DDOS攻击详解——常见网站攻击手段原理与防御

DDOS攻击为分布式拒绝服务攻击。

DDOS攻击分类：

网络层攻击：

SYN-flood：利用TCP建立连接时3次握手的“漏洞”，发送源地址虚假的提交，永远无法完成三次握手。占满系统的协议栈队列资源得不到释放，进而拒绝服务。

防御方式：调整内核参数方法，减少等待及重试时间，加速资源释放

    syn proxy

    syn cookies

    手包丢弃

Ack-flood：虚假Ack包，远不如syn-flood。

UDP-flood：使用虚假源地址UDP包，以DNS协议为主。

ICMP-flood：Ping洪水攻击。

应用层攻击：

CC：通过控制傀儡主机或者寻找匿名代理服务器向目标发起大量真实的HTTP请求，最终消耗掉大量的并发资源，拖慢整个网站甚至彻底拒绝服务。

DNS-flood：发送海量的DNS查询报文导致网络带宽耗尽而无法传送正常DNS查询请求。

防御方法：将UPD查询强制转为TCP，要求溯源，如果是假地址就不再回应。

慢速连接攻击：针对HTTP协议，先建立起HTTP连接，设置一个较大的Conetnt-Length，每次只发送很少的字节，让服务器一直以为HTTP头部没有传输完成，这样连接一多就很快会出现连接耗尽。

DDOS攻击方式分类:

混合型：大量的攻击中，通常并不是以上述一种数据类型来攻击，往往是TCP和UDP，网络层和应用层攻击同时进行。

反射型：“质询—应答”模式。将源地址伪造成攻击目的地址，则应答的“回包”被发送到目标，如果回包体积比较大或协议支持递归效果， 攻击的效果会被放大，性价比高。

说明：将源地址设为假的无法回应，即为SYN-flood攻击，制造流量和攻击目标收到的流量为 1:1，回报率低。

流量放大：SSDP协议，递归效果产生的放大倍数非常大。

脉冲型：即“打打停停”，攻击持续时间非常短。（目的： 避免触发自动化防御机制）

链路冷洪： 不直接攻击目标而是以阻塞目标网络的上一级链路为目的。（原因：避免防御系统对攻击流量分摊）

DDOS防御结构：

ISP近源清洗：电信运营商提供的近源清洗和流量压制，此做法为弃卒保帅，避免全站服务对所有用户彻底无法访问。

意义：对超过自身带宽储备和自身DDOS防御能力之外超大流量时补充性缓解措施。

云清洗/CDN硬抗：场景-如抢购访问量非常大时，平台上在CDN层面用验证码过滤了绝大多数请求，最后到达数据库的请求量相比非常小。

云清洗厂商策略：

设置好网站的CNAME，将域名指向云清洗厂商的DNS服务器

——>云清洗厂商的DNS将穿透CDN的回源的请求指向源站

——>(检测到受攻击)检测方法：客户网站部署反向代理，托管所有的并发连接。

——>域名指向自己的清洗集群，然后再将清洗后的流量回源。

总结：更改CNAME指向，等待DNS递归剩下.

DC级近目的清洗：主要用到华为的ADS设备。若探针检测到受到DDOS攻击则将Internet请求都指向DDOS清洗中心——>清洗完正常流量回到IDC业务机。

OS/APP层：DDOS最后一道防线。主要对应用层协议做补充防护。如禁用monlist，不提供UDP服务。

Web服务对相同IP/IP+cookie/HTTP头部/request URL进行检测计数->触发->阻断

防御应用：

对Web业务：以上四层全部适用

对游戏：CDN在此场景无效，DNS引流+ADS来清洗。还有在客户端和服务端通信协议做处理（如封包加标签，依赖信息对称）

服务策略：分级策略：避免某些服务导致全站不可用

    Failover机制：冗余技术

    有损服务：避免单点瓶颈，关键时刻能进行割肉。

不过总的来说DDOS攻击比较恐怖，一般防御很难抵抗主要取决于哪一方拥有的带宽资源大了。