一群小姐姐喊你男票去家里修电脑，算不算DDoS攻击？

正如标题所写，其实并不是在开玩笑，如果你男票白天真的被一群小姐姐拉去修电脑，那晚上8点你男票就要睡觉了，网络中的DDoS攻击亦是如此。

 DDoS攻击基础 

DDoS（Distributed Denial of service，分布式拒绝服务）攻击的主要目的是让指定目标无法提供正常服务，甚至从互联网上消失，是目前最强大、最难防御的攻击之一。

按照发起的方式，DDoS可以简单分为三类：

第一类：以力取胜，海量数据包从互联网的各个角落蜂拥而来，堵塞IDC入口，让各种强大的硬件防御系统、快速高效的应急流程而无用武之地，这种类型的攻击典型代表是ICMP Flood和UDP Flood，现在已不常见；

第二类：以巧取胜，灵动难以察觉，每隔几分钟发一个包甚至只需要一个包，就可以让豪华配置的服务器不再响应。这类攻击主要是利用协议或者软件的漏洞发起，如Slowloris攻击，Hash冲突攻击等，需要特定环境机缘巧合下才能出现；

第三类：上述两种的混合体，轻灵浑厚兼而有之，既利用了协议、系统的缺陷，又具备了海量的流量，如SYN Flood攻击，DNS Query Flood攻击，是当前的主流攻击方式。

下文，我们将给大家介绍派网在发现DDoS攻击的主要方式。

用一个词语来形容的话那就是：直接

SYN Flood 

SYN Flood是互联网上最经典的DDoS攻击方式之一，最早出现于1999年左右，雅虎是当时最著名的受害者。SYN Flood攻击利用了TCP三次握手的缺陷，能够以较小代价使目标服务器无法响应，且难以追查。

标准的TCP三次握手过程如下：

• 客户端发送一个包含SYN标志的TCP报文，SYN即同步（Synchronize），同步报文会指明客户端使用的端口以及TCP连接的初始序号；

• 服务器在收到客户端的SYN报文后，将返回一个SYN ACK（即确认Acknowledgement）的报文，表示客户端的请求被接受，同时TCP初始序号自动加一；

• 客户端也返回一个确认报文ACK给服务器端，同样TCP序列号被加一。

经过这三步，TCP连接就建立完成。TCP协议为了实现可靠传输，在三次握手的过程中设置了一些异常处理机制。第三步中如果服务器没收到客户端的最终ACK确认报文，会一直处于SYN_RECV状态，将客户端IP加入等待列表，并重发第二步的SYN ACK报文。重发一般进行3-5次，大约间隔30秒左右轮询一次等待列表重试所有客户端。另一方面，服务器在自己发出了SYN ACK报文后，会预分配资源为即将建立的TCP连接储存信息做准备，这个资源在等待重试期间一直保留。更为重要的是，服务器资源有限，可以维护的SYN_RECV状态超过极限后就不再接受新的SYN报文，也就是拒绝新的TCP连接建立。

SYN Flood正是利用了上文中TCP协议的设定，达到攻击的目的。攻击者伪装大量的IP地址给服务器发送SYN报文，由于伪造的IP地址几乎不可能存在，也就几乎没有设备会给服务器返回任何应答了。因此，服务器将会维持一个庞大的等待列表，不停的重试发送SYN ACK报文，同时占用着大量的资源无法释放。更关键的是，被攻击服务器的SYN_RECV队列被恶意的数据包占满，不再接受新的SYN请求，合法用户无法完成三次握手建立起TCP连接。也就是说，这个服务器被SYN Flood拒绝服务了。

通过Panalog的FlowMonitor可以清晰看出，SYN源和SYN目标的TOP排名，如果出现异常，一目了然。

DNS Query Flood

作为互联网最基础最核心的服务，DNS自然也是DDoS攻击的重要目标之一。打垮DNS服务能够间接的打垮了一个公司的全部业务，或者打垮一个地区的网络服务。前些时候风头正盛的黑客组织anonymous也曾经宣布要攻击全球互联网的13台根DNS服务器，不过最终没有得手。

UDP攻击是最容易发起海量流量的攻击手段，而且源IP随机伪造难以追查。但是过滤比较容易，因为大多数IP并不提供UDP服务，直接丢弃UDP流量即可。所以现在纯粹的UDP流量攻击比较少见了，取而代之的是UDP协议承载的DNS Query Flood攻击。简单地说，越上层协议上发动的DDoS攻击越难以防御，因为协议越上层，与业务关联越大，防御系统面临的情况越复杂。

DNS Query Flood就是攻击者操纵大量傀儡机器，对目标发起海量的域名查询请求。为了防止基于ACL的过滤，必须提高数据包的随机性。常用的做法是UDP层随机伪造源IP地址，随机伪造源端口等参数。在DNS协议层，随机伪造查询ID以及待解析域名。随机伪造待解析域名除了防止过滤外，还可以降低命中DNS缓存的可能性，尽可能多的消耗DNS服务器的CPU资源。

清晰可见DNS服务的访问量排名和DNS用户数的排名

SSDP反射攻击

只要对DDoS有一定认知的同学，肯定不会对SSDP反射攻击陌生，作为现网最常见的DDoS攻击手法之一，SSDP反射由于可用的反射终端数量庞大，放大系数可观，而备受攻击者青睐。

在攻击思路上跟其他反射攻击一样，攻击者发起SSDP反射的大致过程为： 

通过IP地址欺骗方式，攻击者伪造目标服务器IP，向开放SSDP服务的终端发起请求；

由于协议设计缺陷，SSDP服务无法判断请求是否伪造，并向目标服务器进行响应。就这样数量极其庞大的SSDP响应报文同时发往被攻击服务器；

更可怕的是在特定请求下，一个SSDP请求报文可以触发多个响应报文，而每个响应报文比请求报文体积更大，最终造成攻击流量约为30倍的放大。

除此之外，派网的FlowMonitor上还可以看到关于NTP、MSDS（445端口）

以及TOP域名和ICMP等常见的DDoS攻击协议。

即使你不是一名技术大牛，你依旧可以轻松发现网络异常，好了，今天就到这里，小月月和大家下期再见！！！

派网有那么多新技术，你不进来学几招再走么？

往期回顾