|
DDoS攻击（即“分布是拒绝服务攻击”），是基于DoS的特殊形式的拒绝服务攻击，是一种分布式、协作的大规模攻击方式，主要瞄准一些企业或政府部门的网站发起攻击。根据攻击原理和方式的区别，可以把DDoS攻击分为两个不同层次，一种是传统的、基于网络层的DDoS攻击，另一种则是现阶段较为常见的、基于应用层的DDoS攻击，这两类不同层面的DDoS攻击方式各有特点，都对网络的安全造成了极大的危害。
一、网络层DDoS攻击原理及方式
常见的网络层DDoS攻击就是利用TCP/IP协议族的一些特征，控制大量的傀儡机发送合理的请求来消耗攻击目标主机的CPU和内存资源，由于攻击目标主机资源的快速消耗，就会使得合法的用户无法得到所请求的服务。
常见的网络层DDoS攻击方式有：
1、SYN-Flood攻击
SYN-Flood攻击是指攻击者利用TCP三次握手的原理，向目标主机发送大量SYN标志的TCP请求，当服务器接收的这些请求数据包的时候，会为这些连接请求建立会话，并且把这些并未建立完整连接的会话排到缓冲区队列中。攻击者可以发送源地址为假的分组，等待服务器发送分组，而由于源地址为假，因为系统发送回来的分组就等不到源地址主机的响应，因此，服务器的带宽和资源将在维持大量的这类半连接上被消耗掉，一旦请求超过了服务器的缓冲区容量，此时服务器就不能再接收新的连接请求了。此时其他合法的用户就无法建立与服务器的连接。
对比：网络层的DDoS攻击与应用层的DDoS攻击
2、ACK-Flood攻击
ACK Flood攻击。在TCP连接建立之后，所有的数据传输TCP报文都是带有ACK标志位的，主机在接收到一个带有ACK标志位的数据包的时候，需要检查该数据包所表示的连接四元组是否存在，如果存在则检查该数据包所表示的状态是否合法，然后再向应用层传递该数据包。如果在检查中发现该数据包不合法，例如该数据包所指向的目的端口在本机并未开放，则主机操作系统协议栈会回应RST包告诉对方此端口不存在。通常状态检测防火墙所做的事情与此类似，只不过防火墙只拦截非法的数据包，而不主动回应。
对比：网络层的DDoS攻击与应用层的DDoS攻击
对比主机以及防火墙在接收到ACK报文和SYN报文时所做动作的复杂程度，显然ACK报文带来的负载要小得多。所以在实际环境中，只有当攻击程序每秒钟发送ACK报文的速率达到一定的程度，才能使主机和防火墙的负载有大的变化。当发包速率很大的时候，主机操作系统将耗费大量的精力接收报文、判断状态，同时要主动回应RST报文，正常的数据包就可能无法得到及时的处理。这时候客户端（以IE为例）的表现就是访问页面反应很慢，丢包率较高。但是状态检测的防火墙通过判断ACK报文的状态是否合法，借助其强大的硬件能力可以较为**的过滤攻击报文。当然如果攻击流量非常大（特别是千兆线路上，我们曾经观察到200~300Mbps左右的ACK Flood），由于需要维护很大的连接状态表同时要检查数量巨大的ACK报文的状态，防火墙也会不堪重负导致全网瘫痪。 |
