doss攻击软件

2016年秋天，攻击一个叫“Mirai”的软件僵尸网络把半个美国的互联网打瘫了。Twitter、攻击Netflix、软件Reddit，攻击全趴了。软件事后追查，攻击攻击流量来自几十万台被感染的软件摄像头和路由器——默认密码没改，被一个叫“DDoS攻击软件”的攻击东西批量扫走了控制权。

这就是软件DDoS攻击软件的真实面目。它不是攻击什么电影里那种黑客敲几行代码就黑进五角大楼的酷炫工具。说白了，软件它是攻击一套自动化程序，核心功能就三件事：扫描、软件感染、攻击发射。

扫描：找那些没锁门的路

我翻过一份2018年泄露的DDoS工具包源码。里面的扫描模块写得很糙，就是拿一份IP段列表，逐个尝试常见端口，再用一个内置的弱密码字典去撞SSH和Telnet。字典里排前三的是“admin”、“123456”和“root”。你猜怎么着？这套粗糙的东西，在2016年那会儿，一小时能拿下上万台设备。

物联网设备是重灾区。摄像头、DVR、智能插座，出厂密码清一色是“admin/admin”。用户买回来插上电就不管了。攻击软件最喜欢这种——连密码都不用猜，直接登录，植入一个几KB的守护进程，完事。

感染：像寄生虫一样赖着不走

被感染的设备会变成“肉鸡”。一台肉鸡不值钱，但十万台同时向一个目标发请求，那就是洪水。2018年GitHub遭遇的那次1.35 Tbps攻击，峰值流量比之前记录高了整整一倍。靠的就是Memcached这种内存缓存系统——攻击者把请求放大了几万倍，一台服务器就能制造出惊人的流量。

感染之后，软件会做两件事：一是隐藏自己，改进程名，删日志；二是等指令。控制端通过IRC频道或者一个简单的HTTP接口下发目标IP和攻击时长。整个过程自动化，操作者可能只是个十几岁的脚本小子，连TCP三次握手都讲不清楚。

发射：流量就是武器

发射模块分两类。一类是“直接打”，用UDP洪水、SYN洪水硬怼带宽。另一类是“反射放大”，伪造受害者IP，向DNS、NTP、Memcached服务器发查询请求，让这些服务器把几十倍大的响应包砸向受害者。后者更阴——你根本找不到真正的攻击源。

我见过一个叫“HOIC”的工具，界面简陋得像上世纪的Windows软件。但它能让一个新手在五分钟内发起一场足以让中型网站掉线的攻击。低门槛，才是这类软件最可怕的地方。

写这些软件的人，图什么？

有人卖钱。一个带“压力测试”幌子的DDoS工具，月费几十美元，买家多是游戏私服运营者，用来打竞争对手。有人炫技。GitHub上至今能找到不少“教育用途”的DDoS脚本，注释里写着“仅供学习”，但跑起来一点不含糊。还有人纯粹是搞破坏。

执法机构不是没动作。FBI在2018年端掉了“webstresser.org”，那是个有十几万注册用户的DDoS租赁平台。但抓了一个，冒出三个。代码一旦开源，就收不回去了。

防御端也在进化。Cloudflare、Akamai这些公司靠清洗流量吃饭，机器学习模型实时识别异常模式。但攻击流量每年还在涨。2023年那波HTTP/2 Rapid Reset攻击，峰值破了记录，靠的是协议本身的漏洞——你没法靠打补丁解决，只能硬扛。

写到这里，我想起一个安全圈朋友的话：“DDoS攻击软件就像一把万能钥匙，只不过它开的不是你家门，是整栋楼的门。”物联网设备的安全欠账，协议设计的先天缺陷，加上攻击工具的低门槛化，这三样凑在一起，DDoS这事儿，短期内看不到头。

本文地址：http://www.79wt.cn/news/357a1699626.html