内容摘要：拿Kali当DDoS发射台，这事比大多数人想的要蠢。去年有个做安全运维的朋友给我看他们机房的流量图，凌晨两点，来自三十多个不同VPS的UDP包突然把一台对外API服务器打满，峰值12Gbps。追下去发

拿Kali当DDoS发射台，实现这事比大多数人想的攻击要蠢。去年有个做安全运维的实现朋友给我看他们机房的流量图，凌晨两点，攻击来自三十多个不同VPS的实现UDP包突然把一台对外API服务器打满，峰值12Gbps。攻击追下去发现攻击源全是实现Kali默认镜像里预装的工具——hping3、slowloris、攻击还有那个老掉牙的实现t50。攻击者甚至没改默认的攻击TTL值，抓包一看全是实现64，跟教科书似的攻击。

Kali本身不是实现为DDoS设计的。它是攻击个渗透测试发行版，预装工具偏向单点漏洞利用和协议分析。实现但架不住有人图省事。hping3一条命令就能伪造源IP发SYN洪水，命令大概是hping3 -S --flood -V -p 80 target_ip，跑起来CPU直接拉满。问题是单台机器发包量有限，家宽上行撑死50Mbps，打小站点够用，稍微有点防护的CDN节点根本无感。于是有人开始用Kali搭僵尸网络——找一批有漏洞的服务器，SSH弱口令或者Redis未授权，批量装Kali的minimal版，再写个cron定时执行攻击脚本。这路子野，但效率低得可怜。

真正让Kali在DDoS圈子里“出名”的是它集成了几个反射放大工具。比如mausezahn，能构造DNS/NTP/Memcached的放大查询。Memcached那个经典漏洞，一个203字节的请求能换回50KB响应，放大倍数超过50000倍。Kali里跑mausezahn eth0 -A rand -B target_ip -t udp "dp=11211,sp=12345" -P "0x0000..."，配合一个开放的Memcached列表，能轻松打出上百Gbps。但这里有个坑：Kali默认没开IP转发和伪造校验，流量特征太明显，稍微像样的ISP都会直接黑洞路由。

我见过最离谱的案例是个大学生，用Kali的slowhttptest打学校选课系统。参数调成-c 2000 -H -X，模拟慢速POST，把Apache的MaxRequestWorkers占满。系统确实挂了十分钟，但他自己的校园网IP被防火墙标记，第二天就被叫去喝茶。慢速攻击对Kali来说太“温柔”了，效果取决于目标服务器的超时配置，打云原生架构基本没用——K8s的ingress controller默认30秒就掐连接。

说点实际的。用Kali做DDoS测试，唯一合理的场景是授权压力测试。比如你负责一个游戏服务器，想知道能扛多少并发连接。这时候用hping3发小规模SYN洪水，配合iftop看带宽曲线，比用商业压测工具更直接。但千万别碰反射放大——那玩意儿的流量会经过第三方网络，属于实打实的违法行为。有个做DDoS防护的工程师跟我说过，他们抓到的Kali攻击流量里，90%以上是脚本小子直接复制粘贴的教程命令，连--rand-source都没加，溯源起来跟送人头一样。

Kali的DDoS工具链其实很脆弱。t50最后一次更新是2014年，hping3的维护者也早就不管了。现代DDoS靠的是IoT僵尸网络和云函数滥用，谁还手动敲命令。真要研究攻击原理，不如去读mirai的源码，或者搭个boomerang流量回放环境。拿Kali当武器，就像用螺丝刀撬保险柜——工具不对，动静还大。

最后提一句，Kali官方文档里明确写了：这些工具仅限授权测试。但总有人觉得“我就打一下试试”。去年某省公安厅通报的DDoS案件里，嫌疑人用的就是Kali默认的ddosim，攻击了一个地方论坛，造成四小时服务中断。判了八个月，缓刑一年。工具没罪，手贱有罪。