摘要: 在DDoS的范围里面，打击工具饰演着一个重要的角色，因为事实上的DDoS打击，都是依靠打击工具来实施的。因此对它们进行全面的分析，了解其孕育产生的打击类型、打击实施的方法特点，将有助于给与更准确有效的清洗要领来对应打击的威胁。 打击类型 DDoS存在的原因主要是...

在DDoS的范围里面，打击工具饰演着一个重要的角色，因为事实上的DDoS打击，都是依靠打击工具来实施的。因此对它们进行全面的分析，了解其孕育产生的打击类型、打击实施的方法特点，将有助于给与更准确有效的清洗要领来对应打击的威胁。

打击类型

DDoS存在的原因主要是以太网TCP/IP协议栈的设计缝隙，即任何连接网络的主机都可以发送任意的IP报文，无须进行身份认证。IP网络是”尽力发送”网络，只要网络带宽足够大，就可以发送大量报文，打击工具正是操作这特性得以存在和成长。

对打击工具事情道理的分析，并不是去了解它们的实现设计，而是分析其所孕育产生的打击类型，深入了解打击类型才是研究工具的核心。凡是打击分类可以从协议层面和被打击方针的影响方法差别来划分。

协议层别划分的打击类型主要有传输层打击和应用层打击。传输层打击对照范例的代表就是SYN flood、ACK flood、UDP Flood，而应用层打击的代表则是HTTP flood，DNS flood，SIP flood。此外一种是依据对方针处事器影响的差别方法来划分的打击类型，它们分袂是以消耗方针处事器资源和消耗网络带宽为目的的打击。消耗方针处事器资源的打击凡是对协议栈道理有更深入的理解，好比SYN flood打击，就是操作被打击方针对SYN 报文分配资源没有释放的缺陷而到达目的，实施这种打击无须大流量。以消耗方针处事器带宽资源的打击则是以流量大取胜，对照范例的有UDP flood。从表1列出的工具可以看出，大大都工具是孕育产生的打击是以方针资源消耗型为方针，而且有能够模拟协议栈行为，好比完成TCP的三次握手。

打击实施方法特点

打击工具要浮现出更大的威力，凡是会设计一种良好的流量打击方法，让打击更难于防护和发明。对照常见的方法就是操作僵尸网络倡议打击。如果僵尸网络主机数量对照复杂，那么不管是在应用层还是传输层，对方针处事器的资源消耗和网络带宽的影响城市对照大。如果打击工具能够模拟完整的协议栈，那么防护设备的防御难度越大，因为大部分防护技术都是基于协议栈的动态交互来实现身份认证的。好比SYN flood防护中的SYN COOKIE 算法，如果客户端能够完成正常3次握手，就可以打破这个算法。虽然大大都打击工具能够完成传输层协议栈的模拟，但实现完整应用层协议栈的模拟则对照少，主要原因在于应用层协议对照庞大。 如表1所示的SlowHTTPTest能够完成正常的三次握手，然后操作应用层协议缝隙倡议打击。

总结起来打击工具的成长有如下几个特点：

操作应用层协议栈缝隙倡议的工具对照多。大部分集中在基于web业务的打击，其它应用层协议如DNS、SIP相比拟较少。

能够模拟协议栈行为包孕应用层和传输层的打击工具是未来成长的趋势，实现应用层协议模拟的防御难度会更大。

打击工具已经逐渐朝越发隐蔽的方法，以能独霸更大规模的僵尸网络为方针标的目的挺进，好比DirtJumper。

基于应用层协议缝隙的打击工具会越来越多，由于能够通过较少流量到达打击目的，对业务的风险对照大。

打击工具的防御

打击工具的防御，一方面可以从根本设施的改造来缓解打击影响，好比带宽扩容，增强处事器的措置惩罚惩罚性能、给与合理的网络部署布局等。此外一方面可以在网络界限收支口给与专用的防御技术。目前行之有效的防护要领主要有4大类：

1.动态挑战算法

模拟传输层和应用层协议栈行为，取代处事器回应数据报文，对正常的客户端发送挑战报文，只有完成挑战认证的客户真个流量才华放行。动态挑战算法对照常用的有SYNCookie, DNS Ncookie和SIP cookie。

2.多条理限速

基于各类粒度和条理，分袂从源IP、方针IP、传输层和应用层session，对IP流量进行限制。这是对流量型打击常用的防护要领，好比UDP Flood，ICMP Flood。

3.智能的访谒控制

从三层到7层灵活的访谒控制计谋。从IP地点到7层应用层协议，好比HTTP协议，可对报文的URL，user-agent，cookie设置抛弃、信任和限速计谋，而对DNS协议，则可对报文中QUERY名字、类型、RR记录设置类似计谋。

4.行为分析和信誉机制