DDoS 攻擊是在線業(yè)務的主要問題。根據(jù)Akamai 的2015 年第三季度安全報告，DDoS 攻擊總數(shù)增加了 179.66%！該數(shù)字表明，在過去兩年中，犯罪分子、激進主義者和黑客出于惡意原因攻擊了數(shù)量驚人的企業(yè)。它不僅會拒絕為企業(yè)用戶提供服務，還會導致昂貴的賬單。一些 DDoS 攻擊甚至可能對企業(yè)造成經(jīng)濟損失！從嘗試使用基于 ping 命令的 ICMP 回聲請求來淹沒目標到多向量攻擊，多年來，DDoS 攻擊變得越來越復雜。在這篇文章中，我們將看看不同類型的 DDoS 攻擊。以下是不同 DDoS 攻擊類型的列表。

1、應用級攻擊

DDoS 攻擊可以針對特定應用程序或編碼錯誤的網(wǎng)站來利用其弱點并因此關閉整個服務器。WordPress（我們現(xiàn)在提供網(wǎng)絡上最好的 WordPress 托管）和 Joomla 是兩個可以針對耗盡服務器資源（RAM、CPU 等）的應用程序示例。數(shù)據(jù)庫也可以通過旨在利用這些漏洞的 SQL 注入進行攻擊。由于資源耗盡，耗盡的服務器將無法處理合法請求。存在安全漏洞的網(wǎng)站和應用程序也容易受到希望竊取信息的黑客的攻擊。

2、零日 (0day) DDoS

這是一個標準術語（如 John Doe），用于描述利用新漏洞的攻擊。這些零日 DDoS 漏洞沒有補丁或有效的防御機制。

3、平洪水

作為 ICMP 洪水的演進版本，這種 DDoS 攻擊也是特定于應用程序的。當服務器從非常大的源 IP 集收到大量欺騙性 Ping 數(shù)據(jù)包時，它就會成為 Ping Flood 攻擊的目標。這種攻擊的目標是用 ping 數(shù)據(jù)包淹沒目標，直到它脫機。它旨在消耗網(wǎng)絡中所有可用的帶寬和資源，直到它完全耗盡并關閉。這種類型的 DDoS 攻擊也不容易被檢測到，因為它很容易類似于合法流量。

4、IP空攻擊

數(shù)據(jù)包包含 IPv4 標頭，這些標頭攜帶有關正在使用的傳輸協(xié)議的信息。當攻擊者將此字段的值設置為零時，這些數(shù)據(jù)包可以繞過旨在掃描 TCP、IP 和 ICMP 的安全措施。當目標服務器嘗試放置處理這些數(shù)據(jù)包時，它最終會耗盡其資源并重新啟動。

5、CharGEN 洪水

這是一個非常古老的協(xié)議，可用于執(zhí)行放大攻擊。CharGEN 放大攻擊是通過向運行 CharGEN 的支持互聯(lián)網(wǎng)的設備發(fā)送攜帶目標欺騙 IP 的小數(shù)據(jù)包來執(zhí)行的。然后使用這些對此類設備的欺騙請求將 UDP 泛洪作為這些設備的響應發(fā)送到目標。大多數(shù)支持 Internet 的打印機、復印機等默認啟用此協(xié)議，可用于執(zhí)行 CharGEN 攻擊。這可用于在端口 19 上使用 UDP 數(shù)據(jù)包泛洪目標。當目標嘗試理解這些請求時，它會失敗。服務器最終將耗盡其資源并脫機或重新啟動。

6、SNMP泛洪

與 CharGEN 攻擊一樣，SNMP 也可用于放大攻擊。SNMP 主要用于網(wǎng)絡設備。SNMP 放大攻擊是通過向運行 SNMP 的支持 Internet 的設備發(fā)送攜帶目標欺騙 IP 的小數(shù)據(jù)包來執(zhí)行的。然后使用這些對此類設備的欺騙請求將 UDP 泛洪作為這些設備的響應發(fā)送到目標。但是，與CHARGEN 和DNS 攻擊相比，SNMP 中的放大效果可能更大。當目標試圖理解這種大量的請求時，它最終將耗盡其資源并離線或重新啟動。

