DDOS是（DistributedDenialofService）的缩写，即分布式阻断服务，黑客利用DDOS攻击器控制多台机器同时攻击来达到“妨碍正常使用者使用服务”的目的，这样就形成了DDOS攻击，随着互联网的不断发展，竞争越来越激烈，各式各样的DDOS攻击器开始出现。就以2014年最新的闪电DDOS来说他的DNS攻击模式可放大N倍进行反射攻击。不少公司雇佣黑客团队对自己的竞争对手进行DDOS攻击。目前业界的各类攻击产品很多，目前最强悍技术最领先的防火墙测试软件就是DDOS攻击器了。

分布式阻断服务

Distributed Denial of Service

DDOS

易受黑客攻击

价值性

在当今维护网络安全的措施中，防火墙是应用最普遍、提供最基本网络防范功能的一种有效手段。针对威胁网络安全的DDOS攻击，DDOS防火墙扮演者重要的角色，其产品也是琳琅满目。随着用户对DDOS防火墙的质量要求越来越高，对DDOS防火墙产品的DDOS压力测试的研究也随即展开，压力测试的重要性是能够让企业及时发现自己网络环境的薄弱点。

简介

DDOS为（DistributedDenialofService）的缩写，即分布式阻断服务，黑客利用DDOS攻击器控制多台机器同时攻击来达到“妨碍正常使用者使用服务”的目的，这样就形成了DDOS攻击。[1]

目前最强悍技术最领先的DDOS攻击器就是闪电DDOS了该软件来自IT技术世界一流的闪电工作室开发，是专门针对大众化设计研发的具有创新思想和专有技术的新型网络DDOS攻击。集合了市面上所有攻击软件优点取得了革命性突破(独立编写代码.很有效的防止放火墙公司修改参数进行防御攻击.)

闪电DDOS攻击器-是一款用于目标主机DDOS攻击测试、网站攻击测试和流量测试的软件。该软件完全由闪电工作室独立研发，它参考众多国内外优秀的DDOS攻击器的特点，并采用全球领先的网络流量控制和系统开销控制技术，具有速度快，不堵塞，隐蔽性好，攻击性能强悍等优异的特性，可以充分发掘目标对象的弱点，配合后期推出的闪电DDOS防火墙加以防护。保障企业网站或主机的安全。只有攻击和防御相结合.才能稳操胜券,让你的对手无懈可击。

企业简介：

闪电DDOS安全实验室是一支专业DDOS攻击软件开发与维护团队，工作室成立于2006年5月1日。专业致力于为企业及个人提供优质的互联网服务，项目包括网站建设、网站防火墙测试、网页设计、程序开发、UI界面设计、平面设计、域名注册、虚拟主机、网站推广、网站优化等。工作室是由专业的技术人才、优秀的管理人才组成的运营团队，有着超过五年的互联网运营服务从业经验，服务遍及安徽、浙江、湖北、湖南、福建、广东等地区。

我们为您提供优质的网站建设一条龙、完善的服务、一流的设计和全面的解决方案。全面满足大中小企业用户的需求，让客户在信息时代稳握无限商机。软件简介：闪电DDOS压力测试系统V2011，是一款用于目标主机攻击测试、网站攻击测试和流量测试的软件。该软件完全由闪电DDOS安全实验室独立研发，它参考众多国内外优秀的DDOS攻击测试软件的特点，并采用全球领先的网络流量控制和系统开销控制技术，具有速度快，不堵塞，隐蔽性好，攻击性能强悍等优异的特性，可以充分发掘目标对象的弱点，配合DarkShadowDDOS防火墙加以防护。保障企业网站或主机的安全。

★强大的攻击性能

可以设定1~50个并行线程，支持常规主机攻击，如TCP多连接/UDP碎片/ICMPFlood/IGMPFlood/SYNFlood等，独创智能混合攻击与变种CC攻击等，有效测试网站及主机弱点。闪电DDOS压力测试系统V2011支持winNT/2k/xp/2003等系统。

