DOS攻击（拒绝服务攻击）

拒绝服务攻击的概念

拒绝服务攻击通常是利用传输协议的漏洞、系统存在的漏洞、服务的漏洞，对目标系统发起大规模的攻击，用超出目标系统处理能力的海量数据包消耗可用系统资源、带宽资源等，或造成程序缓冲区溢出错误，致使其无法处理合法用户的正常请求，无法提供正常服务，最终导致网络服务瘫痪，甚至引起系统死机。

拒绝服务攻击的分类

实现拒绝服务攻击的方法多种多样，最常见的主要有以下几种。

• 滥用合理的服务请求
  过度地请求目标系统的正常服务，占用过多服务资源，导致系统超载，无法响应其他请求。这些服务资源通常包括网络带宽、文件系统空间容量、开放的进程或连接数等。

• 制造大量无用数据
  恶意地制造和发送大量各种随机无用的数据包，目的仅在于用这些大量的无用数据占据网络带宽，造成网络拥塞，使正常的通信无法顺利进行。

• 利用传输协议缺陷
  利用传输协议上的缺陷，构造畸形的数据包并发送，导致目标主机无法处理，出现错误或崩溃，而拒绝服务。

• 利用服务程序的漏洞
  针对主机上的服务程序的特定漏洞，发送一些有针对性的特殊格式的数据包，导致服务处理错误而拒绝服务。

拒绝服务攻击的原理

拒绝服务攻击主要分为两种，语义攻击（Semantic）和暴力攻击（Brute）。

• 语义攻击指的是利用目标系统实现时的缺陷和漏洞，对目标主机进行的拒绝服务攻击，这种攻击往往不需要攻击者具有很高的攻击带宽，有时只需要发送1个数据包就可以达到攻击目的，对这种攻击的防范只需要修补系统中存在的缺陷即可。

• 暴力攻击指的是不需要目标系统存在漏洞或缺陷，而是仅仅靠发送超过目标系统服务能力的服务请求数量来达到攻击的目的，也就是通常所说的风暴攻击。所以防御这类攻击必须借助于受害者上游路由器等的帮助，对攻击数据进行过滤或分流。

• 某些攻击方式，兼具语义和暴力两种攻击的特征，比如SYN风暴攻击，虽然利用了TCP协议本身的缺陷，但仍然需要攻击者发送大量的攻击请求，用户要防御这种攻击，不仅需要对系统本身进行增强，而且也需要增大资源的服务能力。还有一些攻击方式，是利用系统设计缺陷，产生比攻击者带宽更高的通信数据来进行暴力攻击的，如DNS请求攻击和Smurf攻击。这些攻击方式在对协议和系统进行改进后可以消除或减轻危害，所以可把它们归于语义攻击的范畴。