7、NTP洪水

NTP 協(xié)議是另一種可公開訪問的網(wǎng)絡協(xié)議。NTP 放大攻擊還通過向運行 NTP 的啟用 Internet 的設備發(fā)送攜帶目標欺騙 IP 的小數(shù)據(jù)包來執(zhí)行。然后使用這些對此類設備的欺騙請求將 UDP 泛洪作為這些設備的響應發(fā)送到目標。當目標試圖理解這種大量的請求時，它最終將耗盡其資源并離線或重新啟動。

8、SSDP 洪水

支持 SSDP 的網(wǎng)絡設備也可以從 Internet 訪問 UPnP，這些設備是生成 SSDP 放大泛洪的簡單來源。SSDP 放大攻擊也是通過向設備發(fā)送帶有欺騙目標 IP 的小數(shù)據(jù)包來進行的。這些對此類設備的欺騙請求用于將 UDP 泛洪作為這些設備的響應發(fā)送到目標。當目標試圖理解這種大量的請求時，它最終將耗盡其資源并離線或重新啟動。

9、其他放大的 DDoS 攻擊

所有放大攻擊都使用上述針對 CHARGEN、NTP 等的相同策略。 已被確定為可能進行放大洪水攻擊的其他 UDP 協(xié)議美國 CERT 是：

SNMPv2

網(wǎng)絡BIOS

QOTD

比特流

卡德

地震網(wǎng)絡協(xié)議

蒸汽協(xié)議

10、碎片化的 HTTP Flood

在這個針對已知漏洞的復雜攻擊示例中，具有有效 IP 的 BOT 用于與 Web 服務器建立有效的 HTTP 連接。然后，HTTP 數(shù)據(jù)包被機器人分割成小片段，并在超時之前盡可能慢地發(fā)送到目標。這種方法允許攻擊者在不警告任何防御機制的情況下長時間保持連接處于活動狀態(tài)。攻擊者可以使用一個 BOT 啟動多個未被檢測到的、擴展的和消耗資源的會話。Apache 等流行的 Web 服務器沒有有效的超時機制。這是一個 DDoS 安全漏洞，可以利用一些 BOT 來停止 Web 服務。

11、HTTP泛濫

BOT 的真實 IP 用于避免懷疑。用于執(zhí)行攻擊的 BOT 數(shù)量與此攻擊的源 IP 范圍相同。由于 BOT 的 IP 地址沒有被欺騙，因此防御機制沒有理由標記這些有效的 HTTP 請求。一個 BOT 可用于發(fā)送大量 GET、POST 或其他 HTTP 請求以執(zhí)行攻擊。可以在 HTTP DDoS 攻擊中組合多個機器人以完全癱瘓目標服務器。

12、單會話 HTTP 泛洪

攻擊者可以利用 HTTP 1.1 中的漏洞從單個 HTTP 會話發(fā)送多個請求。這允許攻擊者從少數(shù)會話發(fā)送大量請求。換句話說，攻擊者可以繞過 DDoS 防御機制對允許的會話數(shù)量施加的限制。Single Session HTTP Flood 還以服務器資源為目標，觸發(fā)系統(tǒng)完全關閉或性能不佳。

13、單請求 HTTP 泛洪

當防御機制演變?yōu)樽柚乖S多傳入的數(shù)據(jù)包時，像 Single Packet HTTP Flood 這樣的攻擊被設計為具有變通方法來躲避這些防御。HTTP 泛洪的這種演變利用了 HTTP 技術中的另一個漏洞。通過在一個 HTTP 數(shù)據(jù)包中屏蔽這些請求，單個 HTTP 會話可以發(fā)出多個 HTTP 請求。這種技術通過將數(shù)據(jù)包速率保持在允許的限制內(nèi)，使攻擊在耗盡服務器資源的同時保持不可見。

14、遞歸 HTTP GET Flood

要使攻擊非常成功，它必須盡可能長時間不被發(fā)現(xiàn)。不被發(fā)現(xiàn)的最佳方法是在執(zhí)行另一次攻擊時保持在所有限制范圍內(nèi)，以合法請求的形式出現(xiàn)。遞歸 GET 通過收集頁面或圖像列表并看起來正在瀏覽這些頁面或圖像來自行實現(xiàn)這一點。這種攻擊可以與 HTTP 泛洪攻擊結合使用，以獲得最大的影響。

