拒绝服务攻击（DoS/DDoS）全解析，覆盖常见类型与实用防御思路
围绕拒绝服务攻击（DoS/DDoS）展开核心解析，明确其以消耗目标网络带宽、系统或应用资源，阻断合法用户正常访问为核心目的，文中梳理出典型三大类攻击类型：流量型（如大规模UDP/SYN洪水）、协议型（如借助反射放大的Smurf攻击）、针对特定应用特性的轻量高效应用层型（如慢loris），还提及了常用防御思路框架，包括部署流量清洗、源IP认证限流，以及结合CDN、WAF与分布式冗余集群的高可用架构搭建。
在数字化时代，网络服务的稳定性至关重要，但拒绝服务攻击（Denial of Service，简称DoS）及其升级版分布式拒绝服务攻击（Distributed Denial of Service，简称DDoS）却像“网络洪水”一样，时刻威胁着网站、服务器和在线业务的正常运行，这类攻击的核心目的不是窃取数据，而是通过消耗目标的带宽、计算资源或连接数,让合法用户无法访问服务。
了解拒绝服务攻击的常见类型，是构建有效防御体系的第一步，本文将从攻击层次和原理出发，逐一解析主流的DoS/DDoS类型,并简要介绍对应的防御思路。
什么是DoS与DDoS？
在展开类型之前,先明确两个核心概念：
- DoS攻击：由单一攻击者发起，利用自身资源向目标发送大量请求或恶意数据,试图耗尽目标资源。
- DDoS攻击：更具威胁性的版本，攻击者通过控制“僵尸网络”（Botnet，由大量被感染的设备组成），从多个来源同时向目标发动攻击,攻击规模和隐蔽性远高于DoS。
常见的拒绝服务攻击类型
我们可以按攻击发生的网络层次（OSI模型），将主流攻击分为网络层、传输层、应用层三大类,同时补充一些特殊类型。
网络层攻击（Layer 3/4）：消耗带宽与网络资源
这类攻击针对网络层和传输层底层，通过发送大量数据包占满目标的网络带宽,或耗尽网络设备的处理能力。
（1）ICMP Flood（Ping Flood）
ICMP（互联网控制报文协议）常用于网络诊断（如Ping命令），攻击者向目标发送大量ICMP Echo Request（Ping请求）包，目标需要一一回应,最终因带宽或CPU资源耗尽而瘫痪。
（2）Smurf攻击
一种经典的“放大攻击”：攻击者将源IP伪造成目标IP，向网络广播地址发送ICMP包，广播域内的所有设备都会向目标IP回应ICMP包，导致目标被大量流量淹没，不过现代网络设备通常会禁用广播地址响应,此类攻击已较少见。
（3）Fraggle攻击
与Smurf类似，只是将ICMP包换成了UDP包，利用UDP广播地址实现流量放大,原理和危害与Smurf一致。
传输层攻击（Layer 4）：利用协议漏洞
这类攻击针对TCP/UDP协议的设计缺陷,耗尽目标的连接资源或处理能力。
（1）SYN Flood（同步洪水攻击）
利用TCP三次握手的漏洞：攻击者向目标发送大量SYN（连接请求）包，但不回应目标的SYN-ACK包，导致目标服务器上积累大量“半连接”（等待ACK的连接），当半连接队列被占满后,合法用户的连接请求将被拒绝。
（2）UDP Flood（用户数据报协议洪水）
UDP是无连接协议，无需建立连接即可发送数据，攻击者向目标的特定端口（如DNS的53端口、游戏服务器端口）发送大量虚假UDP包，目标需要处理这些包并尝试响应（如果端口未开放，还会返回ICMP不可达包）,最终耗尽资源。
（3）TCP Connection Flood（TCP连接洪水）
与SYN Flood不同，攻击者会完成三次握手建立真实的TCP连接，但连接建立后不发送数据或仅发送少量数据，占满目标的最大连接数,导致合法用户无法建立新连接。
应用层攻击（Layer 7）：隐蔽且精准的“软攻击”
这类攻击模仿正常用户的应用层行为（如访问网页、查询DNS），流量看似合法，因此更难检测，但杀伤力同样巨大——它们直接消耗应用服务器的CPU、内存或数据库资源。
（1）HTTP Flood（GET/POST Flood）
攻击者通过僵尸网络向目标网站发送大量HTTP GET或POST请求，模仿用户刷新页面或提交表单，由于请求符合HTTP协议规范，传统防火墙难以识别,最终导致网站服务器或数据库因处理不过来而崩溃。
（2）CC攻击（Challenge Collapsar）
HTTP Flood的变种，最初用于攻击名为“Collapsar”的防护设备，攻击者通常使用代理服务器或动态IP，持续请求目标网站的动态资源（如需要查询数据库的页面）,进一步加重服务器负担。
（3）DNS Query Flood（DNS查询洪水）
针对DNS服务器的攻击：攻击者发送大量虚假的DNS查询请求（通常是查询不存在的域名），DNS服务器需要处理这些请求并尝试返回结果，最终耗尽处理能力,导致合法用户无法解析域名。
（4）Slowloris攻击
一种“慢速”攻击：攻击者与目标服务器建立多个HTTP连接，但每个连接只缓慢发送部分请求头（如每隔几秒发送一个字节），保持连接不释放，当连接数达到服务器上限时,合法连接无法建立。
其他特殊类型
（1）反射/放大攻击
利用第三方服务器（如NTP服务器、DNS服务器、Memcached服务器）的特性,将小流量请求放大为大流量发送给目标。
- DNS放大攻击：攻击者伪造目标IP向DNS服务器发送“ANY”类型的查询请求，DNS服务器返回的响应数据量远大于请求，从而放大攻击流量（放大倍数可达数十倍甚至上百倍）。
- NTP放大攻击：利用NTP（网络时间协议）的monlist命令，请求返回大量时间同步记录,实现流量放大。
（2）低速率攻击（Low-and-Slow Attack）
与Slowloris类似，这类攻击以较低的速率持续发送请求，避免触发流量阈值告警，但长期积累仍会耗尽目标资源,检测难度更高。
基本防御思路
针对不同类型的攻击，防御需采用“分层防护”策略：
- 网络层/传输层防御：使用流量清洗设备、CDN（内容分发网络）或DDoS防护服务，过滤异常流量（如伪造IP的包、大量ICMP/UDP包）；启用SYN Cookies缓解SYN Flood；限制单IP的连接数。
- 应用层防御：部署WAF（Web应用防火墙），通过行为分析识别异常请求（如短时间内大量相同请求）；对动态资源进行缓存，减少数据库压力；使用验证码或人机验证区分真实用户与机器人。
- 架构优化：采用负载均衡、分布式部署，分散攻击压力；定期更新服务器和网络设备的补丁,修复协议漏洞。
拒绝服务攻击的类型随着技术发展不断演变，从最初的简单流量洪水，到如今隐蔽的应用层攻击，防御难度持续提升，对企业和个人而言，了解攻击类型是基础，更重要的是建立完善的防护体系，并持续关注新的攻击手段,才能在网络威胁面前保持服务的稳定性。
注：本文仅用于科普拒绝服务攻击的类型与防御知识，请勿将相关原理用于非法攻击行为。
