内容摘要：2016年10月21日，美国东海岸的网民发现Twitter、Netflix、Spotify集体瘫痪。不是服务器宕机，是有人用一堆联网摄像头和打印机，把DNS服务商Dyn的带宽塞满了。那次攻击峰值流量1

2016年10月21日，攻击美国东海岸的教学网民发现Twitter、Netflix、攻击Spotify集体瘫痪。教学不是攻击服务器宕机，是教学有人用一堆联网摄像头和打印机，把DNS服务商Dyn的攻击带宽塞满了。那次攻击峰值流量1.2Tbps——相当于同时下载12万部高清电影。教学这就是攻击DDoS，Distributed Denial of Service，教学分布式拒绝服务。攻击说白了，教学就是攻击叫一大群“僵尸”去挤爆你家大门，让真正想进来的教学人进不去。

攻击原理不复杂。攻击你开了一家店，门口只有一条路。正常客人一个一个进。攻击者雇了十万个人，同时涌到路口，不买东西，就堵着。路被占满，真顾客进不来，店就废了。网络世界同理，服务器处理请求的能力有限，攻击者用大量伪造的请求淹没它，CPU跑满，内存耗尽，带宽占光，合法用户连接超时。

具体怎么实现？最常见的是SYN Flood。TCP连接建立要三次握手——客户端发SYN，服务器回SYN-ACK，客户端再发ACK。攻击者发一堆SYN，但不回最后的ACK。服务器傻等着，每个半开连接都占着资源。几千个这种半连接就能拖垮一台服务器。还有UDP Flood，直接往目标端口灌垃圾数据包，不跟你讲道理。HTTP Flood更阴，伪装成正常浏览器请求，一秒钟发几千次GET，服务器得真去查数据库、渲染页面，资源消耗比SYN攻击大得多。

真正让DDoS难防的是“僵尸网络”。攻击者用恶意软件感染智能设备——路由器、监控摄像头、智能冰箱——这些设备算力弱、防护差，被控制后浑然不觉。2016年那次的Mirai僵尸网络，感染了超过60万台物联网设备。你家里那个吃灰的旧路由器，可能正在帮别人攻击某个游戏服务器。这感觉就像你家门锁被撬了，小偷不偷东西，反而用你家水管往邻居家灌水。

防御手段嘛，有几种思路。流量清洗是主流做法——把流量引到专门的清洗设备，识别并丢弃恶意请求，把干净的放回服务器。云服务商比如Cloudflare、阿里云都有这种服务，按防御能力收费。但问题在于，攻击流量超过你买的清洗带宽上限，照样瘫。另一种是限速和黑名单，简单粗暴，但对付分布式攻击效果有限——攻击IP分散在全世界，封不过来。更聪明的做法是行为分析，比如同一IP每秒请求超过阈值就临时拉黑，但攻击者会换IP，道高一尺魔高一丈。

说实话，没有绝对安全的防御。DDoS攻击成本极低——租一个僵尸网络一小时大概几百块人民币，但防御成本高得多。中小企业买不起高端清洗服务，只能裸奔。我见过一个电商创业公司，被竞争对手雇人打了三天，直接损失几十万订单，最后没办法，报警了，但警察也难查——攻击者用比特币付款，服务器在海外，追踪链路断在某个东欧国家。

个人能做的不多。别乱下载来路不明的软件，路由器默认密码赶紧改，智能设备固件勤更新——你少给僵尸网络添一个“兵”，就是对网络世界做贡献。至于防御，如果你是站长，至少把Cloudflare的免费版开上，能挡掉大部分低强度攻击。真想深入了解，去GitHub搜“DDoS test tools”，但记住，拿别人网站练手是违法的，判刑那种。

攻击与防御的军备竞赛还在继续。攻击者用AI生成更难识别的流量，防御方用机器学习训练检测模型。这场猫鼠游戏没有终点，但至少，你现在知道你家摄像头为什么偶尔发热了——它可能正在参与一场远方的战争。