安全防御 --- DDOS攻击（01）

DOS攻击（deny of service）--- 拒绝式服务攻击

例：2016年10月21日，美国提供动态DNS服务的DynDNS遭到DDOS攻击，攻击导致许多使用DynDNS服务的网站遭遇访问问题，此事件中，黑客人就是运用了DNS洪水攻击手段。

DDOS攻击

（1）分类

<1> 流量型攻击：Flood方式攻击

耗尽网络带宽
耗尽服务器资源

流量型攻击是指攻击者通过大量的无用数据占用过多的资源以达到服务器拒绝服务的目的。这类攻击典型特征是通过发出海量数据包，造成设备负载过高，最终导致网络带宽或是设备资源耗尽。通常，被攻击的路由器、服务器和防火墙的处理资源都是有限的，攻击负载之下它们就无法处理正常的合法访问，导致正常服务被拒绝。

<2> 单包攻击

耗尽网络带宽
耗尽服务器资源

[1] 扫描窥探攻击：利用ping扫射（包括ICMP和TCP）来标识网络上存活着的系统，从而准确定位潜在的目标；利用TCP和UDP端口扫描，就能检测出操作系统和监听着的潜在服务。

本质：不停变换端口/地址的扫描

[2] 畸形报文攻击：通过向目标系统发送有缺陷的IP报文，使得目标系统在处理这样的IP报文时发生错误，或者造成系统崩溃，影响目标系统的正常运行。

例：畸形报文攻击有Ping of Death（死亡之ping）、Teardrop（泪滴）等

本质：构造不正常的包，如超过正常基线值、分片阻不起来

[3] 特殊报文攻击：攻击者利用一些合法的报文对网络进行侦察或者数据检测，这些报文都是合法的应用类型，只是正常网络很少用到。

本质：正常的包发动的大量访问行为

（2）发展

[1] 传统的DDoS攻击多利用僵尸主机（Zombies，又称Bot，即肉鸡）组成僵尸网络（Botnet）来发起。"肉鸡"是指中了木马，或者被一些人留了后门的计算机，成为"肉鸡"的计算机可以被黑客远程操控。"肉鸡"的存在多由于用户系统存在各种脆弱性导致，一旦被入侵，黑客便可轻易获得控制权。

[2] DRDoS攻击（Distributed Reflection Denial of Service，分布式反射拒绝服务攻击），其原理是黑客伪造成被攻击者的IP地址，向互联网上大量开放特定服务的服务器发起请求，接收到请求的那些主机根据源IP地址将响应数据包返回给受害者。整个过程中，返回响应的服务器并不知道请求源的恶意动机。

[3] 互联网上存在DNS、NTP、SNMP等协议脆弱性的开放服务漏洞不断被修复，可以用来发起反射攻击的服务器数量数量越来越少。智能家居的激增，让黑客看到了另一个可以不断挖掘的金山。这些智能设备普遍采用UPnP（即插即用）协议作为网络通讯协议，而UPnP设备的发现是通过源端口为1900的SSDP（简单服务发现协议）进行相互感知，黑客利用SSDP协议发动DDoS攻击成为趋势。