网页DDoS攻击平台

打开一个叫“Stresser”的网站，输入目标网址，攻击选个套餐，平台付款。网页五分钟后，攻击那个网站就挂了。平台这不是网页电影情节。去年我蹲过几个这样的攻击平台，界面简陋得像2005年的平台论坛，但后台的网页流量曲线陡得吓人。一个做外贸的攻击朋友，站被打了三天，平台订单全黄了。网页他后来跟我说，攻击攻击者发来邮件，平台索要0.5个比特币，语气客气得像在谈生意。

这类平台，行话叫“booter”或者“stresser”。表面上是给运维做压力测试的，实际上谁都能用。你不需要懂TCP握手，不需要会写脚本。注册、充值、填IP。完事。价格低得离谱——10块钱能买300秒的UDP洪水，50块能上混合攻击。有些平台甚至提供“试打”，先打你60秒看看效果。

我试过一个叫Quantum Stress的（现在已经跑路）。后台面板极简：目标IP、端口、攻击方式（UDP、TCP SYN、HTTP Flood）、持续时间。选完点“Launch”，页面下方会滚出一行行日志：“Packets sent: 2,304,112”。盯着那数字跳，有种诡异的满足感。当然，我没真打别人的站。拿自己的测试机试的。三秒后，SSH断了。

“我们只是提供工具，怎么用是用户的事。”——某平台客服的原话。我截图了。后来那个站被Cloudflare告了，赔了多少钱不知道，反正域名没了。

技术上讲，这些平台干的事不复杂。它们把流量分散到几十台“节点”上——大多是被人入侵的物联网设备，摄像头、路由器、DVR。一个节点贡献几Mbps，一千个节点就是几个Gbps。够打趴下大部分没上高防的中小网站。有些平台更狠，直接卖“反射攻击”：利用DNS、NTP、Memcached的放大效应。你发一个60字节的请求，对方回你3000字节。放大50倍。成本转嫁给了那些配置不当的公共服务器。

我见过最离谱的一个平台，后台居然用Laravel写的，还开了调试模式。报错页面直接暴露数据库密码。这种水平也敢出来收钱，说明需求有多旺盛。另一个平台更搞笑，付款走的是PayPal，收款账户写着“Donations for server maintenance”。真当PayPal风控是吃素的。

但别以为只有小站在挨打。去年GitHub扛了1.35 Tbps的Memcached反射，Cloudflare录到过2 Tbps的UDP洪水。这些数字背后，是无数个“Stresser”在批量出租攻击能力。你花几百块，就能借到几万台设备的手。公平吗？当然不公平。但这就是现状。

执法这边，FBI去年端了webstresser.org，抓了六个管理员。其中一个才19岁，住英国，用打游戏攒的钱租的服务器。判了多久？社区服务。因为法官说“他年纪小，只是好奇”。好奇能把银行打瘫？我是不信。

防御方呢？Cloudflare、Akamai、AWS Shield。大厂买得起。小站怎么办？要么忍，要么关。有个做独立博客的哥们，被打了两次，直接关站去Medium写文章了。他说：“我写东西是为了表达，不是为了跟黑产拼带宽。”

写这些不是教你怎么打。是想说：这个市场已经成熟到像点外卖一样了。你不需要技术，只需要一点零钱和恶意。而大部分网站，连最基本的速率限制都没配。下次你看到某个站突然502，可能不是流量暴涨，是有人在后台点了“Launch”。

至于那些平台本身？它们活得挺好。换域名、换支付、换节点。像蟑螂一样。你踩死一只，暗处还有一百只。我写这篇文章的时候，又有一个新平台上线了，首页写着：“First attack free. No logs.” 信不信由你。