凌晨三点，攻击过非手机屏幕突然亮起来。中通制不是法入消息提醒，是侵并服务器监控的报警短信——流量曲线几乎垂直向上冲，带宽被吃满。被控我盯着那个数字从200Mbps跳到1.2Gbps，攻击过非只用了不到四十秒。中通制这不是法入正常的访问高峰，是侵并DDoS。

很多人以为DDoS就是被控一堆“肉鸡”往目标IP狂发数据包，堵死入口就完事。攻击过非实际情况比这复杂得多。中通制攻击者早就不满足于单纯堵门，法入他们更想拿到门里面的侵并东西。流量只是被控掩护，真正的动作发生在你手忙脚乱调防火墙策略的时候。

上个月遇到一个案例。一家做跨境电商的小公司，被打了三次。第一次是典型的UDP洪水，清洗流量后恢复正常。第二次变成SYN Flood，他们加了SYN Cookie，也扛住了。第三次攻击流量很小，不到5Gbps，但服务器却彻底失联。运维人员以为是攻击升级，折腾了六个小时才发现——攻击者根本没打算压垮带宽。他们利用前两次攻击制造的时间窗口，通过一个未修补的Struts2漏洞上传了WebShell，拿到了服务器权限。然后，他们用这台服务器做跳板，横向扫内网，最后控制了数据库主节点。

这个过程叫“入侵并控制”，在DDoS攻击的语境下，它往往不是独立事件。攻击者会算一笔账：直接入侵可能触发WAF告警，但如果在DDoS的噪音里做入侵，防守方的注意力全在流量清洗设备上，日志告警被淹没，应急响应团队忙着联系运营商扩容，根本没人去看应用层日志。我见过最狠的一次，攻击者用DDoS打掉主站，然后利用备用站点切换时的配置同步漏洞，把恶意代码推送到所有边缘节点。等DDoS停了，他们已经在内部网络里潜伏了三天。

被控制的机器能做什么？挖矿是最低级的。更常见的是被编入僵尸网络，等待下一次攻击指令。有些攻击者会专门挑有数据库权限的服务器下手，导出用户数据，然后在暗网打包出售。还有一类，纯粹是为了“占坑”——把目标服务器变成自己的代理节点，用来隐藏后续攻击的真实来源。你花大价钱买的防护设备，最后挡的是自己服务器发出的攻击流量。

怎么判断DDoS是不是在打掩护？看两个地方。一个是应用层日志，如果攻击期间有异常的POST请求、不常见的User-Agent、或者某个接口的响应时间突然变长，那大概率有问题。另一个是出站流量，被控制的机器通常会向固定C2地址回连，或者对外发起扫描。我习惯在DDoS清洗策略里加一条：任何内网机器在攻击期间发起的外连请求，一律先阻断再人工确认。这招救过好几次。

说回那次凌晨三点的报警。我登上去看的时候，攻击流量还在涨，但有个细节不对劲——有一台Web服务器的CPU占用率在下降。攻击流量这么大，CPU应该飙升才对。我直接SSH上去，发现有个进程在跑base64编码的脚本，正在往/tmp目录写东西。没犹豫，直接断网、取证、重装。后来查出来，攻击者用的是当时刚爆出来的Log4j2漏洞，想通过DDoS分散注意力，趁乱拿权限。他们差一点就成功了。

DDoS本身不可怕，可怕的是你以为它只是DDoS。流量清洗设备能挡住洪水，但挡不住洪水里漂过来的那把钥匙。真正的防线不在带宽，在日志、在权限、在每一个你以为“不可能出问题”的角落。