15、隨機遞歸 GET Flood

這種攻擊是遞歸 GET 攻擊的一種專門構建的變體。它專為論壇、博客和其他具有順序頁面的網(wǎng)站而設計。像遞歸 GET 一樣，它似乎也在遍歷頁面。由于頁面名稱是按順序排列的，為了保持合法用戶的外觀，它每次使用來自有效頁面范圍的隨機數(shù)來發(fā)送新的 GET 請求。隨機遞歸 GET 還旨在通過大量 GET 請求降低其目標的性能并拒絕對真實用戶的訪問。

16、多向量攻擊

我們討論了攻擊者將遞歸 GET 攻擊與 HTTP 泛洪攻擊相結合來放大攻擊的效果。這只是攻擊者同時使用兩種類型的 DDoS 攻擊來攻擊服務器的一個例子。攻擊還可以結合多種方法，讓處理 DDoS 攻擊的工程師感到困惑。這些攻擊是最難處理的，并且能夠摧毀一些受到最佳保護的服務器和網(wǎng)絡。

17、同步泛濫

這種攻擊利用了客戶端、主機和服務器之間的三路 TCP 通信過程的設計。在這個過程中，客戶端通過生成一個 SYN 數(shù)據(jù)包來發(fā)起一個新的會話。主機分配并檢查這些會話，直到它們被客戶端關閉。為了實施SYN Flood攻擊，攻擊者從欺騙性IP地址向目標服務器發(fā)送大量SYN數(shù)據(jù)包。這種攻擊一直持續(xù)到耗盡服務器的連接表內(nèi)存——存儲和處理這些傳入的 SYN 數(shù)據(jù)包。結果是由于資源耗盡，服務器無法處理合法請求，直到攻擊持續(xù)。

18、SYN-ACK 泛洪

該 DDoS 攻擊利用了三向 TCP 通信過程的第二步。在此步驟中，偵聽主機生成 SYN-ACK 數(shù)據(jù)包以確認傳入的 SYN 數(shù)據(jù)包。在 SYN-ACK Flood 攻擊中，大量欺騙性 SYN-ACK 數(shù)據(jù)包被發(fā)送到目標服務器。當服務器嘗試處理大量請求時，攻擊試圖耗盡服務器的資源——其 RAM、CPU 等。結果是由于資源耗盡，服務器無法處理合法請求，直到攻擊持續(xù)。

19、ACK & PUSH ACK洪水

在活動的 TCP-SYN 會話期間，ACK 或 PUSH ACK 數(shù)據(jù)包會在主機和客戶端機器之間傳送信息，直到會話持續(xù)。在 ACK & PUSH ACK 泛洪攻擊期間，大量欺騙性 ACK 數(shù)據(jù)包被發(fā)送到目標服務器以對其進行壓縮。由于這些數(shù)據(jù)包沒有與服務器連接列表上的任何會話鏈接，因此服務器在處理這些請求上花費了更多的資源。結果是由于資源耗盡，服務器無法處理合法請求，直到攻擊持續(xù)。

20、ACK分片泛濫

在這種消耗帶寬的 ACK & PUSH ACK Flood 攻擊中使用了分段的 ACK 數(shù)據(jù)包。為了執(zhí)行此攻擊，將 1500 字節(jié)的分段數(shù)據(jù)包發(fā)送到目標服務器。這些數(shù)據(jù)包更容易在不被檢測到的情況下到達它們的目標，因為它們通常不會被路由器在 IP 級別重新組裝。這允許攻擊者通過路由設備發(fā)送少量包含不相關數(shù)據(jù)的數(shù)據(jù)包以消耗大量帶寬。這種攻擊通過嘗試消耗網(wǎng)絡中的所有可用帶寬來影響目標網(wǎng)絡中的所有服務器。

21、RST/FIN 洪水

在成功的三路或四路 TCP-SYN 會話之后，服務器交換 RST 或 FIN 數(shù)據(jù)包以關閉主機和客戶端機器之間的 TCP-SYN 會話。在 RST 或 FIN Flood 攻擊中，目標服務器收到大量不屬于目標服務器上任何會話的欺騙性 RST 或 FIN 數(shù)據(jù)包。當服務器嘗試處理這些無效請求時，攻擊試圖耗盡服務器的資源——它的 RAM、CPU 等。結果是由于資源耗盡，服務器無法處理合法請求。

22、同義IP攻擊

為了關閉服務器，大量攜帶目標服務器源 IP 和目標 IP 的 TCP-SYN 數(shù)據(jù)包被發(fā)送到目標服務器。即使數(shù)據(jù)包攜帶目標服務器的源和目標 IP 信息，這些數(shù)據(jù)也并不重要。Synonymous IP 攻擊的目標是耗盡服務器的資源——RAM、CPU 等，因為它試圖計算這個異常。由于資源耗盡，耗盡的服務器將無法處理合法請求。

