如何预防DDOS攻击_volumetric ddos-CSDN博客

本文链接：https://blog.csdn.net/ThinPikachu/article/details/145652770

一、常见的DDOS攻击的种类

1. 流量型攻击（Volumetric Attacks）

原理：通过大量流量淹没目标网络带宽，使其无法处理合法请求。

常见类型：

UDP Flood：攻击者发送大量UDP包到目标服务器，占用带宽。例如攻击者伪造大量UDP包发送到DNS服务器，导致其无法响应正常查询。
ICMP Flood：利用ICMP协议（如Ping）发送大量请求，耗尽网络资源。例如攻击者使用工具（如hping3）向目标发送大量ICMP请求，导致网络拥堵。

2. 协议型攻击（Protocol Attacks）

原理：利用网络协议漏洞，耗尽服务器资源（如连接表、CPU等）。

常见类型：

SYN Flood：攻击者发送大量伪造的SYN请求，但不完成三次握手，耗尽服务器的连接队列。例如攻击者伪造大量虚假IP发送SYN包，导致服务器无法处理合法连接。
ACK Flood：发送大量ACK包，迫使服务器处理无效请求。例如攻击者利用僵尸网络发送大量ACK包，耗尽服务器资源。

为什么攻击者利用僵尸网络发送大量ACK包，就会耗尽服务器资源？

在TCP协议中，ACK（Acknowledgment）包用于确认接收到数据。服务器在收到ACK包后，需要检查其有效性（如序列号是否正确），并更新连接状态。即使ACK包是无效的（例如，没有对应的连接），服务器仍然需要花费CPU和内存资源来处理这些包。

3. 应用层攻击（Application Layer Attacks）

原理：针对应用层协议（如HTTP、HTTPS），发送大量看似合法的请求，耗尽服务器资源。

常见类型：

HTTP Flood：攻击者发送大量HTTP请求（如GET或POST），耗尽Web服务器资源。例如攻击者模拟正常用户行为，向网站发送大量请求，导致服务器崩溃。
Slowloris：攻击者发送部分HTTP请求并保持连接，耗尽服务器的连接池。例如攻击者使用Slowloris工具，缓慢发送HTTP头，使服务器无法处理其他请求。

为什么攻击者发送部分HTTP请求并保持连接，就可以耗尽服务器的连接池？

Web服务器（如Apache、Nginx等）通常会维护一个连接池，用于处理客户端的并发连接。

每个连接都会占用一定的内存和CPU资源，而服务器的连接池大小是有限的。一旦连接池被占满，服务器就无法接受新的连接。

攻击者发送不完整的HTTP请求（例如只发送HTTP头，但不发送完整的请求体），并通过定期发送少量数据（如一个字节）来保持连接处于打开状态，避免超时关闭。同时利用僵尸网络或大量代理，同时发起大量这样的部分请求，占满服务器的连接池。

二、如何预防DDOS攻击

1. 流量型攻击（Volumetric Attacks）

防御措施：

流量清洗：使用流量清洗服务（如Cloudflare、Akamai）过滤恶意流量，只允许合法流量到达服务器。
CDN（内容分发网络）：通过CDN分散流量，减轻服务器压力（将攻击平摊到cdn边缘节点）。
带宽扩容：增加网络带宽，提高对大规模流量攻击的承受能力。
黑洞路由：与ISP合作，在检测到攻击时将流量导向“黑洞”，避免影响服务器。

什么是“黑洞”？

其核心思想是将攻击流量引导到一个“黑洞”中，使其无法到达目标服务器，从而保护服务器和网络资源。

黑洞是一个虚拟的“无底洞”，所有进入黑洞的流量都会被丢弃，不会到达任何目的地。

在网络中，黑洞通常通过配置路由规则实现，将特定IP地址或网段的流量导向一个不存在的地址或接口。

由于黑洞路由不区分流量的性质，合法用户的请求也会被丢弃，导致服务不可用。

2. 协议型攻击（Protocol Attacks）

防御措施：

SYN Cookie：启用SYN Cookie机制，防止SYN Flood攻击耗尽连接队列。
连接限制：配置防火墙或负载均衡器，限制单个IP的连接数。
协议优化：优化TCP/IP协议栈，缩短连接超时时间，快速释放无效连接。
状态检测防火墙：使用状态检测防火墙过滤无效协议请求。

3. 应用层攻击（Application Layer Attacks）

防御措施：

Web应用防火墙（WAF）：部署WAF（如AWS WAF、Cloudflare WAF）检测并阻止恶意HTTP请求。
速率限制：对单个IP或用户的请求频率进行限制，防止HTTP Flood攻击。
验证码：在检测到异常行为时，要求用户输入验证码，阻止自动化攻击。

三、SYN Cookie的原理

在正常的TCP三次握手中，客户端发送SYN包，服务器回复SYN-ACK包并等待客户端的ACK包。在SYN Flood攻击中，攻击者发送大量伪造的SYN包，但不完成三次握手。服务器会为每个SYN包分配资源（如内存）并等待ACK包，最终耗尽连接队列。

SYN Cookie机制的工作原理

服务器不立即为SYN包分配资源，而是通过加密算法生成一个特殊的SYN-ACK包（称为SYN Cookie），将连接状态信息编码在其中。

具体步骤：

客户端发送SYN包：客户端向服务器发送SYN包，请求建立连接。
服务器生成SYN Cookie：
- 服务器不分配资源，而是使用加密算法（如MD5或SHA）生成一个SYN Cookie。
- SYN Cookie包含以下信息的哈希值：客户端IP、端口、服务器IP、端口、时间戳等。
服务器发送SYN-ACK包：服务器将SYN Cookie作为序列号发送给客户端。
客户端回复ACK包：客户端回复ACK包，其中包含SYN Cookie加1的值。
服务器验证SYN Cookie：
- 服务器解密ACK包中的序列号，验证其有效性。
- 如果验证通过，服务器分配资源并建立连接；否则，丢弃ACK包。