DDoS 防护

在 HTTP 淹没攻击中，攻击者会利用表面上合法的 HTTP GET 或 POST 请求来攻击 Web 服务器或应用。此类攻击消耗的带宽通常比其他类型低，但其核心是触发服务器端复杂的处理机制，从而导致目标站点或应用崩溃。HTTP 淹没攻击有时还会触发 Web 服务器响应，进而转化为管道饱和容量攻击。

Slowloris 的工作原理是打开与 Web 服务器间的多个连接，并发送 HTTP 请求，但这些请求没有结尾。攻击者周期性地为每个请求发送后续的 HTTP 标头，但永远不会真正结束。最终，目标服务器的最大并发连接池被占尽，导致合法连接遭拒。

在攻击前的侦查阶段，攻击者会找出站点或应用中计算代价最高的 URL，又称为重型 URL。重型 URL 包含在请求时会加重服务器负载的各种 URL。最初的 HTTP 请求相对较小，但往往需要大量时间才能完成或可能产生巨大的响应规模。此类请求可能会要求服务器加载多个大型文件或运行极其占用资源的数据库查询。

攻击者首先会向 Web 服务器发送合法的 HTTP POST 请求，该请求的标头明确了报文主体必须遵循的具体大小。但随后，报文主体会以极慢的速率发送。由于从技术来说，报文是正确且完整的，因此目标服务器会尝试遵守所有既定的规则。如果攻击者同时建立了大量的 POST 攻击，就会耗尽服务器资源，导致合法请求被拒绝。

攻击者使用多种用户名和密码的组合，通常是字典词汇或常用密码，企图未经授权获得应用或网站的访问权限。

此类攻击最常见的抵御方式是暂时锁定多次尝试登录失败的用户帐户。但这会导致受影响的帐户服务遭拒绝。
 

此类攻击利用了不对称的工作负载，通过请求安全连接并随之不断重协商来发动攻击。这种方式会占用服务器的大量 CPU 资源，导致当前的或新增的连接速度降低，甚至服务器停机。

攻击者会发送大量 TLS/SSL 连接请求，而客户端无法关闭连接。一旦达到了并发连接数的限制，TLS 终止点就会停止处理流量，合法请求也会包含在内。

Squeeze 攻击是 SSL 重协商攻击的一个变体，此类攻击会不断尝试重协商连接握手，迫使服务器解密“垃圾”请求。

典型的重协商攻击需要多路 SSL 握手，在服务器上禁用重协商即可抵御。但 SSL Squeeze 攻击则会为每个请求打开新的 TCP 连接，最终耗尽 I/O。

DNS 服务器依赖于 UDP 协议进行域名解析，但却是无连接的（与 TCP 查询不同）。由于无需确认已收到 UDP 数据包，因此可以轻松完成伪装。

此类脚本化的僵尸网络攻击企图压垮服务器资源，最终影响到 DNS 服务器定向合法请求的能力。此类攻击可能是多个来源的有效 UDP 流量，也可能是随机的数据包数据。这使得此类攻击能够绕过 IP 过滤等最基本的 DDoS 防护技术。
 

DNS 淹没攻击的一个变体，攻击者向 DNS 服务器大量请求无效或不存在的记录。随后，DNS 服务器的资源就会消耗在查找不存在的内容中，而无法响应合法的请求。最终 DNS 服务器的缓存会被不合法的请求占满，导致客户端无法查找到要使用的服务器。

DNS 放大攻击是一类反射型攻击，通过操纵易受攻击的面向互联网的DNS 服务器，导致包含大量 UDP 数据包的互联网资源涌入其中。

攻击者在受其控制的僵尸网络中编写脚本，使其向任意的公开 DNS 解析程序发送规模较小但经过特别构建的 DNS 查询。这会诱使 DNS 解析程序产生不成比例的响应。数据包标头还包含了伪造的 IP 地址，该 IP 地址指向 DDoS 目标。在收到查询后，开放的 DNS 解析程序会向攻击目标发送大量响应，最终耗尽互联网资源带宽。
 

每次客户端-服务器间的对话都始于一个标准的三次握手。即首先是客户端发送一个 SYN 数据包，随后服务器响应一个 SYN-ACK 数据包，最后通过一个客户端 ACK 数据包建立 TCP 连接。在 SYN淹没攻击中，客户端会发送大量 SYN 请求，而从不响应服务器发来的 SYN-ACK 报文。

这使得服务器的连接处于开放状态，等待客户端的响应。这些半开放的连接每一个都会被 TCP 连接表追踪，最终占满连接表并阻止其他合法或不合法的尝试连接。
 

放大攻击是一类反射型攻击，利用了正常操作中向服务发送小欺骗数据包的能力，这些服务作为其的一部分，将以更大的响应返回目标。

Memcached 是一套数据库缓存系统，可用于网站和网络加速。攻击者可以向易受攻击且面向互联网的 Memcached 服务器发送伪造的请求，后者又会随之向目标发送大量流量，可能造成其资源枯竭。当目标的基础架构不堪重负时，就无法处理新的请求，正常的流量也无法访问互联网资源，从而导致服务遭拒绝。

其它类型的放大攻击还包括 NTP、SSDP、SNMPv2、CharGEN、QOTD 等。
 

UDP 是各种 IP 网络中通用的一种标准通信协议。由于 UDP 数据包不存在状态，因此相较于 TCP，它们所需的错误检查和验证更少。UDP 淹没攻击企图使每个可访问服务器端口上的连接表饱和，进而导致服务器请求超过负荷。

连接表被此类请求占满就会无法处理合法请求。
 

IP 碎片攻击是 IP 协议设计之初就确立的一套流程，能够将数据包或数据报拆分为更小的碎片，使其能够顺利通过最大传输单元 (MTU) 限制较低的网络链路。主机或状态性的安全设备接收到碎片后会将其重组成原始的数据报。数据包或数据报的 IP 报头会告知接收器如何重组数据报。

此类攻击具有多种形式，但所有变体都会试图利用碎片来压垮目标服务器或网络节点。