理解DDOS攻击

DDOS原理

1. 原理（分布式拒绝服务）

1. 分布式

对于较强的网站来说，单个攻击者构造的恶意请求是达不到网站（服务器）的处理极限，攻击者就会组织多台设备，同时发起恶意请求，直到目标网站不能访问

2. 拒绝服务（让一个网站无法访问）

攻击者构造大量的恶意请求，这些请求会耗尽网站（服务器）的网络带宽和系统资源，使得正常用户的请求不能及时处理

DDOS简单解释就是：就是大量机器，在短时间，朝目标网站发起大量恶意请求，使目标网站不能正确访问

2. 攻击方式

请求从浏览器出发->经过网络传输/并且与目标网站建立TCP链接->最后由网站进行处理
这里面的各个环节都有可能被攻击，只要有一个环节，只要有一个环节被攻破，访问网站的流程就会跑不通，从而达到拒绝服务的目的

1. 攻击网络带宽：网络的数据包是有上限的，一旦达到上限，就会网络拥堵，相应缓慢的现象；利用这一点，攻击者会朝目标网站发送大量的恶意数据包，从而占满目标网站的网络数据包，是的正常用户的数据包没办法及时传输，从而达到拒绝服务的目的
2. 攻击系统：在客服端与服务端的进行TCP连接的过程中，需要进行三次握手，握手信息是保存到一张连接表中的，这个连接表的大小也是有限的；利用这一点，攻击者会像目标网站建立大量的恶意TCP连接，占满这一张表，这样正常用户的TCP连接请求就不能及时处理，从而达到拒绝服务的目的
3. 攻击网站的应用：主要是web应用，攻击者使用多台受控主机向目标网站发送恶意的http请求，从而耗尽目标网站的资源，正常用户就不能正常访问了，使其业务受损
4. CC攻击：这种攻击web应用的方式也叫CC攻击（挑战黑洞）（很早之前有个系统叫黑洞，河东可以防御ddos攻击，攻击者就用许许多多的方式攻击黑洞，这种方式就叫挑战黑洞了）

3.防御方式

1. 网站备份
2. 拦截
   拦截分为两种方式（IP和UA），找到特征后进行拦截
   拦截有三宗方式（硬件、软件、web服务器软件）
   硬件：在web服务器前面架设硬件防火墙过滤所有请求（效果最好，价格最贵）
   软件：操作系统上都有软件防火墙，可以过滤某些来源的请求
   web服务器软件：配置某些规则，拒绝某些来源的请求
3. 带宽扩容（在没有特征）
   保证正常用户的请求能够处理，短时间内急剧扩大带宽，将所有请求急剧消化掉，正常用户就能访问
4. 使用CDN（也是带宽扩容的一种）
   所有的请求都是先请求到CDN，只有当内容不存在，才会从CDN请求到服务器（包括DDOS的恶意请求），只要CDN足够大，也能一定程度上防御DDOS攻击（1.CDN为静态资源；2.不能泄露服务器IP地址，攻击者会绕过CDN来直接攻击服务器）