关于DNS Query Flood的代码，我在2011年7月为了测试办事器性能曾经写过一份代码，链接是.icylife /yunshu/show.php?id=832。同样的，这份代码人为下降了抨击打击性，只做测试用途。

HTTP Flood

上文描述的SYN Flood、DNS Query Flood在现阶段已经能做到有效防御了，真正令各年夜厂商以及互联网企业头疼的是HTTP Flood抨击打击。HTTP Flood是针对Web办事在第七层协议倡议的抨击打击。它的巨年夜危害性主要表示在三个方面：倡议便利、过滤坚苦、影响深远。

SYN Flood和DNS Query Flood都需要抨击打击者以root权限节制年夜批量的傀儡机。收集年夜量root权限的傀儡机很破费时间和精力，并且在抨击打击过程中傀儡机缘由于流量异常被办理员发现，抨击打击者的资源快速损耗而弥补迟缓，致使抨击打击强度明显下降并且不成持久延续。HTTP Flood抨击打击则不合，抨击打击者其实不需要节制年夜批的傀儡机，取而代之的是通过端口扫描法度在互联网上寻找匿名的HTTP代办署理或SOCKS代办署理，抨击打击者通过匿名代办署理对抨击打击目标倡议HTTP请求。匿名代办署理是一种比较丰富的资源，花几天时间获得代办署理其实不是难事，因此抨击打击容易倡议并且可以持久高强度的延续。

另外一方面，HTTP Flood抨击打击在HTTP层倡议，死力模仿正常常使用户的网页请求行为，与网站业务慎密相关，平安厂商很难提供一套通用的且不影响用户体验的方案。在一个处所工作得很好的法则，换一个场景可能带来年夜量的误杀。

最后，HTTP Flood抨击打击会引起严重的连锁反应，不但仅是直接致使被抨击打击的Web前端响应迟缓，还间接抨击打击到后真个Java等业务层逻辑以及更后真个数据库办事，增年夜它们的压力，甚至对日志存储办事器都带来影响。有意思的是，HTTP Flood还有个颇有汗青渊源的昵称叫做CC抨击打击。CC是Challenge Collapsar的缩写，而Collapsar是国内一家著名平安公司的DDoS防御设备。从目前的情况来看，不但仅是Collapsar，所有的硬件防御设备都还在被挑战着，风险并未消除。

慢速毗连抨击打击

提起抨击打击，第一反应就是海量的流量、海量的报文。但有一种抨击打击却反其道而行之，以慢著称，以至于有些抨击打击目标被打死了都不知道是怎么死的，这就是慢速毗连抨击打击，最具代表性的是rsnake发现的Slowloris。

HTTP协议规定，HTTP Request以rnrn结尾暗示客户端发送结束，办事端起头措置。那么，如果永远不发送rnrn会如何？Slowloris就是操纵这一点来做DDoS抨击打击的。抨击打击者在HTTP请求头中将Connection设置为Keep-Alive，要求Web Server保持TCP毗连不要断开，随后迟缓地每隔几分钟发送一个key-value格局的数据到办事端，如a:brn，致使办事端认为HTTP头部没有领受完成而一直期待。如果抨击打击者使用多线程或傀儡机来做同样的操作，办事器的Web容器很快就被抨击打击者占满了TCP毗连而不再接管新的请求。

很快的，Slowloris起头呈现各类变种。比如POST体例向Web Server提交数据、填充一年夜年夜Content-Length但迟缓的一个字节一个字节的POST真正数据内容等等。关于Slowloris抨击打击，rsnake也给出了一个测试代码，拜见http://ha.ckers/slowloris/slowloris.pl。

DDoS抨击打击进阶

同化抨击打击

以上介绍了几种根本的抨击打击手段，其中任意一种都可以用来抨击打击网络，甚至击垮阿里、百度、腾讯这种巨型网站。但这些其实不是全部，不合条理的抨击打击者能够倡议完全不合的DDoS抨击打击，运用之妙，存乎一心。

高级抨击打击者历来不会使用单一的手段进行抨击打击，而是按照目标情况矫捷组合。普通的SYN Flood容易被流量清洗设备通过反向探测、SYN Cookie等手艺手段过滤失落，但如果在SYN Flood中混入SYN+ACK数据包，使每一个伪造的SYN数据包都有一个与之对应的伪造的客户端确认报文，这里的对应是指源IP地址、源端口、目的IP、目的端口、TCP窗口年夜小、TTL等都适合同一个主机同一个TCP Flow的特征，流量清洗设备的反向探测和SYN Cookie性能压力将会显著增年夜。其实SYN数据报文配合其他各类标记位，都有特殊的抨击打击效果，这里不一一介绍。

对DNS Query Flood而言，也有奇异的技能。

首先，DNS可以分为普通DNS和授权域DNS，抨击打击普通DNS，IP地址需要随机伪造，并且指明办事器要求做递归解析；但抨击打击授权域DNS，伪造的源IP地址则不该该是纯随机的，而应该是事先收集的全球各地ISP的DNS地址，这样才能达到最年夜抨击打击效果，使流量清洗设备处于添加IP黑名单仍是不添加IP黑名单的为难处境。添加会致使年夜量误杀，不添加黑名单则每个报文都需要反向探测从而加年夜性能压力。