★肉鸡的自动上线

支持多种方式的肉鸡上线机制，如动态域名/URL转向/FTP上传IP文件/固定IP等，通过简单配置就可以自动生成服务端。服务端具有强大的自动重连功能，可以自动寻找宿主的外网地址，自动使用代理，支持局域网内控制。

★隐蔽性能

服务端可以加壳保护，可以注入到任意的进程中，如explorer,svchost等等，NT系统上可以生成伪装的service自动启动。

★穿透主动防御和穿透还原

独创服务端双穿透功能，稳固保持在线主机。

★一流的攻击速度

服务端部分代码由汇编直接完成，在保障功能的同时尽可能紧凑，达到完美的攻击速度，通过优化速度和线程，提升最佳攻击能力。我们的目标是将服务端体积保持在无壳60KB以下，FSG压缩30KB以下。同时正式版提供8个压力测试面板，可同时进行多个测试项目。

★亲和力和易用的界面

闪电DDOS压力测试系统V2011采用美观的换肤界面，有多种皮肤可供选择，我们在提供美观界面的同时，更注重和提升他的易用性能。

攻防

带宽消耗型攻击

DDoS带宽消耗攻击可以分为两个不同的层次；洪泛攻击或放大攻击。洪泛攻击的特点是利用僵尸程序发送大量流量至受损的受害者系统，目的在于堵塞其带宽。放大攻击也与之类似，通过恶意放大流量限制受害者系统的带宽；其特点是利用僵尸程序发送信息，但是信息却是发送至广播IP地址，导致系统子网被广播IP地址连接上之后再发送信息至受害系统。

UserDatagramProtocol(UDP)floods

UDP是一种无连接协议，当数据包通过UDP发送时，所有的数据包在发送和接收时不需要进行握手验证。当大量UDP数据包发送给受害系统时，可能会导致带宽饱和从而使得合法服务无法请求访问受害系统。遭受DDoSUDP洪泛攻击时，UDP数据包的目的端口可能是随机或指定的端口，受害系统将尝试处理接收到的数据包以确定本地运行的服务。

如果没有应用程序在目标端口运行，受害系统将对源IP发出ICMP数据包，表明“目标端口不可达”。某些情况下，攻击者会伪造源IP地址以隐藏自己，这样从受害系统返回的数据包不会直接回到僵尸主机，而是被发送到被伪造地址的主机。有时UDP洪泛攻击也可能影响受害系统周围的网络连接，这可能导致受害系统附近的正常系统遇到问题。然而，这取决于网络体系结构和线速。

ICMPfloods

ICMPfloods是通过向未良好设置的路由器发送广播信息占用系统资源的做法。

pingofdeath（死亡之Ping）

pingofdeath是产生超过IP协定能容忍的封包数，若系统没有检查机制，就会当机。

泪滴攻击

每个资料要传送前，该封包都会经过切割，每个小切割都会记录位移的资讯，以便重组，但此攻击模式就是捏造位移资讯，造成重组时发生问题，造成错误。

资源消耗型攻击

协议分析攻击（SYNflood，SYN洪水）

传送控制协议(TCP)同步(SYN)攻击。TCP进程通常包括发送者和接受者之间在数据包发送之前建立的完全信号交换。启动系统发送一个SYN请求，接收系统返回一个带有自己SYN请求的ACK（确认）作为交换。发送系统接着传回自己的ACK来授权两个系统间的通讯。

若接收系统发送了SYN数据包，但没接收到ACK，接受者经过一段时间后会再次发送新的SYN数据包。接受系统中的处理器和内存资源将存储该TCPSYN的请求直至超时。DDoSTCPSYN攻击也被称为“资源耗尽攻击”,它利用TCP功能将僵尸程序伪装的TCPSYN请求发送给受害服务器，从而饱和服务处理器资源并阻止其有效地处理合法请求。

