2016年5月，造孽黑客针对全球局限内的多家银行网站发动了一系列的DDoS攻击。导致约旦、韩国以及摩纳哥等央行网络系统陷入了半小时的瘫痪状态，无法举行正常事情。

2016年11月，俄罗斯五家主流银行遭遇长达两天的DDoS攻击。来自30个国家2.4万台盘算机组成的僵尸网络连续不停发动壮大的DDOS攻击。

2017年4月初，江苏省某网络公司服务器频仍遭到DDoS流量攻击，导致挂载在服务器上的多个网站无法正常运营，损失严重。

2018年3月，Github遭受了迄今为止纪录的最大的DDoS攻击。攻击者通过公共互联网发送小字节的基于UDP的数据包请求到设置错误的memcached服务器，作为回应，memcached服务器通过向Github发送大量不成比例的响应，形成伟大规模的DDoS攻击。

2019年9月初，北京市公安局网络安全守护总队（以下简称“网安总队”）提议了针对“分布式拒绝服务攻击”类违法犯罪的全国性专项袭击行动。三个月内，网安总队在全国局限内共抓获违法犯罪嫌疑人379名，清算在京被控主机7268台。

……

什么是DDOS攻击？

举个例子，我开了一家饭馆，这家饭馆可以容纳100人同时就餐，我的一个竞争对手在对门也开了一家饭馆，竞争对手雇佣了300人来这个饭馆坐着不吃不喝，导致饭馆满满当当无法正常营业，这在盘算机中的显示就是分布式拒绝服务。在盘算机系统中它行使网络协媾和操作系统的一些缺陷，接纳诱��和伪装的计谋来举行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而住手提供正常的网络服务。

分布式拒绝服务攻击(英文意思是Distributed Denial of Service，简称DDoS)是指处于差别位置的多个攻击者同时向一个或数个目的发动攻击，或者一个攻击者控制了位于差别位置的多台机械并行使这些机械对受害者同时实行攻击。

在举行攻击的时刻，可以对源IP地址举行伪造，通常攻击者会在提议DDOS 攻击之前就控制着成千上万个存在破绽的盘算机，这些盘算机我们称之为“肉鸡”，入侵者通过这些“肉鸡”向目的机械在相同时间内提议并发请求，导致目的机械的系统资源瞬间被打满，无法正常对外提供服务。

与DoS攻击由单台主机提议攻击相比较，分布式拒绝服务攻击DDoS是借助数百、甚至数千台被入侵后安装了攻击历程的主机同时提议的团体行为。

攻击方式

SYN Flood攻击

SYN Flood 攻击是当前网络上最为常见的DDoS攻击，它行使了TCP协议实现上的一个缺陷。通过向网络服务所在端口发送大量的伪造源地址的攻击报文，就可能造成目的服务器中的半开毗邻行列被占满，从而阻止其他正当用户举行接见。

众所周知,TCP要确立毗邻，需要举行三次握手，通讯的双方最少得经由3次乐成的信息交流才气进入毗邻全开状态(Full-Open)。一个正常的毗邻确立需要如下步骤：

• 首先，客户端向服务器发送SYN数据包，以便启动毗邻；
• 服务器响应该初始包与SYN / ACK包，以确认通讯；
• 最后，客户端返回ACK数据包以确认从服务器吸收到的数据包。完成这个数据包发送和吸收序列后，TCP毗邻打开并能发送和吸收数据。

攻击者行使TCP握手这一机制，在吸收到初始SYN数据包之后，服务器将用一个或多个SYN / ACK数据包举行响应，并守候握手中的最后一步。这是它的事情原理：

• 攻击者向目的服务器发送大量SYN数据包，通常会使用诱骗性的IP地址。
• 服务器响应每个毗邻请求，并留下开放端口准备好吸收响应。
• 服务器守候从未到达的最终ACK数据包时，攻击者继续发送更多的SYN数据包。每个新的SYN数据包的到达导致服务器暂时维持新的开放端口毗邻一段时间，一旦所有可用端口被使用，服务器就无法正常事情。

当服务器断开毗邻但毗邻另一端的机械没有毗邻时，毗邻被认为是半开的。在这种类型的DDoS攻击中，目的服务器不停脱离打开的毗邻，守候每个毗邻超时，然后端口再次可用。结果是这种攻击可以被认为是“半开攻击”。

UDP Flood攻击

UDP Flood 是日渐猖厥的流量型DDoS攻击，原理也很简单。常见的情形是行使大量UDP小包打击DNS服务器或Radius认证服务器、流媒体视频服务器。由于UDP协议是一种无毗邻的服务，在UDP Flood攻击中，攻击者可发送大量伪造源IP地址的小UDP包。

ICMP Flood攻击

ICMP Flood攻击属于流量型的攻击方式，是行使大的流量给服务器带来较大的负载，影响服务器的正常服务。由于现在许多防火墙直接过滤ICMP报文。因此ICMP Flood泛起的频度较低。

Connection Flood攻击

摆地摊卖水果没经验怎么办，学会这些技巧卖水果不赚钱都难

Connection Flood是典型的行使小流量打击大带宽网络服务的攻击方式，这种攻击的原理是行使真实的IP地址向服务器提议大量的毗邻。而且确立毗邻之后很长时间不释放，占用服务器的资源，造成服务器上残余毗邻(WAIT状态)过多，效率降低，甚至资源耗尽，无法响应其他客户所提议的链接。