23、欺騙性會話泛濫

上述一些 DDoS 攻擊無法欺騙大多數(shù)現(xiàn)代防御機制，但 DDoS 攻擊也在不斷發(fā)展以繞過這些防御。假會話攻擊試圖通過攜帶一個 SYN、多個 ACK?? 和一個或多個 RST 或 FIN 數(shù)據(jù)包，偽裝成有效的 TCP 會話來繞過安全性。這種攻擊可以繞過僅監(jiān)控網(wǎng)絡上傳入流量的防御機制。這些 DDoS 攻擊還可能耗盡目標的資源并導致系統(tǒng)完全關閉或無法接受的系統(tǒng)性能。

24、多個 SYN-ACK 欺騙性會話泛濫

這一版本的假會話攻擊包含多個 SYN 和多個 ACK?? 數(shù)據(jù)包以及一個或多個 RST 或 FIN 數(shù)據(jù)包。多重 SYN-ACK 假會話是演進 DDoS 攻擊的另一個例子。它們被更改為繞過防御機制，這些防御機制依賴于非常具體的規(guī)則來防止此類攻擊。與 Fake Session 攻擊一樣，這種攻擊也可以耗盡目標的資源并導致系統(tǒng)完全關閉或無法接受的系統(tǒng)性能。

25、多重 ACK 欺騙會話泛濫

在這個版本的 Fake Session 中完全跳過了 SYN。多個 ACK?? 數(shù)據(jù)包用于開始和攜帶攻擊。這些ACK包后面跟著一個或多個RST或FIN包，完成TCP會話的偽裝。與最初的 SYN-Flood 攻擊相比，這些攻擊往往更容易受到關注，因為它們產(chǎn)生的 TCP-SYN 流量較低。與其來源一樣，Multiple ACK Fake Session 攻擊也可以耗盡目標的資源并導致系統(tǒng)完全關閉或無法接受的系統(tǒng)性能。

26、會話攻擊

為了繞過防御，該攻擊使用被用來執(zhí)行攻擊的 BOT 的真實 IP 地址，而不是使用欺騙性 IP。用于執(zhí)行攻擊的 BOT 數(shù)量與此攻擊的源 IP 范圍相同。這種攻擊是通過在 BOT 和目標服務器之間創(chuàng)建 TCP-SYN 會話來執(zhí)行的。這個會話然后通過延遲 ACK 數(shù)據(jù)包被延長，直到它超時。會話攻擊試圖通過這些空會話耗盡服務器的資源。這反過來又會導致系統(tǒng)完全關閉或無法接受的系統(tǒng)性能。

27、濫用應用程序攻擊

攻擊者首先入侵托管高流量應用程序（如 P2P 服務）的客戶端計算機。然后，來自這些客戶端機器的流量被重定向到目標服務器。目標服務器在嘗試接受和協(xié)商過多的流量時會耗盡其資源。在這種情況下不會觸發(fā)防御機制，因為被黑的客戶端計算機實際上是在嘗試與目標服務器建立有效連接。成功將流量重定向到目標后，隨著攻擊的進行，攻擊者會脫離網(wǎng)絡并變得無法追蹤。濫用應用程序攻擊的目標是服務器的資源，并試圖將其關閉或破壞其性能。

28、UDP泛洪

顧名思義，在這種類型的 DDoS 攻擊中，服務器被 UDP 數(shù)據(jù)包淹沒。與 TCP 不同，客戶端和主機之間沒有端到端的通信過程。這使得防御機制更難識別 UDP Flood 攻擊。大量欺騙性 UDP 數(shù)據(jù)包從大量源 IP 發(fā)送到目標服務器以將其刪除。UDP 泛洪攻擊可以通過在攻擊數(shù)據(jù)包中包含目標服務器的端口和 IP 地址來針對隨機服務器或網(wǎng)絡中的特定服務器。這種攻擊的目標是消耗網(wǎng)絡中的帶寬，直到所有可用帶寬都用完為止。

