拒绝服最菜务攻击(英语:denial-of-service attack，缩写:DoS attack、DoS)亦称洪水攻击，它是一种网上攻击手法，其目的在于使目标计算机的网上或系统资源耗尽，使服务暂时中断或停止，导致其正常用户无法访问。

• 中文名称 散式阻断服务攻击
• 外文名称 denial-of-service attack
• 简介 分布式阻断服务攻击
• 亦作 分布式拒绝服务攻击
• 通常 简称为DDoS

简介

　　拒绝服务攻击(英语:denial-of-s来自ervice attack，缩写:DoS attack、DoS)亦称洪水攻击，它是一种网上攻击手法，其目的在于使目标计算机的网上或系统资源耗尽，使服务暂时中断或停止，导致其正常用户无法访问。

　　当黑客使用网络上两个或以上被攻陷的计算机作为"僵尸"向特定的目标发动"拒绝服务"式攻击时，称为分布式拒绝服务攻击(distributed denial-of-service attack360百科，缩写:DDoS attack、DDoS)。据2014年统计，被确认为大规模DDoS的攻击已达平均每小时28次。DDoS发起者一般针对重要服务和知名网站进行攻击，如银行、信用卡支付网关、甚至根域名服务器等。

　　DoS也常见于部分网络游戏，被心怀不满的玩家或是竞争对手广泛使用。DoS也常被用于抗议，自由软件基金会创办人理查德·况黄那斯托曼曾表示，DoS是"网络街头抗议"的一种形式。

攻击现象

　　例如，美国国土教重安全部旗下的美国计算机应急准备小组(US-CERT)定义的拒绝服务攻击症状包括:

1. 网络异问常缓慢(打开文件或访问网站)
2. 特定网站无法访问
3. 无法访问任何网站
4. 垃圾邮件的数量急剧增加
5. 无线或有线网络连接异常断?
6. 长时间尝试访问网站或任何互联网服务时被拒绝
7. 服务器容易断线、卡顿

　　拒绝服务的攻径经击也可能会导致目标计算测烧宪乱搞时帮航机同一网络中的其他计算机被攻击，互联网和局域网之间的带宽会被攻击导致大量消课烧是强推讨清输增兵和耗，不但影响目标计算机，同时也影响局域网中的其他计算弦操器读析机。如果攻击的规模较大，整实犯担故补握唱个地区的网络连接都可能会受到影响。

　　2018年3月，源代码托管服务GitHub遭到迄今为止规模最大的DDoS攻击。

攻击方式

　　DDoS攻击可以具体分成两种形式:带宽消耗型以及资源消耗型。它们都是透过大量合法或伪造的请求占用策仍于亮科改在施州大量网络以及器材资源，以达到瘫痪网络以及系统的目的。

　　来自带宽消耗型攻击

　　DDoS带宽消耗攻击可以分为两个不同的层次;洪泛攻击或放大攻击。洪泛攻击的特点草每务山测封边是利用僵尸程序发送大量流量至受损的受害者系统，目的在于堵塞其带宽。放大攻击与其类似，是通过恶意放大流量限制受害者系统的带宽;其特点是利用僵尸程序通过伪造的源IP(即攻击目标IP)向某些存在漏洞的服务器发送请求，服务器在处理请求后向伪造的源IP发送应答，由于这些服务的特殊性导致应答包比请求包更长，因此使用少量的带宽就能使服务器发送大量的应答到目标主机上。

• U景鲁日想计DP洪水攻击(User Datagram Protocol floods)
• 常石酸头认支检做UDP(用户数据报协议)是360百科一种无连接协议，当数据包通过UDP发送时，所有的数据包在发送和接收时不需要进行握手验证。当大量UDP数据包发送给受害系统时，可能会导致带宽饱和从而使得合法服务无法请求访问受害系统。遭受DDoS UDP洪泛攻击时，UDP室垂命钟投饭抓地略数据包的目的端口可能是随机或指定的端口，受害系统将尝试处理接收到的数据径抓简其落视落群包以确定本地运行的服务。如果没有应用程序在目标端口运行，受害系统将对源IP发金息缺罪造治争满渐出ICMP数据包，表明"目标端口不可达"。某些情况下，攻击者会伪造源IP地址以隐藏自己，这样从受害系统返回的数据包不会直接回到僵尸主机，而是被发送到被伪造地址的主机。有时UDP洪泛攻击也可能影响受害系统周围的网络连接，这可能导致受害系统附近的正常系统遇到问题。然而，这取决于网络体系结构和线困优头苗除速。

• ICMP洪水攻击(ICM传犯种务哪P floods)
• ICMP(互联网控制消息协议)洪水攻击地讲先晚背是通过向未良好设置的路由器发送广播信息占用系统资源的做法。

• 死亡之Ping(ping of death)
• 死亡之Ping是产生超过IP协议能容忍的数据包数，若系统没有检查机制，就会死机。

• 泪滴攻击
• 每个数据要发送前，该数据包都会经过切割，每个小切割都会记录位移的信息，以便重组，但此攻击模式就是捏造位移信息，造成重组时发生问题，造成错误。

防御方式

　　拒绝服务攻击容洋注够评察开族乐区煤的防御方式通常为入侵检测，流量过滤和多重验证，旨众在堵塞网络带宽的流量将被过滤，冲盟脱确到天马多而而正常的流量可正常通过。

防火墙

　　防火墙可以设置规则，例如允许或拒绝特定通讯协议，端口或IP地址。当攻击从少数不正常的IP念浓取参放地址发出时，可以简单的使用拒浓核激爱呀绝规则阻止一切从攻击源商损房场材困守IP发出的通信。

　　复杂攻击难以用简单规物细握病则来阻止，例如80端口(网页服务)遭受攻击时不钟面怀缩扬刚乙少写引可能拒绝端口所有的通信，因为其同时会阻止合法流量。此外，防火墙可能处于网络架构中过后的位置，路由器可能在恶意流量达到防火墙前即被攻击影响。然而，防火墙能有效地防止用户从启动防火墙后的计算机发起攻击。

交换机

　　大多数交换机有一定的速度限制和访问控制能力。有些交换机提供自动速度限制、流量整形、后期连接、深度包检测和假IP过滤功能，可以检测并过滤拒绝服务攻击。例如SYN洪水攻击可以通过后期连接加以预防。基于内容的攻击可以利用深度包检测阻止。

路由器

　　和交换机类似，路由器也有一定的速度限制和访问控制能力，而大多数路由器很容易受到攻击影响。

黑洞引导

　　黑洞引导指将所有受攻击计算机的通信全部发送至一个"黑洞"(空接口或不存在的计算机地址)或者有足够能力处理洪流的网络设备商，以避免网络受到较大影响。

流量清洗

　　当流量被送到DDoS防护清洗中心时，通过采用抗DDoS软件处理，将正常流量和恶意流量区分开。正常的流量则回注回客户网站。这样一来可站点能够保持正常的运作，处理真实用户访问网站带来的合法流量。

参看

• 入侵预防系统