半夜两点，教程我盯着屏幕上的教程流量监控图，一条近乎笔直的教程绿线从图表边缘冲出去，像心电图上突然发作的教程室颤。那是教程我第一次真正见识DDoS的威力——一个刚上线的游戏服务器，被几百个“僵尸”同时敲门，教程三分钟之内，教程CPU占用率从5%飙到100%，教程日志文件每秒刷出上千条连接请求。教程运维群里有人发了句“扛不住了”，教程然后整个服务就瘫了。教程

DDoS全称是教程分布式拒绝服务攻击。说白了，教程就是教程一群机器同时向目标服务器发送请求，把带宽占满，教程把连接池耗尽，让正常用户挤不进去。它不像入侵那样需要破解密码，也不像植入木马那样需要漏洞利用——它纯粹靠“人多势众”把你挤死。这招最狠的地方在于，攻击者自己不用动手，只要控制一批“肉鸡”（被植入木马的电脑或物联网设备），就能指哪打哪。

我见过最蠢的攻击，是有人拿自家电脑开个脚本去刷一个论坛，结果自己的IP先被封了。也见过最精密的，攻击者把流量伪装成正常用户请求，每个IP只发几个包，分布在世界各地，让防护系统根本分不清真假。这两种极端之间的差距，就是技术含量的差距。

要理解DDoS，你得先知道网络请求是怎么走的。你访问一个网站，你的电脑会先向DNS服务器问路，找到目标IP，然后发一个“握手”请求。服务器接到请求后，会分配一小块内存来维持这个连接。如果连接建立后不发送数据也不断开，这块内存就被白白占着。当这种半开连接的数量达到服务器能承受的上限，它就再也无法响应新请求了。这就是SYN Flood攻击的基本原理——攻击者发送大量伪造IP的握手请求，让服务器等一个永远不会来的确认。

更粗暴的还有UDP Flood。UDP协议不像TCP那样需要握手，你只管往目标IP的端口上扔数据包就行。服务器收到后要检查端口是否有程序监听，没有就回一个“端口不可达”的ICMP包。攻击者伪造源IP，让服务器把回复发给一个不存在的地址，但检查过程本身已经消耗了CPU资源。量大管饱，服务器照样瘫。

还有HTTP Flood，专门针对应用层。攻击者模拟真实浏览器行为，请求一个耗时的查询接口，比如搜索、导出报表。服务器每处理一个这样的请求都要跑数据库查询、生成页面，比静态文件请求费劲得多。几十个并发请求就能拖垮一台配置不错的服务器。

我有个朋友做过一次实验——当然是在自己的测试环境里。他用一个开源工具，控制了两百台云主机，对一个自建的Web服务器发起了混合型攻击。先是SYN Flood把连接池打满，然后HTTP Flood持续消耗CPU。结果不到两分钟，服务器的响应时间从50毫秒涨到了30秒，再往后直接超时。他说最吓人的不是数据量，而是日志里那些请求看起来都特别正常——有User-Agent，有Referer，甚至还有Cookie。你根本不知道该封谁。

防护手段当然有。最简单的就是加大带宽、买高防IP，把流量引到清洗中心过滤。高级点的用行为分析，识别出哪些请求模式不像真人。但道高一尺魔高一丈，攻击者会不断调整策略模拟真人行为。这场猫鼠游戏永远没有终点。

写这些不是教你去攻击谁。DDoS是违法的，抓到就是刑事案。我见过一个二十出头的年轻人，因为帮人“刷流量”赚了几千块，被判了两年。他根本不知道自己的脚本背后是个多大的僵尸网络。技术本身没有善恶，但用技术的人有。了解攻击原理，是为了让你在部署服务时能想到——如果明天有人这么打我，我扛得住吗？