内容摘要：2016年秋天，Mirai僵尸网络放倒了大半个美国互联网。Twitter、Netflix、Reddit同时掉线，原因不是黑客攻破了哪台服务器，而是几十万台摄像头和路由器同时向DNS服务商Dyn发请求，

2016年秋天，软件肉鸡Mirai僵尸网络放倒了大半个美国互联网。控制Twitter、软件肉鸡Netflix、控制Reddit同时掉线，软件肉鸡原因不是控制黑客攻破了哪台服务器，而是软件肉鸡几十万台摄像头和路由器同时向DNS服务商Dyn发请求，把管道堵死了。控制这些设备的软件肉鸡主人根本不知道自己的摄像头在干什么——它们就是"肉鸡"。

肉鸡不是控制被偷来的电脑，是软件肉鸡被骗来的。攻击者扫描公网IP段，控制找到开着Telnet或SSH的软件肉鸡IoT设备，用几十个默认密码轮着试一遍。控制admin/admin、软件肉鸡root/123456、user/user。很多设备出厂密码从没改过，因为说明书上压根没提这回事。连上去之后，植入一个几十KB的下载脚本，从C2服务器拉一个bot程序，设备就入伙了。整个过程自动化，一台设备从被发现到被控制，用不了三分钟。

控制端叫什么？有人叫"面板"，有人叫"stresser"，圈子里更常见的说法是"booster"。一个典型的DDoS控制面板长什么样？打开浏览器，输入C2地址，登录后看到一个设备列表——IP、地理位置、在线时长、支持的攻击类型。下面是一排按钮：UDP flood、SYN flood、HTTP flood、DNS amplification。填目标IP和端口，选攻击方式和持续时间，点"Start"。几十万台设备同时开始发包。

我见过一个面板的后台截图。在线设备数：47,000多。大部分来自越南、巴西、印度。设备类型一栏写着"Realtek SDK"、"Huawei Router"、"DVR"。有个"攻击历史"标签页，最近一条记录是对某游戏私服打了300秒UDP flood，峰值流量写的是180Gbps。面板主人还贴心地加了个"自动切换C2"功能，防止主控被查封。

肉鸡的价值不在数量，在带宽。一台被控的家用路由器上行可能只有10Mbps，但十万台同时发包就是1Tbps。攻击者不需要入侵目标服务器，只需要让足够多的"合法请求"同时到达，把带宽或连接表占满。游戏私服、博彩网站、竞争对手的电商站——打瘫一个站的成本，在暗网上可能只要几十美元。有人专门做"压力测试"生意，按小时收费，客户自助下单。

防御方在做什么？Cloudflare和Akamai这类清洗中心靠Anycast把流量分散到全球节点，再通过特征匹配丢弃恶意包。但Mirai之后，攻击流量越来越像正常流量。HTTP flood发的就是完整HTTP请求，跟真人浏览器没区别。清洗中心只能靠速率限制和JS挑战来区分。IoT设备不会执行JS，但攻击者已经开始给bot加无头浏览器了。

更麻烦的是，很多肉鸡根本没法清理。运营商不会因为一台摄像头被控就上门换设备。用户不知道，也不关心。设备继续在线，继续发包。一个Mirai变种被打掉，源码公开了，下一个变种改几行代码就能重新上线。2016年到现在，IoT设备的默认密码问题基本没变。你随便扫一个/24的IP段，总能找到几台还开着23端口的设备。

说句不好听的：只要还有出厂不强制改密码的联网设备，肉鸡就永远抓不完。DDoS攻击的门槛已经低到不需要懂技术——租个面板，填个IP，付比特币，完事。真正在背后数钱的人，可能连TCP三次握手都说不清楚。