計算機網路ddos

❶ DDOS攻擊指的是什麼

通過大量合法的請求佔用大量網路資源，以達到癱瘓網路的目的。
1.通過使網路過載來干擾甚至阻斷正常的網路通訊；
2.通過向伺服器提交大量請求，使伺服器超負荷；
3.阻斷某一用戶訪問伺服器；
4.阻斷某服務與特定系統或個人的通訊。
（以下原創，以上復制）
你可以通俗的理解為一大堆人在ping一個ip，按照http規則，你發一個包我要回一個相同大的包作為交換，等ping的人多到能把對方網路帶寬占滿時，就成功進行了DDOS攻擊，讓對方網路變得緩慢甚至無法上網。

❷ ddos攻擊是什麼怎麼阻止伺服器被ddos

DDoS攻擊是由DoS攻擊轉化的，這項攻擊的原理以及表現形式是怎樣的呢？要如何的進行防禦呢？本文中將會有詳細的介紹，需要的朋友不妨閱讀本文進行參考.

DDoS攻擊原理是什麼?隨著網路時代的到來，網路安全變得越來越重要。在互聯網的安全領域，DDoS(Distributed

DenialofService)攻擊技術因為它的隱蔽性，高效性一直是網路攻擊者最青睞的攻擊方式，它嚴重威脅著互聯網的安全。接下來的文章中小編將會介紹DDoS攻擊原理、表現形式以及防禦策略。希望對您有所幫助。

DDoS攻擊原理及防護措施介紹

一、DDoS攻擊的工作原理

1.1 DDoS的定義

DDos的前身 DoS
(DenialofService)攻擊，其含義是拒絕服務攻擊，這種攻擊行為使網站伺服器充斥大量的要求回復的信息，消耗網路帶寬或系統資源，導致網路或系統不勝負荷而停止提供正常的網路服務。而DDoS分布式拒絕服務，則主要利用

Internet上現有機器及系統的漏洞，攻佔大量聯網主機，使其成為攻擊者的代理。當被控制的機器達到一定數量後，攻擊者通過發送指令操縱這些攻擊機同時向目標主機或網路發起DoS攻擊，大量消耗其網路帶和系統資源，導致該網路或系統癱瘓或停止提供正常的網路服務。由於DDos的分布式特徵，它具有了比Dos遠為強大的攻擊力和破壞性。

1.2 DDoS的攻擊原理

如圖1所示，一個比較完善的DDos攻擊體系分成四大部分，分別是攻擊者( attacker也可以稱為master)、控制傀儡機(
handler)、攻擊傀儡機( demon，又可稱agent)和受害著(
victim)。第2和第3部分，分別用做控制和實際發起攻擊。第2部分的控制機只發布令而不參與實際的攻擊，第3部分攻擊傀儡機上發出DDoS的實際攻擊包。對第2和第3部分計算機，攻擊者有控制權或者是部分的控制權，並把相應的DDoS程序上傳到這些平台上，這些程序與正常的程序一樣運行並等待來自攻擊者的指令，通常它還會利用各種手段隱藏自己不被別人發現。在平時，這些傀儡機器並沒有什麼異常，只是一旦攻擊者連接到它們進行控制，並發出指令的時候，攻擊愧儡機就成為攻擊者去發起攻擊了。

圖2 SYN Flooding攻擊流程

3.2 TCP全連接攻擊

這種攻擊是為了繞過常規防火牆的檢查而設計的，一般情況下，常規防火牆大多具備過濾
TearDrop、Land等DOS攻擊的能力，但對於正常的TCP連接是放過的，殊不知很多網路服務程序(如：IIS、
Apache等Web伺服器)能接受的TCP連接數是有限的，一旦有大量的TCP連接，即便是正常的，也會導致網站訪問非常緩慢甚至無法訪問，TCP全連接攻擊就是通過許多僵屍主機不斷地與受害伺服器建立大量的TCP連接，直到伺服器的內存等資源被耗盡面被拖跨，從而造成拒絕服務，這種攻擊的特點是可繞過一般防火牆的防護而達到攻擊目的，缺點是需要找很多僵屍主機，並且由於僵屍主機的IP是暴露的，因此此種DDOs攻擊方容易被追蹤。

