传统DDoS攻击有哪些

2000年2月，传统亚马逊、攻击雅虎、传统CNN几乎同时瘫了。攻击不是传统服务器坏了，是攻击有人用几千台“肉鸡”往它们门口泼数据。那会儿没人管这叫DDoS，传统媒体管它叫“网络轰炸”。攻击真正让这个词火起来的传统，是攻击2016年那次——Mirai僵尸网络把半个美国东海岸的互联网搞断线，源头居然是传统几万台摄像头和路由器。

传统DDoS攻击说白了就三种路子：砸带宽、攻击耗连接、传统坑逻辑。攻击砸带宽最粗暴，传统像拿消防水管冲你家门缝。攻击者控制一堆机器，同时往目标IP塞垃圾数据包。UDP洪水是典型代表，不管目标收不收，数据包硬塞过去，把带宽撑爆。我见过一个游戏服务器，平时峰值5Gbps，被打了半小时，流量飙到80Gbps，玩家全掉线，机房直接封IP。

第二种耗连接，玩的是“占着茅坑不拉屎”。TCP三次握手知道吧？攻击者故意不完成第三次握手，让服务器一直等着。这叫SYN Flood，老古董了，1996年就有人写论文分析过。但到现在还有效——因为服务器得为每个半开连接分配内存。一台普通服务器撑死能扛几万个半开连接，攻击者用几千个IP就能把它耗死。有个电商平台跟我聊过，他们被SYN Flood搞崩过，重启后连数据库都损坏了，因为连接池被占满时，正常请求全被拒绝。

第三种最阴，不靠量大，靠“巧”。HTTP慢速攻击算典型——建立连接后，每隔几十秒发一个字节，让服务器以为你还活着。服务器得一直保持这个连接，几百个这样的“僵尸连接”就能占满Apache或Nginx的进程池。更损的是DNS查询攻击，发一个超长域名让服务器去解析，解析不了就卡在那儿。我朋友的公司被这种攻击打过，CPU飙到100%，但流量看着一点都不高，防火墙根本拦不住。

这三种打法还能混着来。比如先SYN Flood把你连接池塞满，再UDP洪水砸带宽，最后用慢速HTTP补刀。2014年针对欧洲某银行的攻击就是这种组合拳，他们安全团队事后分析发现，攻击分三波，每波间隔20分钟，明显是有人在手动调整策略。

现在云服务商都有流量清洗，但传统DDoS还是没绝迹。为啥？因为成本太低。租个僵尸网络一小时才几十美元，而防御方得养着高防机房、备用带宽、WAF集群。更麻烦的是，很多攻击源是物联网设备——你家智能灯泡都可能被人控制去砸别人家的网站。去年我帮一个客户排查，攻击IP里居然有台智能冰箱，厂商固件漏洞一直没打补丁。

传统攻击手法虽然老，但“有效”二字没变。防御方得明白，没有一劳永逸的方案——你今天把SYN Flood挡了，明天人家用ICMP碎片打你。搞安全的都知道，跟DDoS对抗就像打地鼠，你永远不知道下一锤从哪儿落下来。