内容摘要：2016年10月21日，美国东海岸的互联网几乎停摆。Twitter、Netflix、Spotify、GitHub——这些平时你随手就打开的网站，那天集体打不开。原因不是黑客攻破了哪台服务器，而是一台叫

2016年10月21日，何攻美国东海岸的击网互联网几乎停摆。Twitter、站使Netflix、网站Spotify、瘫痪GitHub——这些平时你随手就打开的何攻网站，那天集体打不开。击网原因不是站使黑客攻破了哪台服务器，而是网站一台叫做Mirai的僵尸网络，操控着数十万台被感染的瘫痪摄像头和DVR设备，向DNS服务商Dyn发起了每秒1.2Tbps的何攻流量冲击。这就是击网DDoS，分布式拒绝服务攻击。站使它不偷数据，网站不篡改页面，瘫痪只做一件事：让你的网站彻底没法访问。

攻击网站使其瘫痪，最直接的路子就是耗尽它的资源。服务器的处理能力、带宽、连接数，都是有限的。你一个人访问，占用一个连接；一万个人同时访问，服务器就得排队；一百万个请求同时砸过来，它直接趴下。DDoS就是把这个逻辑放大到极端——用海量垃圾流量堵死入口，正常用户连门都挤不进去。

流量型攻击是最粗暴的一种。攻击者控制大量分布在全球的“肉鸡”（被恶意软件感染的设备），同时向目标发送巨量数据包。SYN Flood是经典手法：TCP三次握手的第一步是客户端发SYN包，服务器回SYN-ACK并等待确认。攻击者只发SYN，从不确认。服务器为每个半开连接分配资源，连接表很快塞满，新用户再也连不上。这种攻击不需要多大带宽，但极其高效。

UDP Flood更简单。UDP是无连接协议，服务器收到UDP包就得处理，回一个ICMP不可达消息。攻击者用大量UDP包轰过去，带宽瞬间被占满。DNS放大攻击更阴——攻击者伪造受害者IP，向开放的DNS服务器发查询请求，DNS服务器把放大几十倍的响应全砸到受害者头上。一个小的请求，换来巨量的回击。

应用层攻击则是另一种打法。它不拼流量，拼的是“像正常用户一样”消耗服务器资源。HTTP Flood模拟大量用户频繁请求动态页面，比如搜索、登录、提交表单。每个请求都要查数据库、跑逻辑、渲染页面，CPU和内存很快见底。慢速攻击更刁钻：Slowloris用极慢的速度发送HTTP请求头，一个连接拖几个小时，服务器为维持连接耗尽线程池。你带宽再大也没用，因为攻击者根本没占多少带宽。

攻击者手里还有反射和放大这两张牌。反射是把请求发给第三方，让第三方把响应发给受害者。放大是让响应体积远大于请求。Memcached反射攻击在2018年创下1.3Tbps的记录——攻击者向暴露在公网的Memcached服务器发小请求，服务器吐出巨大响应，全砸向目标。NTP、DNS、SSDP，这些协议都曾被用作放大器。

网站瘫痪不一定是被“攻破”，很多时候是被“压垮”。防御手段也有，比如流量清洗、CDN分流、速率限制、IP黑名单。但攻击者永远在找新的反射源、新的协议漏洞、新的僵尸设备。Mirai的源码公开后，变种层出不穷，物联网设备的安全问题成了DDoS的燃料库。一个默认密码为admin的摄像头，就是一颗随时可被征召的子弹。

说实话，真正能扛住大规模DDoS的，要么是财大气粗的云厂商，要么是提前买了高防IP的企业。普通站长遇到T级攻击，基本只能关机保平安。攻击成本在降低，防御成本却居高不下。这个不对称，才是DDoS最让人头疼的地方。