29、UDP 分片泛濫

它是另一種不易被檢測到的巧妙掩飾的 DDoS 攻擊。此攻擊產(chǎn)生的活動類似于有效流量，并且所有流量都在限制范圍內(nèi)。此版本的 UDP Flood 攻擊發(fā)送較大但碎片化的數(shù)據(jù)包，通過發(fā)送較少的碎片化 UDP 數(shù)據(jù)包來耗盡更多帶寬。當目標服務器試圖將這些不相關且偽造的碎片化 UDP 數(shù)據(jù)包放在一起時，它會失敗。最終，所有可用資源都用完，服務器可能會重新啟動。

30、DNS泛濫

作為最著名的 DDoS 攻擊之一，此版本的 UDP 洪水攻擊是特定于應用程序的 - 在這種情況下為 DNS 服務器。它也是最難檢測和預防的 DDoS 攻擊之一。為了執(zhí)行，攻擊者發(fā)送大量偽造的 DNS 請求數(shù)據(jù)包，這些數(shù)據(jù)包看起來與來自大量源 IP 的真實請求沒有區(qū)別。這使得目標服務器無法區(qū)分合法的 DNS 請求和看似合法的 DNS 請求。在嘗試為所有請求提供服務時，服務器耗盡了其資源。攻擊會消耗網(wǎng)絡中的所有可用帶寬，直到完全耗盡。

31、網(wǎng)絡電話泛濫

此版本的特定于應用程序的 UDP 泛洪針對 VoIP 服務器。攻擊者從一個非常大的源 IP 集發(fā)送大量欺騙性的 VoIP 請求數(shù)據(jù)包。當 VoIP 服務器充斥著欺騙性請求時，它會在嘗試為有效和無效請求提供服務時耗盡所有可用資源。這會重新啟動服務器或損害服務器的性能并耗盡可用帶寬。VoIP 泛洪可以包含固定或隨機源 IP。固定源 IP 地址攻擊不容易被檢測到，因為它會屏蔽自身并且看起來與合法流量沒有區(qū)別。

32、媒體數(shù)據(jù)泛濫

與 VoIP 泛洪一樣，服務器也可能受到音頻和視頻等媒體數(shù)據(jù)的攻擊。攻擊者從一組非常大的源 IP 發(fā)送大量欺騙性媒體數(shù)據(jù)包。當服務器充斥著欺騙性媒體數(shù)據(jù)請求時，它會耗盡所有可用資源和網(wǎng)絡帶寬來處理這些請求。除了使用欺騙性媒體數(shù)據(jù)包攻擊服務器之外，這種攻擊在各方面都類似于 VoIP 泛洪。當這些攻擊使用固定源 IP 時，也很難檢測到它們，因為這使它們具有合法的外觀。該攻擊旨在消耗網(wǎng)絡中所有可用的服務器資源和帶寬，直到完全耗盡。

33、直接 UDP 泛洪

目標服務器受到大量非欺騙性 UDP 數(shù)據(jù)包的攻擊。為了掩蓋攻擊，攻擊者不會欺騙 BOT 的實際 IP 地址。用于執(zhí)行攻擊的 BOT 數(shù)量與此攻擊的源 IP 范圍相同。該攻擊旨在消耗網(wǎng)絡中的所有可用帶寬和資源，直到它完全耗盡并關閉。這種類型的 DDoS 攻擊也不容易檢測，因為它類似于合法流量。

34、ICMP洪水

與 UDP 一樣，ICMP 堆棧也沒有端到端的數(shù)據(jù)交換過程。這使得檢測 ICMP Flood 攻擊變得更加困難。攻擊者從非常大的源 IP 集發(fā)送大量欺騙性 ICMP 數(shù)據(jù)包。當服務器充斥著大量欺騙性 ICMP 數(shù)據(jù)包時，它的資源在嘗試處理這些請求時會耗盡。這種過載會重新啟動服務器或對其性能產(chǎn)生巨大影響。ICMP 泛洪攻擊可以通過在數(shù)據(jù)包中包含目標服務器的端口和 IP 地址來針對隨機服務器或網(wǎng)絡中的特定服務器。這種攻擊的目標是消耗網(wǎng)絡中的帶寬，直到耗盡可用帶寬。

35、ICMP碎片泛濫

此版本的 ICMP Flood 攻擊通過發(fā)送更少的碎片 ICMP 數(shù)據(jù)包來發(fā)送更大的數(shù)據(jù)包以耗盡更多帶寬。當目標服務器試圖將這些沒有關聯(lián)的偽造碎片 ICMP 數(shù)據(jù)包放在一起時，它會失敗。服務器最終耗盡其資源并重新啟動。