ddos攻击|DoS？DDoS？这件事要从另一个D说起...( 二 ) 黑客|网络安全

一个基本的 DDoS 攻击体系包括黑客主机(Attacker)、控制服务器(Handler)、攻击执行器(Agent)、和受害主机(Victim)四部分。在整个攻击体系中最重要的是控制和攻击傀儡机，它们分别起控制攻击和实际发起攻击的作用。
通常黑客在发起 DDoS 攻击时首先是在网络上寻找有漏洞的主机并试图入侵，如果入侵成功就在其上安装木马程序或后门:然后在各入侵主机上安装攻击软件，包括攻击服务器和攻击执行器两种攻击软件;最后黑客从控制台向各控制服务器发出对某一特定目标的攻击命令，制造数以百万计的数据分组流入受害主机，致使目标主机极度拥塞，从而造成目标主机的瘫痪。

DDoS攻击过程
据CNCERT 监测发现，我国2021年上半年境内目标遭受峰值流量超过 Gbps的大流量攻击事件的主要攻击方式为 TCPSYN Flood、UDP Flood、NTP Amplification、DNS Amplification、 TCP ACK Flood 和 SSDP Amplification ，这6种攻击的事件占比达到96.1%;攻击目标主要位于浙江省、山东省、江苏省、广东省、北京市、福建省、上海市等地区，这7个地区的事件占比达到81.7%;1月份是上半年攻击最高峰，攻击较为活跃;数据显示攻击时长不超过 30分钟的攻击事件占比高达 96.6% ，此类攻击比例进一步上升，表明攻击者越来越倾向利用大流量攻击，瞬间打瘫攻击目标，以便对外提供更多服务并非法获利。 DDoS难以预防主要体现在以下几点：

(1)分布式
DDoS 攻击是通过联合或控制分布在不同地点的若干台攻击机向受害主机发起的协同攻击。分布式的特点不仅增加了攻击强度，更加大了抵御攻击的难度。
(2)易实施
在现实网络中，充斥着大量的 DDoS 攻击工具，它们大多方便快捷，易于利用。
即使是手段不甚高明的攻击者，也可以直接从网络上下载工具组织攻击。
(3)欺骗性
伪造源IP地址可以达到隐蔽攻击源的目的，而普通的攻击源定位技术难以对这种攻击实现追踪。准确定位攻击源，是识别伪造源IP的重点，当前的大部分IP定位技术大多都只能定位到攻击网络边界路由器或代理主机。
(4)隐蔽性
对于一些特殊的攻击包，它们的源地址和目标地址都是合法的。例如在 HTTPFlood 攻击中，就可以利用真实的 IP 地址发动 DDoS 攻击。这种貌似合法的攻击包没有明显的特征，因而难以被预防系统识别，使得攻击更隐蔽，更难追踪，所以怎样识别恶意IP ，甚至是动态恶意IP至关重要。
(5)破坏性
DDoS 攻击借助大量的傀儡主机向目标主机同时发起攻击，攻击流经过多方汇集后可能变得非常庞大。另外，加上它兼具分布性，隐蔽性及欺骗性等特点，使其不仅能避过常规的防御系统，甚至还会造成严重的经济损失。
新技术的不断催生，导致 DDoS 攻击结合新技术演变出多种类型，攻击者不再满足于单一类的攻击，而是使用多种攻击相结合的方法。如 DDoS 结合 IoT 的攻击，通过感染大量的物联网设备发起流量高达 1TB 每秒的攻击。图片显示了 2017 年到 2019 年间最频繁的三种DDoS 攻击：应用层攻击的占比也在不断地增长，其中 SSDP 反射攻击和 DNS 反射攻击分别在 2018 年和2019 年达到第一。

而且网络层的攻击依然活跃，对于缺乏防御的主机，网络层攻击带来的效果仍然十分显著。这类混合攻击破坏性更大，同时更加难以防御。