打开搜索引擎敲下“DDoS在线测试”几个字，线测排在前面的试网结果能列满两页屏幕。这些网站声称只需输入目标IP和端口，线测点一下按钮，试网就能模拟流量攻击，线测顺便告诉你目标扛不扛得住。试网听起来像给自家服务器做体检，线测实际上多数人第一次用，试网是线测冲着“打别人”去的。

我最早接触这类平台是试网2016年。当时一个做游戏私服的线测朋友被竞争对手打穿了，服务器连续三天掉线。试网他花了几百块买了一个“压力测试”套餐，线测在某个在线平台上输入对方IP，试网选了个“UDP洪水”模式，线测持续时间填了300秒。页面显示“攻击已启动”，进度条走完，他刷新对手的网站——果然打不开了。他截图发给我，语气里带着报复的快感。那个平台叫“Stresser”，现在早就不在了。

这类网站的技术底子并不复杂。背后是一张被控制的“肉鸡”网络，也就是被植入木马或后门的家用路由器、摄像头、廉价VPS。你提交的目标IP被分发到这些节点上，每个节点向目标发送大量垃圾数据包，塞满带宽或耗尽连接数。平台按套餐收费，便宜的几美元一小时，贵的能到几百美元一天。有些还提供“API接口”，方便自动化调用。

真正让我觉得不对劲的，是这些网站的用户协议。几乎每一家都在注册页面底部用小字写着：“仅限对您拥有或已获得授权测试的系统使用。”但整个流程没有任何验证机制。你填谁的IP都行，没人问你有没有授权。一个做外贸的朋友曾用某平台测试自家官网，结果因为流量太大，把同机房另一台客户的服务器打挂了。机房直接封了他整台机柜，合同终止，数据差点拿不回来。

更麻烦的是法律边界。国内《刑法》第285条、286条对非法侵入和破坏计算机信息系统有明确规定。2019年浙江有个案子，一个人用在线DDoS平台攻击了竞争对手的网店，导致对方损失十几万，最后判了三年。他用的那个平台服务器在境外，但警方顺着支付记录和登录IP还是找到了他。平台本身抓不到，用平台的人跑不掉。

这些在线测试网站还有个隐蔽的坑：它们自己就是攻击目标。2021年一个叫“DDoS-for-Hire”的知名平台被FBI查封，后台数据库泄露，里面存着所有用户的注册邮箱、支付记录和攻击日志。有人拿着这份名单去敲诈曾经的用户，不给钱就把攻击记录发给他们的公司或学校。一个大学生用学校邮箱注册过，结果被勒索了0.5个比特币。

那这些网站到底有没有正当用途？有。安全团队做压力测试时，确实需要模拟真实攻击流量。但正规做法是在隔离环境里用开源工具如LOIC、Hping或者商业压测服务，签合同、定范围、留记录。在线平台那种“填个IP就开打”的模式，本质上是把攻击能力零售化了。方便是真方便，危险也是真危险。

我试过几个还活着的平台，注册流程出奇地简单：邮箱加密码，连手机验证都没有。付款用比特币或USDT，完全匿名。界面上列着十几种攻击类型，从“HTTP Flood”到“Slowloris”，每种都标着价格和推荐时长。有个平台甚至提供“免费试用”，每天送60秒攻击时长。我输入了自家路由器的公网IP，点了开始。五秒后，光猫的指示灯疯狂闪烁，网页打不开了。重启花了十分钟。

说到底，这类网站的存在反映了一个尴尬现实：DDoS攻击的门槛已经低到几乎没有。一个初中生用手机就能发起攻击，而防御成本却高得离谱。云服务商的清洗中心按流量计费，小网站根本扛不住。在线测试平台不过是把这个灰色地带做成了生意，顺便把风险转嫁给了用户。你点下那个按钮的时候，可能已经站在了被告席的边缘。