DoS基礎：單點耗盡資源的暴力美學
拒絕服務（DoS）攻擊核心在於「以合理請求耗盡資源」。攻擊者發送大量帶偽造源IP的連接請求（SYN Flood典型），服務器回復SYN-ACK後進入等待狀態，因收不到最終ACK而長期佔用半連接隊列資源。持續高頻發送導致隊列滿載，合法用戶連接被拒。
DDoS架構：三層級指揮體系的工業化分工
分布式拒絕服務（DDoS）引入攻擊者 → 主控端 → 代理端三層架構：
- 攻擊者（主控台）：隱匿幕後，發送加密指令，不直接發包，難以追蹤。
- 主控端：被植入控制程序的跳板機，接收指令並分發至代理端，協調攻擊節奏、目標、向量。
- 代理端：真正發包執行者，規模可達數萬至百萬，發送SYN Flood、UDP Flood、HTTP Flood、DNS放大等多向量攻擊流量。
攻擊全鏈路復現
- 掃描植入：自動化工具掃描全網漏洞主機（弱口令、未修補漏洞、默認配置），植入後門（如IRC Bot、HTTP Bot）。
- 分層部署：將受控主機劃分為主控組與代理組，推送對應功能模塊。
- 指令下發：攻擊者通過加密通道（常用IRC、HTTP、P2P、DNS隧道）向主控端發送攻擊指令（目標IP、端口、類型、持續時間）。
- 協同發包：主控端分發指令，代理端同時向目標發起攻擊，形成Tbps級洪峰。
- 痕跡清理：攻擊結束後主控端下發自毀指令，刪除日志、修改時間戳，增加取證難度。
防禦啟示
單點防禦在分布式攻擊面前失效。現代防護需部署：流量清洗中心（BGP引流清洗）、Anycast分散清洗節點、應用層WAF精準識別、威脅情報聯動封禁C2域名/IP。理解攻擊鏈路，才能在正確節點斷鏈。