3.3 TCP刷 Script腳本攻擊

這種攻擊主要是針對存在ASP、JSP、PHP、CGI等腳本程序，並調用 MSSQL Server、My SQL Server、
Oracle等資料庫的網站系統而設計的，特徵是和伺服器建立正常的TCP連接，不斷的向腳本程序提交查詢、列表等大量耗費資料庫資源的調用，典型的以小博大的攻擊方法。一般來說，提交一個GET或POST指令對客戶端的耗費和帶寬的佔用是幾乎可以忽略的，而伺服器為處理此請求卻可能要從上萬條記錄中去查出某個記錄，這種處理過程對資源的耗費是很大的，常見的資料庫伺服器很少能支持數百個查詢指令同時執行，而這對於客戶端來說卻是輕而易舉的，因此攻擊者只需通過

Proxy代理向主機伺服器大量遞交查詢指令，只需數分鍾就會把伺服器資源消耗掉而導致拒絕服務，常見的現象就是網站慢如蝸牛、ASP程序失效、PHP連接資料庫失敗、資料庫主程序佔用CPU偏高。這種攻擊的特點是可以完全繞過普通的防火牆防護，輕松找一些Poxy代理就可實施攻擊，缺點是對付只有靜態頁面的網站效果會大打折扣，並且有些代理會暴露DDOS攻擊者的IP地址。

四、DDoS的防護策略

DDoS的防護是個系統工程，想僅僅依靠某種系統或產品防住DDoS是不現實的，可以肯定的說，完全杜絕DDoS目前是不可能的，但通過適當的措施抵禦大多數的DDoS攻擊是可以做到的，基於攻擊和防禦都有成本開銷的緣故，若通過適當的辦法增強了抵禦DDoS的能力，也就意味著加大了攻擊者的攻擊成本，那麼絕大多數攻擊者將無法繼續下去而放棄，也就相當於成功的抵禦了DDoS攻擊。

4.1 採用高性能的網路設備

抗DDoS攻擊首先要保證網路設備不能成為瓶頸，因此選擇路由器、交換機、硬體防火牆等設備的時候要盡量選用知名度高、口碑好的產品。再就是假如和網路提供商有特殊關系或協議的話就更好了，當大量攻擊發生的時候請他們在網路接點處做一下流量限制來對抗某些種類的DDoS攻擊是非常有效的。

4.2 盡量避免NAT的使用

無論是路由器還是硬體防護牆設備都要盡量避免採用網路地址轉換NAT的使用，除了必須使用NAT，因為採用此技術會較大降低網路通信能力，原因很簡單，因為NAT需要對地址來回轉換，轉換過程中需要對網路包的校驗和進行計算，因此浪費了很多CPU的時間。

4.3 充足的網路帶寬保證

網路帶寬直接決定了能抗受攻擊的能力，假若僅有10M帶寬，無論採取何種措施都很難對抗現在的
SYNFlood攻擊，當前至少要選擇100M的共享帶寬,1000M的帶寬會更好，但需要注意的是，主機上的網卡是1000M的並不意味著它的網路帶寬就是千兆的，若把它接在100M的交換機上，它的實際帶寬不會超過100M，再就是接在100M的帶寬上也不等於就有了百兆的帶寬，因為網路服務商很可能會在交換機上限制實際帶寬為10M。

4.4 升級主機伺服器硬體

在有網路帶寬保證的前提下，盡量提升硬體配置，要有效對抗每秒10萬個SYN攻擊包，伺服器的配置至少應該為：P4
2.4G/DDR512M/SCSI-HD，起關鍵作用的主要是CPU和內存，內存一定要選擇DDR的高速內存，硬碟要盡量選擇SCSI的，要保障硬體性能高並且穩定，否則會付出高昂的性能代價。

4.5 把網站做成靜態頁面

大量事實證明，把網站盡可能做成靜態頁面，不僅能大大提高抗攻擊能力，而且還給黑客入侵帶來不少麻煩，到現在為止還沒有出現關於HTML的溢出的情況，新浪、搜狐、網易等門戶網站主要都是靜態頁面。

此外，最好在需要調用資料庫的腳本中拒絕使用代理的訪問，因為經驗表明使用代理訪問我們網站的80%屬於惡意行為。

五、總結

DDoS攻擊正在不斷演化，變得日益強大、隱密，更具針對性且更復雜，它已成為互聯網安全的重大威脅，同時隨著系統的更新換代，新的系統漏洞不斷地出現，DDoS的攻擊技巧的提高，也給DDoS防護增加了難度，有效地對付這種攻擊是一個系統工程，不僅需要技術人員去探索防護的手段，網路的使用者也要具備網路攻擊基本的防護意識和手段，只有將技術手段和人員素質結合到一起才能最大限度的發揮網路防護的效能。相關鏈接