DDos
分布式拒绝服务攻击（英文：Distributed Denial of Service，简称DDoS），又称分散式阻断服务攻击，是一种通过控制分布在不同位置的多台受感染主机，向特定目标同时发起大量请求，以耗尽目标网络资源或系统资源，从而使其无法对合法用户提供正常服务的网络攻击方式。[1][2]DDoS攻击是在传统拒绝服务攻击（Denial of Service，DoS）基础上发展而来，因其攻击源分布广泛，具有易实施、难防范、难追踪的特点，是互联网上最常见且最具破坏性的网络威胁之一。[1]
定义
分布式拒绝服务攻击是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击，或者一个攻击者控制了位于不同位置的多台机器，并利用这些机器对受害者同时实施攻击。[1]与传统的拒绝服务攻击（DoS）通常由单一主机发起不同，DDoS攻击通过利用大量的受控主机（俗称“肉鸡”或“傀儡机”）形成僵尸网络，向目标发送远超其处理能力的请求，导致目标服务器过载、网络带宽耗尽或系统崩溃。[2][3]这种攻击方式的规模更大，防御难度也更高，因为简单地封锁单一攻击源无法有效缓解攻击。[4]
攻击类型
根据攻击目标的不同层面，DDoS攻击通常可分为以下几类：
流量攻击（Volumetric Attacks）
此类攻击旨在消耗目标网络的全部可用带宽，通过发送大量数据包使网络拥堵，从而阻断合法流量。常见形式包括UDP洪水攻击、ICMP洪水攻击和DNS洪水攻击等。[2]
协议攻击（Protocol Attacks）
又称连接状态攻击，此类攻击利用网络协议设计上的缺陷，通过发送恶意请求消耗服务器或网络设备的连接状态资源。典型的例子是SYN洪水攻击，攻击者发送大量TCP SYN请求但不完成三次握手，使服务器维持大量半开连接直至资源耗尽。[2]
应用层攻击（Application Layer Attacks）
此类攻击针对Web服务器、数据库等应用层的特定功能，通过模拟大量合法请求耗尽应用资源。由于攻击流量与正常流量难以区分，应用层攻击往往更难检测和防御。[2][3]
攻击流程
一次典型的DDoS攻击通常包含以下阶段[1]：
- 入侵与控制：攻击者通过漏洞利用、恶意软件等手段，入侵并控制大量互联网主机（如个人电脑、服务器、物联网设备等），在受害主机中植入攻击程序。
- 构建僵尸网络：被控制的主机组成僵尸网络（Botnet），攻击者可远程统一指挥这些主机。[3]
- 发起攻击：攻击者向僵尸网络下达指令，所有受控主机同时向目标发送大量请求，形成分布式攻击流量，最终导致目标服务不可用。
著名攻击事件
- 2017年9月，谷歌云遭受DDoS攻击，攻击规模高达2.54 Tbps。[1]
- 2020年2月，亚马逊网络服务（AWS）遭受了当时有记录以来规模最大的DDoS攻击。[3]
- 2025年，Cloudflare宣布其自动化防御系统抵御了数百次超大规模DDoS攻击，其中最大的攻击峰值达到5.1 Bpps（每秒十亿数据包）和11.5 Tbps。[1]
影响与后果
DDoS攻击可能对目标机构造成严重的影响，包括但不限于[2]：
- 服务中断：目标网站或在线服务无法访问，导致业务停滞。
- 声誉损害：服务不可用可能导致客户不满和信任流失。
- 经济损失：攻击可能导致直接的营收损失，或攻击者借此进行勒索。
- 安全掩护：DDoS攻击有时被用作烟雾弹，以分散安全团队的注意力，同时掩护其他恶意活动，如数据窃取或网络入侵。[2]
防御措施
防御DDoS攻击需要多层次的策略，常见措施包括：
- 流量清洗：通过专业的DDoS防护服务商（如Cloudflare、Akamai等）对进入的流量进行实时监测和过滤，识别并阻断恶意流量。[5]
- 冗余与扩容：增加网络带宽和服务器资源，提高系统承受攻击流量的能力。
- 入侵检测系统：部署网络入侵检测系统，及时发现异常流量模式并作出响应。