DDoS攻击
本词条介绍的是网络安全领域的攻击方式。DDoS攻击（Distributed Denial of Service Attack，分布式拒绝服务攻击）是一种通过控制大量分布式计算机或设备，同时向目标服务器发送海量请求，使其无法处理正常用户访问的网络攻击手段。
基本概念
DDoS攻击是DoS攻击（拒绝服务攻击）的升级版本。与单一来源的DoS攻击不同，DDoS攻击利用分布在全球各地的大量被控制设备（通常称为僵尸网络或Botnet）同时发起攻击，使得防御难度大幅提升。攻击者通过耗尽目标系统的带宽、CPU处理能力、内存资源或网络连接数，导致合法用户无法正常访问服务。
这种攻击方式的核心特征在于分布式和大规模，攻击流量可能来自数千甚至数百万台被感染的设备，包括个人计算机、智能手机、物联网设备等。由于攻击源分散且数量庞大，传统的基于IP地址封锁的防御手段往往效果有限。
工作原理
DDoS攻击的实施通常分为三个阶段：
僵尸网络构建
攻击者首先通过恶意软件、木马程序或利用系统漏洞，感染大量联网设备，将其转变为可远程控制的僵尸主机。这些被控制的设备组成僵尸网络，平时可能正常运行，用户甚至不知道自己的设备已被入侵。攻击者通过命令与控制服务器（C&C Server）统一管理这些僵尸主机。
攻击指令下发
当攻击者决定发起攻击时，通过C&C服务器向僵尸网络中的所有设备发送攻击指令，指定攻击目标、攻击类型和持续时间。这些指令可能通过加密通道传输，以逃避安全监测。
协同攻击执行
接收到指令后，所有僵尸主机同时向目标发起攻击。由于请求来自全球各地的不同IP地址，且每个设备的请求看似正常，目标系统难以区分合法流量和攻击流量，最终因资源耗尽而瘫痪。
主要类型
DDoS攻击根据攻击目标和技术手段可分为多种类型：
流量型攻击
流量型攻击通过发送海量数据包占满目标的网络带宽，使正常流量无法通过。常见的包括UDP洪水攻击（UDP Flood）和ICMP洪水攻击（ICMP Flood）。这类攻击的特点是数据包数量巨大，可达每秒数百Gbps甚至Tbps级别，直接堵塞网络管道。
协议型攻击
协议型攻击利用网络协议的设计缺陷或特性，消耗目标服务器的连接资源。典型代表是SYN洪水攻击（SYN Flood），攻击者发送大量TCP连接请求但不完成三次握手，导致服务器维持大量半开连接而耗尽资源。其他还包括分片攻击（Fragmentation Attack）和Ping of Death等。
应用层攻击
应用层攻击针对Web服务器、数据库等应用程序，通过模拟正常用户行为发送看似合法的请求。例如HTTP洪水攻击（HTTP Flood）不断请求复杂页面或数据库查询，消耗服务器计算资源。这类攻击流量较小但危害大，因为每个请求都需要服务器进行复杂处理。
反射放大攻击
反射放大攻击利用第三方服务器作为跳板，将小请求放大成大响应发送给目标。攻击者伪造目标IP地址向DNS服务器、NTP服务器等发送查询请求，这些服务器将放大数倍的响应数据发送给目标，既隐藏了攻击源又增强了攻击效果。
发展历史
最早的DDoS攻击可追溯到1999年，当时明尼苏达大学的计算机系统遭受攻击。2000年2月，包括Yahoo、eBay、CNN等知名网站相继遭受大规模DDoS攻击，引起全球关注，这被认为是DDoS攻击进入公众视野的标志性事件。
2007年，爱沙尼亚遭受持续数周的DDoS攻击，政府、银行、媒体网站大面积瘫痪，这是首次针对国家级基础设施的大规模网络攻击。2016年，利用物联网设备组成的Mirai僵尸网络发起的攻击峰值流量超过1Tbps，创下当时记录。
近年来，随着5G网络、云计算和物联网的普及，可被利用的设备数量激增，DDoS攻击的规模和频率持续上升。攻击工具的商业化（DDoS-for-hire服务）也降低了攻击门槛，使得普通人也能发起攻击。
危害与影响
DDoS攻击对目标造成的危害是多方面的：
经济损失：服务中断导致直接收入损失，电子商务网站每小时停机可能损失数万至数百万元。此外还包括应急响应成本、声誉损害和客户流失。
服务中断：关键基础设施如金融系统、医疗服务、政府网站遭受攻击可能影响公共服务，甚至威胁社会稳定。
连锁反应：攻击可能影响依赖目标服务的其他系统，形成多米诺效应。例如攻击DNS服务商可能导致大量网站同时无法访问。
勒索威胁：部分攻击者以停止攻击为条件索要比特币等加密货币赎金，形成DDoS勒索产业链。
防御措施
应对DDoS攻击需要多层次的防御策略：
流量清洗
通过专业的流量清洗中心过滤恶意流量，只将正常请求转发给目标服务器。清洗中心使用深度包检测（DPI）、行为分析等技术识别攻击特征。
弹性扩展
利用云服务的弹性能力，在攻击发生时快速扩展带宽和计算资源，分散攻击压力。内容分发网络（CDN）可将流量分散到多个节点，提高抗攻击能力。
访问控制
实施严格的访问控制策略，限制单个IP的请求频率，使用验证码、JavaScript挑战等手段区分真实用户和僵尸程序。
协议优化
优化TCP/IP协议栈配置，减少半开连接超时时间，启用SYN Cookie等防护机制，提高系统对协议型攻击的抵抗力。
应急预案
建立完善的应急响应机制，包括攻击监测、快速切换、备份系统等，确保在攻击发生时能迅速响应并最小化损失。
法律与监管
多数国家和地区已将DDoS攻击列为网络犯罪。在中国，根据《中华人民共和国网络安全法》和《刑法》相关条款，实施DDoS攻击可能构成破坏计算机信息系统罪，最高可判处十五年有期徒刑。美国《计算机欺诈和滥用法》、欧盟《网络与信息安全指令》等也对此类行为进行严厉处罚。
国际社会通过国际刑警组织、网络安全联盟等机构加强跨国合作，共同打击DDoS攻击及相关黑色产业链。