HTTP Get攻击

这种攻击主要是针对存在ASP、JSP、PHP、CGI等剧本程序，特征是和服务器确立正常的TCP毗邻，并不停的向剧本程序提交查询、列表等大量花费数据库资源的挪用。这种攻击的特点是可以绕过通俗的防火墙防护，可通过Proxy署理实行攻击，瑕玷是攻击静态页面的网站效果不佳，会露出攻击者的lP地址。

UDP DNS Query Flood攻击

UDP DNS Query Flood攻击接纳的方式是向被攻击的服务器发送大量的域名剖析请求，通常请求剖析的域名是随机天生或者是网络世界上基本不存在的域名。域名剖析的历程给服务器带来了很大的负载，每秒钟域名剖析请求跨越一定的数星就会造成DNS服务器剖析域名超时。

DDOS 的提防

通过 Linux 自带防火墙提防攻击

以 DDOS SYN Flood 攻击为例，我们可以通过系统自带的iptables 防火墙来举行防护。

第一种方式是克制攻击泉源IP，然则通常攻击源都不只一个IP，这种方式防护比较弱。

$ iptables -I INPUT -s 192.168.0.2 -p tcp -j REJECT

第二钟方式是 限制syn并发的次数以及同一个IP 新建毗邻数的数目。

#限制 syn 并发数为每秒 1 次$iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT#限制单个 IP 在 60 秒新确立的毗邻数为 10$iptables -I INPUT -p tcp --dport 80 --syn -m recent --name SYN_FLOOD --update --seconds 60 --hitcount 10 -j REJECT

然则若是攻击源稀奇多，实在照样很难阻挡。SYN Flood 会导致 SYN_RECV 状态的毗邻急剧增大，可以通过调整半毗邻容量巨细，例如调整为 1024

$ sysctl -w net.ipv4.tcp_max_syn_backlog=1024net.ipv4.tcp_max_syn_backlog = 1024

另外，每个SYN_RECV 若是失败，内核还会自动重试，默认是 5次，可以修改为1次。

$ sysctl -w net.ipv4.tcp_synack_retries=1net.ipv4.tcp_synack_retries = 1

此外，TCP SYN Cookies 是一种专门防御 SYN Flood 攻击的方式，其原理是基于毗邻信息(包罗源地址、源端口、目的地址、目的端口等）以及一个加密种子（如系统启动时间），盘算出一个哈希值（SHA1），这个哈希值称为 cookie。

这个 cookie 就被用作序列号，来应答 SYN+ACK 包，并释放毗邻状态。当客户端发送完三次握手的最后一次 ACK 后，服务器就会再次盘算这个哈希值，确认是上次返回的 SYN+ACK 的返回包，才会进入 TCP 的毗邻状态。因而，开启 SYN Cookies 后，就不需要维护半开毗邻状态了，进而也就没有了半毗邻数的限制。

注重开启 TCP syncookies 后，内核选项
net.ipv4.tcp_max_syn_backlog 也就无效了。可以通过下面的方式开启：

$ sysctl -w net.ipv4.tcp_syncookies=1net.ipv4.tcp_syncookies = 1

优化网络相关的内核参数

当遭遇攻击时，请求数会较大，你可能会看到大量处于TIME. WAIT状态的毗邻。

linux查看tcp的状态下令：

• netstat -nat查看TCP各个状态的数目；
• lsof -i:port可以检测到打开套接字的状态；
• sar -n SOCK查看tcp建立的毗邻数；
• tcpdump -iany tcp port 6000对tcp端口为6000的举行抓包。

[root@centos ~]# netstat -antActive Internet connections (servers and established)Proto Recv-Q Send-Q Local Address Foreign Address Statetcp 0 0 0.0.0.0:22 0.0.0.0:* LISTENtcp 0 0 127.0.0.1:25 0.0.0.0:* LISTENtcp 0 0 192.168.10.58:22 13.136.182.140:23107 TIME_WAITtcp 0 48 192.168.10.58:22 13.136.182.140:61282 TIME_WAITtcp6 0 0 :::22 :::* LISTENtcp6 0 0 ::1:25 :::* LISTEN

TCP状态及其形貌：

它们会占用大量内存和端口资源。这时，我们可以优化与TIME_ WAIT状态相关的内核选项，好比接纳下面几种措施：

• 增大处于 TIME_WAIT 状态的毗邻数目
net.ipv4.tcp_max_tw_buckets，并增大毗邻跟踪表的巨细
net.netfilter.nf_conntrack_max。
• 减小 net.ipv4.tcp_fin_timeout和
net.netfilter.nf_conntrack_tcp_timeout_time_wait，让系统尽快释放它们所占用的资源。
• 开启端口复用 net.ipv4.tcp_tw_reuse。这样，被TIME_WAIT状态占用的端口，还能用到新建的毗邻中。
• 增大内陆端口的局限
net.ipv4.ip_local_port_range。这样就可以支持更多毗邻，提高整体的并发能力。
• 增添最大文件形貌符的数目。你可以使用fs.nr_open和fs.file-max，划分增大历程和系统的最大文件形貌符数；或在应用程序的systemd设置文件中，设置LimitNOFILE，设置应用程序的最大文件形貌符数。

通过专业的流量洗濯系统来提防DDOS攻击

流量洗濯服务是一种针对对其提议的DOS/DDOS攻击的监控、告警和防护的一种网络安全服务。在不影响正常营业的前提下，洗濯掉异常流量。它会剖析和过滤异常流量，将异常的攻击流量阻挡在门外，从而为正常的请求提供服务。

一样平常这类系统由专门的服务商提供，大多数会提供10 Gpbs~100Gpbs 的防护能力。