2023年冬天，服务我蹲在一个做游戏私服的器攻朋友工作室里，看他盯着监控大屏骂人。击器屏幕上一条流量曲线突然从200Mbps窜到8Gbps，服务持续了不到四分钟，器攻服务器直接失联。击器他租的服务那台高防机器，一个月八千块，器攻扛不住一轮最简单的击器UDP反射。攻击者甚至没打算敲诈，服务纯粹是器攻同行捣乱——这种事在私服圈里太常见了。

DDoS攻击器不是击器啥高深玩意儿。网上搜一圈，服务几百块就能买到带界面的器攻“压力测试工具”，附赠几个反射节点列表。击器原理说白了就三层：控制端、攻击节点、目标。控制端发指令，节点往目标灌垃圾流量，把带宽或连接数占满，正常用户挤不进去。反射放大更省事——攻击者伪造目标IP，向DNS或NTP服务器发小请求，服务器回大响应，流量全砸到目标头上。一个Minecraft服务器，被几十个开放DNS解析器反射出来的流量打瘫，成本可能不到十块钱。

我见过最离谱的案例是个做在线考试系统的小公司。攻击者用HTTP慢连接，每秒钟只发几个请求，但每个连接都挂着不释放。服务器连接池被占满，正常考生刷新页面就是502。运维查日志，发现源头是越南和巴西的几百个IP，全是家用路由器被入侵后当成了肉鸡。这种攻击不需要大流量，几十Mbps就能让一个没做连接超时优化的Nginx趴窝。

攻击器的门槛低到什么程度？有个高中生用Python写了个脚本，调用公开的Shodan API搜出开放Memcached服务的IP，然后批量发伪造包。他在Telegram群里炫耀，说打掉了一个直播平台三小时，只花了不到两度电。平台那边呢？紧急切流量到高防，损失了十几万打赏流水。技术不对称到这种地步，防守方永远在追着补窟窿。

防护手段其实也就那几样。流量清洗中心把攻击流量牵引过去，过滤掉异常包再回注。CDN分散节点吸收攻击，但遇到针对源站IP的直接攻击就傻眼。云厂商的弹性带宽能扛住突发，可账单也跟着弹性——有个做电商的客户，被打了半小时，带宽费用多出两万三。最实在的还是隐藏源站IP，用CDN回源加防火墙白名单，让攻击者找不到真实地址。不过很多小团队连这步都懒得做，觉得“没人会打我”。

法律这块挺尴尬。刑法285、286条能管，但跨境追踪难，肉鸡所有者往往也是受害者。去年江苏判了一个DDoS攻击案，主犯买了七个攻击平台会员，打了二十多家游戏公司，最后按破坏计算机信息系统罪判了三年。可更多小规模攻击根本立不了案，损失几千块，警察连立案标准都够不上。攻击者算准了这点，专挑中小目标下手。

说回那个私服朋友。他后来把服务器迁到一家带Anycast的小机房，月租贵了三千，但攻击流量被分散到十几个节点，单点压力小了很多。他还在防火墙里写了条规则：单个IP每秒新建连接超过50就拉黑十分钟。粗暴，但管用。攻击者试了两次，发现打不动，转头去找下一个软柿子了。DDoS攻防就是这样，没有一劳永逸，只有不断加高门槛，让攻击成本高于收益。那些卖攻击器的人不会告诉你这些，他们只负责收钱，不负责后果。