网络安全涨知识：基础网络攻防之DDoS攻击

 DDoS攻击，对于大多数人而言非常神秘，它却是一种最常见的网络攻击方式！

一、什么是DDoS攻击

DDoS：Distributed Denial of Service

中文名：分布式拒绝服务

所谓分布式拒绝服务攻击是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器并利用这些机器对受害者同时实施攻击。

由于分布式拒绝服务攻击可以使很多的计算机在同一时间遭受到攻击，使攻击的目标无法正常使用，因此，该攻击一旦出现会导致很多的大型网站都出现无法进行操作的情况。

举个简单的栗子帮助大家理解

一群恶霸试图让对面那家有着竞争关系的商铺（网站/服务器/DNS）无法正常营业，他们会采取什么手段呢？

恶霸们扮作普通客户一直拥挤在对手的商铺，赖着不走，真正的购物者却无法进入；

或者总是和营业员有一搭没一搭的东扯西扯，让工作人员不能正常服务客户；

也可以为商铺的经营者提供虚假信息，商铺的上上下下忙成一团之后却发现都是一场空，最终跑了真正的大客户，损失惨重。

此外，恶霸们完成这些坏事有时凭单干难以完成，需要叫上很多人一起。

所以，当一个网站被DDoS攻击时会造成用户无法访问，这是因为服务器正忙着处理成千上万的其他访问请求。

二、DDOS攻击的分类

基于不同的分类标准，可以对分布式拒绝服务攻击进行不同的分类，通常来说，该类攻击大体上分为七类：

基于自动化程度分类，此分类主要分为手工的DDoS攻击、半自动化的DDoS攻击、自动化的DDoS攻击三种。

基于系统及协议的弱点分类，此分类主要分为洪水攻击、扩大攻击、利用协议的攻击和畸形数据包攻击四种。

基于攻击速率分类，基于速率上可以分为持续速率和可变速率的攻击。

基于影响力进行分类，基于影响力方面可以分为网络服务彻底崩溃和降低网络服务的攻击。

基于入侵目标分类，基于入侵目标可以将DDoS攻击分为带宽攻击和连通性攻击。

基于攻击路线分类，基于攻击路线可以分为直接攻击和反复式攻击。

基于攻击特征分类，从这一角度，可以将DDoS攻击分为攻击行为特征可提取和攻击行为特征不可提取两类。

三、DDOS攻击的表现形式

DDoS攻击的表现形式主要有两种

一种是主要针对网络带宽的流量攻击，利用大量攻击包使网络带宽被阻塞，导致合法网络包无法到达主机的行为。

另一种是针对服务器主机的资源耗尽攻击，通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网络服务。

受到DDoS攻击时，网络或服务器会表现出以下几点：

被攻击主机上有大量等待的TCP连接。

网络中充斥着大量的无用的数据包，源地址为假。

存在高流量无用数据，网络拥塞严重，主机无法正常和外界通讯。

反复高速地发出特定的服务请求，但受害主机无法及时处理所有正常请求。

严重时会造成系统死机。

四、DDoS攻击的原理

DDoS攻击需要攻击者控制在线计算机网络才能进行攻击。连入互联网的计算机（或摄像头等物联网设备）感染了恶意软件，被转变成肉鸡（傀儡机）。一旦肉鸡网络建立，攻击者就可以通过远程控制方法向每个肉鸡发送更新的指令来控制机器。由于每台肉鸡都是合法的互联网设备，因此将攻击流量与正常流量分开可能很困难。

简单来说，它是借助数百、甚至数千台被入侵后安装了攻击进程的主机同时发起的集团行为。

五、DDOS攻击的危害

DDoS被称为最恐怖的网络攻击，目前最大的DDoS攻击事件是美国知名安全研究人员Brian Krebs的安全博客遭遇的DDoS攻击，攻击峰值达到665G。

DDoS攻击的成本低但攻击性和破坏性却很强，因此经常被网络黑客利用。DDoS攻击通常可以造成以下危害：

可以直接导致网站宕机、服务器瘫痪、消耗大量带宽或内存、造成权威受损、品牌蒙羞、财产流失等巨大损失，严重威胁着全球互联网信息安全的发展。

2016年10月，美国主要的DNS服务商Dyn遭受DDos攻击，致使半个美国网络瘫痪。

六、DDOS攻击的防御方法

01、要确保服务器软件没有任何漏洞，防止攻击者入侵。

确保服务器采用最新系统，并打上安全补丁，没有安全漏洞。在服务器上删除未使用的服务，关闭未使用的端口。

02、隐藏服务器的真实IP地址。

譬如服务器前端加CDN中转，或者购买高防的盾机或高防ip，用于隐藏服务器真实IP，域名解析使用CDN的IP，所有解析的子域名都使用CDN的IP地址。此外，服务器上部署的其他域名也不能使用真实IP解析，全部都使用CDN来解析。

03、防止服务器对外传送信息泄漏IP地址，

如服务器不要使用发送邮件功能，因为邮件头会泄漏服务器的IP地址，可以通过第三方代理发送邮件。

04、优化路由及网络结构。

对路由器进行合理设置，降低攻击的可能性。优化对外提供服务的主机，对所有在网上提供公开服务的主机都加以限制。

05、防御DDoS攻击还要从源头做起。

做好个人计算机及物联网设备的防护工作，不随意下载来路不明的应用，定期更新安全补丁，并关闭不不必要的端口，防止设备被恶意连接，变成肉鸡。

来源：浦东网警

【免责声明】：部分内容、图片来源于互联网，如有侵权请联系删除，QQ：228866015