引子：自然洪水與網路洪流的同構隱喻

正如大自然以洪水報復人類破壞，網路世界中攻擊者以封包洪流癱瘓服務。DoS/DDoS 攻防是資源與智慧的持久博弈。本文系統梳理三大經典攻擊模式原理、工具演進與防禦現狀。

一、SYN Flood：濫用三向交握的經典攻擊

1. 三向交握機制回顧

1. Client → Server: SYN (ISN_C) 請求連線
2. Server → Client: SYN (ISN_S), ACK (ISN_C+1) 應答並分配資源
3. Client → Server: ACK (ISN_S+1) 確認，連線建立

2. 攻擊原理

攻擊者發送大量偽造來源 IP 的 SYN 封包。Server 回應 SYN/ACK 並將半開連線存入 Backlog 佇列等待最終 ACK。因偽造 IP 不存在，永無 ACK 到來。佇列滿時拒絕新連線，正常用戶無法建立連線。攻擊工具：Lion SYN Flood、xdos、獨裁者等，門檻極低。

3. 根因與平台差異

• 協議規範缺陷：Server 必須維持半開狀態等待 ACK。
• 作業系統允許用戶態程式手動構造 IP 標頭（來源 IP 偽造關鍵）：Linux/Unix、Win2000/XP 支援 Raw Socket；Win9x/Me 不支援，無法構成威脅。

4. 防禦現狀與對策

• 軟體層面無完美解法：唯一有效方案是硬體防火牆（ASIC 級線速過濾），但價格昂貴。
• 核心參數緩解：啟用 tcp_syncookies=1（不分配佇列）、縮短 tcp_synack_retries、擴大 tcp_max_syn_backlog。
• 普通用戶無感：未開啟 TCP 服務（Web/FTP/SSH 等）不受影響；僅伺服器端需防護。

二、封包洪水攻擊：頻寬耗盡的暴力美學

1. 原理

攻擊者發送大量小封包（ICMP/UDP/TCP），佔滿目標頻寬。類比公路塞車：下載佔滿頻寬時網頁打不開。ICMP 為首選（無流控、橫衝直撞）。工具：蝸牛炸彈、AnGryPing 等。

2. 變種升級

• 早期：單純塞車。
• 進階：特殊 ICMP 封包（時間戳洪水）導致 CPU 滿載，雙重打擊。
• 個人用戶受害更重：頻寬小、無硬體防火牆。

3. 僅有兩條防禦路徑

1. 增大頻寬：治標，成本高。
2. 上游引流/清洗：在骨幹路由器/清洗中心基於特徵（來源 IP、協議、封包大小）丟棄攻擊流量。核心難點：防火牆無法防禦，因阻塞發生在防火牆前方的鏈路。

三、反射式放大攻擊：借刀殺人的泥石流

1. 攻擊模型

攻擊者偽造受害者 IP → 向大量開放服務（DNS、NTP、SNMP、SSDP、Chargen、Memcached）發送小請求 → 服務回應大量數據給受害者 → 受害者頻寬耗盡。

• 放大倍數：DNS ~50x、NTP ~556x、Memcached ~51,000x。
• 隱蔽性：受害端見到的是合法服務 IP，難以追溯真實攻擊者。

2. 固有弱點限制實戰效果

• 雙跳路徑增加延遲，降低攻擊同步性。
• 反射源處理能力/頻寬成瓶頸，無法持續全速反射。
• 回應封包為 ACK/數據包而非 SYN，性質從「連線耗盡」退化為「頻寬耗盡」，威脅等級降維。

3. 典型工具

R-Series、DRDoS 等自動化腳本整合反射源列表與放大載荷。

四、防禦體系：引流、清洗、架構彈性

攻擊類型	核心防禦	關鍵技術/廠商方案
SYN Flood	硬體級線速過濾 + 核心參數優化	硬體防火牆、DDoS 清洗設備、SYN Cookie、雲端清洗
頻寬洪水	上游清洗 + 頻寬冗餘	ISP 清洗服務、Anycast 分散、流量工程引流
反射放大	關閉開放反射服務 + 入口過濾 + 速率限制	BCP 38、uRPF、DNS/NTP/SSDP 服務加固、回應速率限制（RRL）

五、溯源困境與戰略思考

• 攻擊多發自僵屍網絡，來源 IP 偽造，受害端嗅探無意義。
• 僅原始數據經過的骨幹節點可見真實路徑，但跨運營商取證法律程序複雜、耗時長。
• 協議標準修改（如 TCP 增加身份驗證）需全球協調，現實阻力極大。

結語

DoS/DDoS 防禦無銀彈。企業應採用雲端清洗 + 邊界過濾 + 架構彈性（Anycast、多活、自動擴縮容）+ 應急預案演練的組合拳。平時投入 1 分預防，勝過事後 100 分搶修。正如治水：疏優於堵，系統工程勝過單點突破。