它专门利用发送系统和接收系统间的三向信号交换来发送大量欺骗性的原IP地址TCPSYN数据包给受害系统。最终，大量TCPSYN攻击请求反复发送，导致受害系统内存和处理器资源耗尽，致使其无法处理任何合法用户的请求。LANDattack这种攻击方式与SYNfloods类似，不过在LANDattack攻击包中的原地址和目标地址都是攻击对象的IP。

这种攻击会导致被攻击的机器死循环，最终耗尽资源而死机。CC攻击CC攻击是DDoS攻击的一种类型，使用代理服务器向受害服务器发送大量貌似合法的请求（通常使用HTTPGET)。CC(攻击黑洞)根据其工具命名，攻击者创造性地使用代理机制，利用众多广泛可用的免费代理服务器发动DDoS攻击。许多免费代理服务器支持匿名模式，这使追踪变得非常困难。僵尸网络攻击僵尸网络是指大量被命令控制型(C&C)服务器所控制的互联网主机群。

攻击者传播恶意软件并组成自己的僵尸网络。僵尸网络难于检测的原因是，僵尸主机只有在执行特定指令时才会与服务器进行通讯，使得它们隐蔽且不易察觉。僵尸网络根据网络通讯协议的不同分为IRC、HTTP或P2P类等。Applicationlevelfloods（应用程序级洪水攻击）与前面叙说的攻击方式不同，Applicationlevelfloods主要是针对应用软件层的，也就是高于OSI的。它同样是以大量消耗系统资源为目的，通过向IIS这样的网络服务程序提出无节制的资源申请来迫害正常的网络服务。

攻击防御

阻断服务

在探讨DDoS之前我们需要先对DoS有所了解，DoS泛指黑客试图妨碍正常使用者使用网络上的服务，例如剪断大楼的电话线路造成用户无法通话。而以网络来说，由于频宽、网络设备和服务器主机等处理的能力都有其限制，因此当黑客产生过量的网络封包使得设备处理不及，即可让正常的使用者无法正常使用该服务。例如黑客试图用大量封包攻击一般频宽相对小得多的拨接或ADSL使用者，则受害者就会发现他要连的网站连不上或是反应十分缓慢。

DoS攻击并非入侵主机也不能窃取机器上的资料，但是一样会造成攻击目标的伤害，如果攻击目标是个电子商务网站就会造成顾客无法到该网站购物。

分布式阻断服务

DDoS则是DoS的特例，黑客利用多台机器同时攻击来达到妨碍正常使用者使用服务的目的。黑客预先入侵大量主机以后，在被害主机上安装DDoS攻击程控被害主机对攻击目标展开攻击;有些DDoS工具采用多层次的架构，甚至可以一次控制高达上千台电脑展开攻击，利用这样的方式可以有效产生极大的网络流量以瘫痪攻击目标。早在2000年就发生过针对Yahoo,eBay,Buy和CNN等知名网站的DDoS攻击，阻止了合法的网络流量长达数个小时。

DDoS攻击程序的分类，可以依照几种方式分类，以自动化程度可分为手动、半自动与自动攻击。早期的DDoS攻击程序多半属于手动攻击，黑客手动寻找可入侵的计算机入侵并植入攻击程序，再下指令攻击目标;半自动的攻击程序则多半具有handler控制攻击用的agent程序。

黑客散布自动化的入侵工具植入agent程序，然后使用handler控制所有agents对目标发动DDoS攻击;自动攻击更进一步自动化整个攻击程序，将攻击的目标、时间和方式都事先写在攻击程序里，黑客散布攻击程序以后就会自动扫描可入侵的主机植入agent并在预定的时间对指定目标发起攻击，例如近期的W32/Blaster网虫即属于此类。

若以攻击的弱点分类则可以分为协议攻击和暴力攻击两种。协议攻击是指黑客利用某个网络协议设计上的弱点或执行上的bug消耗大量资源，例如TCPSYN攻击、对认证伺服器的攻击等;暴力攻击则是黑客使用大量正常的联机消耗被害目标的资源，由于黑客会准备多台主机发起DDoS攻击目标，只要单位时间内攻击方发出的网络流量高于目标所能处理速度，即可消耗掉目标的处理能力而使得正常的使用者无法使用服务。

