拒绝服务攻击是黑客利用安全漏洞

2016年10月21日，拒绝美国东海岸的服务互联网几乎瘫痪。Twitter、攻击Netflix、黑客Spotify、利用漏洞GitHub——这些你每天都要刷一遍的安全网站，集体打不开。拒绝不是服务服务器炸了，也不是攻击光缆断了。是黑客一家叫Dyn的DNS服务商被打了。攻击者操控了数十万台被Mirai恶意软件感染的利用漏洞物联网设备——摄像头、路由器、安全打印机——向Dyn的拒绝服务器发送了每秒数千万次的查询请求。服务器扛不住，服务倒下了。攻击半个美国的互联网跟着陪葬。

这就是拒绝服务攻击。它的逻辑粗暴得令人发指：我不偷你的数据，我不改你的代码，我甚至不需要你的密码。我只要让所有正常用户都进不来，你就输了。DDoS——分布式拒绝服务——是这种攻击的加强版。一个人打不过你，那就叫上一百万个兄弟一起打。这些“兄弟”就是被感染的设备，它们的主人根本不知道自己的摄像头正在替黑客卖命。

很多人把DDoS和“利用安全漏洞”混为一谈。准确地说，DDoS本身不是利用漏洞，它是利用规则。TCP协议的三次握手、DNS的递归查询、HTTP的请求响应——这些都是互联网正常运转的基础机制。攻击者没有破坏它们，只是把它们用到了极限。就像你不必撬开银行的金库门，只要把一万个人塞进银行大厅，真正的客户就进不来了。门没坏，但业务停了。

不过，攻击者确实会利用漏洞来放大攻击效果。DNS反射放大就是典型。攻击者伪造受害者的IP地址，向大量开放的DNS服务器发送查询请求。服务器老老实实把响应发给了受害者。一个几十字节的查询，能换来几千字节的响应。放大倍数动辄50倍、100倍。Memcached放大攻击更夸张——2018年GitHub遭遇的那次，峰值流量达到1.35 Tbps，放大倍数超过五万倍。这靠的就是Memcached服务器默认配置里的漏洞：UDP端口对外开放，没有认证，响应包可以大到离谱。

我观察到一个现象：很多公司在被DDoS打趴之前，从来不觉得自己需要防护。他们觉得“我又不是银行，谁打我？”但现在的攻击成本低得可怕。网上有现成的DDoS-for-hire平台，几十美元就能买一次持续几小时的攻击。竞争对手、心怀不满的前员工、甚至无聊的脚本小子，都可能成为发起者。2019年，一个英国少年因为被游戏里的对手嘲讽，花了几英镑买了一次DDoS，直接把对方的网络打瘫了三天。这种事每天都在发生。

更麻烦的是，拒绝服务攻击正在从网络层向应用层蔓延。传统的DDoS打的是带宽，你堆足够的清洗设备就能扛住。但应用层攻击——比如慢速HTTP攻击——用的流量很小，却能让你的Web服务器连接池耗尽。它模拟的是正常用户行为，只是慢得离谱、赖着不走。你很难区分它和真实用户。这种攻击不需要僵尸网络，一台笔记本就能发起。

防守这件事，没有银弹。流量清洗、CDN分流、速率限制、行为分析——每一样都有用，但每一样都能被绕过。真正有效的策略是分层：边缘节点扛住大流量，应用层识别异常模式，数据库层做好降级准备。关键是，你得提前演练。很多公司买了防护服务，但从来没做过压力测试。真被打的时候，连切换流量的操作都手忙脚乱。

回到Dyn那次攻击。事后调查发现，Mirai的源代码早在攻击前一个月就被公开了。也就是说，任何一个会写几行Python的人，都能造出自己的僵尸网络。那些被感染的摄像头，出厂默认密码是admin/admin。用户从来没改过。厂商也从来没强制过。一个漏洞，乘以一百万台设备，就是一场灾难。

拒绝服务攻击不会消失。它太便宜，太有效，太难追踪。只要互联网还依赖信任和开放，它就永远有生存空间。你能做的，是别让自己成为那一百万台设备里的一个。