击日常带宽灌进一条水管。这不是类型电影情节，是攻击真实发生的。DDoS 攻击早已不是类型早年那种"找几个肉鸡发垃圾包"的粗糙玩法，它的攻击类型正在分化，每种都有自己的类型脾气和打法。

流量型：用带宽硬砸

UDP 洪水是攻击最原始的一类。攻击者不需要跟目标建立连接，类型直接朝目标 IP 的攻击随机端口狂发 UDP 数据包。服务器收到后要回一个"端口不可达"的类型 ICMP 消息，回包量一大，攻击出口带宽就堵死了。这招笨，但有效，尤其对带宽有限的小站点。

DNS 放大攻击就聪明得多。攻击者伪造目标 IP，向开放的 DNS 服务器发一个几十字节的查询请求，DNS 服务器会把几百甚至几千字节的响应发给受害者。放大倍数轻松做到 50 倍以上。2016 年 Mirai 僵尸网络打垮 KrebsOnSecurity 时，峰值 620 Gbps，靠的就是大量 IoT 设备配合 DNS 和 NTP 放大。NTP 的 monlist 命令更夸张，一个请求能换来 200 倍以上的响应。这些协议设计之初根本没考虑会被拿来当武器。

协议型：钻协议的空子

SYN Flood 是经典中的经典。TCP 三次握手，客户端发 SYN，服务器回 SYN-ACK 并分配资源等待最终 ACK。攻击者发大量伪造源 IP 的 SYN 包，服务器傻等 ACK，半连接队列被塞满，正常用户连不上。现在很多系统用 SYN Cookie 缓解，但攻击者又转向了 ACK Flood 和 RST Flood，直接消耗服务器处理能力。

还有一类叫 Slowloris，走的是"慢"路线。它跟服务器建立大量连接，然后每隔一会儿发一个不完整的 HTTP 头，保持连接不关。Apache 这类为每个连接分配线程的服务器，线程池很快被占满。一台普通笔记本就能让一个没做防护的网站瘫痪。这种攻击流量极小，传统流量清洗设备根本看不出来。

应用层：模仿正常用户

HTTP Flood 最难防。攻击者控制大量代理，向目标发看起来完全正常的 HTTP 请求——搜索、登录、加购物车。每个请求都合法，但量一大，数据库和 CPU 先扛不住。2019 年 GitHub 遭遇的 1.35 Tbps 攻击里，混合了 memcached 放大和 HTTP 层攻击，防护系统不得不同时处理两种节奏。

CC 攻击（Challenge Collapsar）专门打动态页面。它请求那些需要查数据库、做复杂计算的 URL，比如搜索接口。一个请求消耗服务器几百毫秒 CPU，几千并发就能让后端崩掉。我见过一个电商站点，大促前被 CC 打瘫，日志里全是正常的商品搜索请求，只是频率高了两个数量级。

混合型：没有单一解药

真实攻击很少只用一种。2020 年 AWS 缓解的那次 2.3 Tbps 攻击，混杂了 CLDAP 反射、UDP 洪水，还夹着 SYN Flood。防护方得同时做流量清洗、协议栈加固和应用层限速。更麻烦的是，攻击者开始利用云服务商的合法 API 做反射，比如用大量云函数并发请求目标，流量来源全是知名 IP，封也不是，不封也不是。

DDoS 的类型在演化，从拼带宽到拼协议漏洞，再到拼业务逻辑。防御没有银弹，只能分层：边缘清洗、协议优化、应用层行为分析，再加一点对业务流量的直觉判断。那个游戏公司最后扛住了 3.98 Tbps，靠的不是单一设备，是 Anycast 分散流量加上自动化的实时规则下发。攻击者永远在找下一个放大倍数更高的协议，防御方只能跑得比他们快一点。