看不见的“黑色财富”：流量攻击产业链

据美国最新的安全损失调查报告，DDoS攻击所造成的经济损失已经跃居第一。现在我们很多人对DDoS略懂一二，而不知DDoS背后的巨大黑色产业链，今天我将带你走进DDoS许多人不为所知的产业秘密。

什么是流量攻击
流量攻击即DDoS所有攻击类型的总称。

DDoS攻击通过操控傀儡机，发送大量的无意义的数据请求，从而占用服务器资源，使正常用户无法得到服务响应,以达到瘫痪网络的目的造成，总之DDoS攻击主要是利用了internet协议和internet基本优点——无偏差地从任何的源头传送数据包到任意目的地。因此DDoS攻击成为目前最难防御的网络攻击之一。

DDoS攻击分为两种，要么大数据，大流量来压垮网络设备和服务器，要么有意制造大量无法完成的不完全请求来快速耗尽服务器资源。

目前最基本两种DDoS攻击：
1．带宽攻击
这种攻击消耗网络带宽或使用大量数据包淹没一个或多个路由器、服务器和防火墙；带宽攻击的普遍形式是大量表面看合法的TCP、UDP或ICMP数据包被传送到特定目的地；为了使检测更加困难，这种攻击也常常使用源地址欺骗，并不停地变化。
2．应用攻击
利用TCP和HTTP等协议定义的行为来不断占用计算资源以阻止它们处理正常事务和请求。HTTP半开和HTTP错误就是应用攻击的两个典型例子。

流量攻击产业发展历程
1．技术彰显阶段
在1998年初，DDoS仅作为一种彰显黑客技术能力的炫耀手段而出现，
2．仅勒索钱财阶段
随后的几年，随着互联网业务的不断丰富和发展，从2003年开始，网络上开始有人利用DDoS技术攻击网游私服，并勒索钱财。
3．攻击小组阶段
到了08年，DDoS的攻击技术主要攻击小型的网游私服发布站、论坛，并强行吞并，当时的DDoS攻击资源被掌握在少数的攻击小组手里，例如“骑士攻击小组”。
4．蔓延阶段
到了10年前后，DDoS黑色产业发展的空前壮大，攻击资源开始蔓延，依托于DDoS的敲诈勒索时有发生，受害者多为网吧、游戏公司、中小型创业企业等。
5．产业化阶段
据安全平台部黑产情报团队分析调查，DDoS攻击经过十余年的发展壮大，目前相关黑产从业人员或已达到38万余人，涉及6000多个大大小小的黑产团伙，其中，专职于DDoS黑产的人员就高达13万，如果以人均月收入4000元计算，年产值将超过100亿，已然形成了一条高度成熟的黑色产业链。

总之DDoS发展10余年，逐渐走向平台多样化，全自动化和人员分工化趋势。

流量攻击产业链结构
经过许多年的发展，流量攻击形成了角色分工明确的产业链，并且一直不断扩张，形成井然有序的地下市场。

流量攻击产业链角色：
1．需求者：是DDoS 攻击黑色产业链中顶端的角色，也就是出资并发出对具体网站或服务器的攻击需求的人
2．资源提供商：包含流量商（通过担保商或直接将国外购买的流量服务器，售卖给攻击手）和肉鸡商（手头拥有大量的肉鸡资源，通过担保商或直接将肉鸡售卖/出租给攻击手）
3．中间商：泛指担保人（是业内“信誉”较高的不法黑客。因为交易的双方往往并不认识，于是他们会找到作为“担保人”，负责买卖双方的资金中转，担保人可从中抽取一定的好处费）和接单中介（最基础的模式是接单人员接到客户的基于不同需求的“D单”、“C单”、“包天单”等订单，再把单子分发给具备相应攻击资源和能力的攻击者）
4．攻击者：是指接到”需求者“指令并实行攻击的人，也就是需求者所雇佣的打手。

流量攻击产业链获利方式一般有四种：出售攻击软件；出售“肉鸡”；接单帮别人攻击；自己攻击然后敲诈勒索。
流量攻击产业弊端
由于DDoS技术门槛低，部署简单，极易导致一些人员也同时担当多个DDoS产业角色，所以也存在一些的不足之处：
1．成单无保障
资源提供商和中间商都具有不确定性，需求者付费后可能会存在自己所针对的目标，没有受到攻击或没有效果的情况，给需求者造成经济损失。
2．回复周期长
从需求者提出需求到真正达到攻击效果，需要资源提供商和中间商（其搭建平台或通讯工具群等)和攻击者等几个环节，时间上就需要花几小时，甚至几天时间不等。
3．攻击效果难保证
攻击手一般手动远程操作C2服务器或发包机针对目标服务器进行攻击，攻击手所掌握的botnet或发包机规模不同，攻击的流量达不到保证。
（注：文章部分内容均转载于云鼎实验室和腾讯研究院）