若以攻击频率区分则可分成持续攻击和变动频率攻击两种。持续攻击是当攻击指令下达以后，攻击主机就全力持续攻击，因此会瞬间产生大量流量阻断目标的服务，也因此很容易被侦测到;变动频率攻击则较为谨慎，攻击的频率可能从慢速渐渐增加或频率高低变化，利用这样的方式延缓攻击被侦测的时间。

DDoS攻击的方式

DDoS的攻击策略侧重于通过很多“僵尸主机”(被攻击者入侵过或可间接利用的主机)向受害主机发送大量看似合法的网络包，从而造成网络阻塞或服务器资源耗尽而导致拒绝服务。分布式拒绝服务攻击一旦被实施，攻击网络包就会犹如洪水般涌向受害主机，从而把合法用户的网络包淹没，导致合法用户无法正常访问服务器的网络资源。

判断是否被DDoS攻击

判断网站是否遭受了流量攻击很简单，可通过Ping命令来测试，若发现Ping超时或丢包严重，则可能遭受了流量攻击。此时若发现和你的主机接在同一交换机上的服务器也访问不了了，基本可以确定是遭受了流量攻击。

从DDoS攻击下存活

那么当遭受DDoS攻击的时候要如何设法存活并继续提供正常服务呢?由先前的介绍可以知道，若黑客攻击规模远高于你的网络频宽、设备或主机所能处理的能力，其实是很难以抵抗攻击的，但仍然有一些方法可以减轻攻击所造成的影响。

首先是调查攻击来源，由于黑客经由入侵机器进行攻击，因此你可能无法查出黑客是由哪里发动攻击，我们必须一步一步从被攻击目标往回推，先调查攻击是由管辖网络的哪些边界路由器进来，上一步是外界哪台路由器，连络这些路由器的管理者(可能是某个ISP或电信公司)并寻求他们协助阻挡或查出攻击来源，而在他们处理之前可以进行哪些处理呢?

如果被攻击的目标只是单一ip，那么试图改个ip并更改其DNSmapping或许可以避开攻击，这是最快速而有效的方式;但是攻击的目的就是要使正常使用者无法使用服务，更改ip的方式虽然避开攻击，以另一角度来看黑客也达到了他的目的。

此外，如果攻击的手法较为单纯，可以由产生的流量找出其规则，那么利用路由器的ACLs(AccessControlLists)或防火墙规则也许可以阻挡，若可以发现流量都是来自同一来源或核心路由器，可以考虑暂时将那边的流量挡起来，当然这还是有可能将正常和异常的流量都一并挡掉，但至少其它来源可以得到正常的服务，这有时是不得已的牺牲。如果行有余力，则可以考虑增加机器或频宽作为被攻击的缓冲之用，但这只是治标不治本的做法。最重要的是必须立即着手调查并与相关单位协调解决。

预防DDoS攻击

DDoS必须透过网络上各个团体和使用者的共同合作，制定更严格的网络标准来解决。每台网络设备或主机都需要随时更新其系统漏洞、关闭不需要的服务、安装必要的防毒和防火墙软件、随时注意系统安全，避免被黑客和自动化的DDoS程序植入攻击程序，以免成为黑客攻击的帮凶。

有些DDoS会伪装攻击来源，假造封包的来源ip，使人难以追查，这个部份可以透过设定路由器的过滤功能来防止，只要网域内的封包来源是其网域以外的ip，就应该直接丢弃此封包而不应该再送出去，如果网管设备都支持这项功能，网管人员都能够正确设定过滤掉假造的封包，也可以大量减少调查和追踪的时间。

网域之间保持联络是很重要的，如此才能有效早期预警和防治DDoS攻击，有些ISP会在一些网络节点上放置感应器侦测突然的巨大流量，以提早警告和隔绝DDoS的受害区域，降低顾客的受害程度。