拿Kali Linux去发动DDoS，这件事本身就挺拧巴的。Kali是个渗透测试发行版，预装了几百个工具，但真正能直接拿来打流量的没几个。网上那些教程动不动就教你用hping3或者GoldenEye，好像敲两行命令就能把人家网站打瘫——真按那个做，大概率是你自己先断网。

我去年在实验室做过一组测试。用Kali里的hping3对一台内网Apache服务器发SYN Flood，命令是hping3 -S --flood -V -p 80 192.168.1.100。跑起来之后，目标机的CPU确实飙了，但攻击机自己的网络也基本废了。为什么？因为hping3发的是原始包，内核网络栈处理不过来，发送速率卡在十几万pps就上不去了。对面要是开了SYN Cookie，这点流量跟挠痒痒差不多。

真正让人头疼的是反射放大。Kali里有个工具叫msfconsole，配合scanner/portscan/ack模块能扫出开放DNS递归查询的服务器。然后拿这些服务器当跳板，伪造受害者IP去查ANY记录。一个60字节的查询能换回3000多字节的响应，放大50倍。2018年GitHub被打到1.35Tbps那次，就是Memcached反射，放大倍数能到五万倍。Kali里没有现成的Memcached攻击脚本，得自己写Python调socket库。

但问题来了：你从家里100M宽带发反射攻击，上行撑死20Mbps。要打出1Gbps的流量，需要至少50个反射服务器同时响应。找这些服务器、验证它们是否开放递归、写脚本批量发伪造包——这套流程下来，还没等打出去，运营商先把你宽带停了。国内ISP对UDP反射流量特别敏感，发送超过500Mbps持续10秒，直接封端口。

有个做安全运维的朋友跟我聊过，他们机房抓到过用Kali发DDoS的。那小子在阿里云上开了台按量付费的ECS，装Kali，用slowloris打一个论坛。slowloris不发大流量，它只保持大量半开HTTP连接，每个连接每隔几秒发一个header。一台机器就能耗光Apache的MaxClients。这种攻击隐蔽性强，流量看起来跟正常访问没区别。但阿里云的风控系统检测到异常连接数，15分钟就把实例关了。那小子白付了2块钱。

Kali里真正适合做压力测试的工具是tcpreplay和iperf3。前者重放pcap包，后者测带宽。但这两个都不是攻击工具，是正经的测试工具。拿它们去打别人的服务，属于用菜刀砍人——工具没错，用法错了。

法律这块没什么好绕的。刑法285条、286条写得清清楚楚，破坏计算机信息系统罪，后果严重的处五年以下有期徒刑。2017年有个案子，一个高中生用Kali里的LOIC打了当地网吧，导致断网两小时，最后判了缓刑。他以为只是“测试一下”，但网吧老板的营业额损失和用户投诉直接把他送进去了。

真要学DDoS防御，不如在Kali里搭个DVWA靶场，用ab或者wrk做本地压测。看nginx的limit_req模块怎么拦突发流量，看iptables的hashlimit怎么限速。这些比拿hping3乱打有意义得多。Kali的定位是让你理解攻击原理，不是让你真去攻击。工具就在那里，怎么用，看你自己。