阻斷服務攻擊

|update=2024-06-23|expand=english}}

阻斷服務攻擊（denial-of-service attack，簡稱 DoS 攻擊），是一種網路攻擊手法，其目的在於使目標電腦的網路或系統資源耗盡，使服務暫時中斷或停止，導致其正常使用者無法訪問。

當駭客使用網路上兩個或以上電腦向特定的目標發動「拒絕服務」式攻擊時，稱為分散式阻斷服務攻擊（distributed denial-of-service attack，簡稱 DDoS 攻擊）亦稱洪水攻擊，意在使阻止攻擊變得更加困難。據 2014 年統計，被確認為大規模 DDoS 的攻擊已達平均每小時 28 次。DDoS 發起者一般針對重要服務和知名網站進行攻擊，如銀行、信用卡支付閘道器、甚至根域名伺服器等。

DoS 也常見於部分網路遊戲，被心懷不滿的玩家或是競爭對手廣泛使用。DoS 也常被用於抗議，自由軟體基金會創辦人理查德・斯托曼曾表示，DoS 是 “網路街頭抗議” 的一種形式。

攻擊現象

美國國土安全部旗下的（US-CERT）定義的拒絕服務攻擊症狀包括：

網路異常緩慢（開啟檔案或訪問網站）
特定網站無法訪問
無法訪問任何網站
垃圾郵件的數量急劇增加

拒絕服務的攻擊也可能會導致目標計算機同一網路中的其他計算機被攻擊，網際網路和區域網之間的頻寬會被攻擊導致大量消耗，不但影響目標計算機，同時也影響區域網中的其他電腦。如果攻擊的規模較大，整個地區的網路連線都可能會受到影響。

攻擊方式

DoS 攻擊可以具體分成三種形式：頻寬消耗型、資源消耗型、漏洞觸發型。前兩者都是透過大量合法或偽造的請求佔用大量網路以及器材資源，以達到癱瘓網路以及系統的目的。而漏洞觸發型，則是觸發漏洞導致系統崩潰癱瘓服務。

2.1 頻寬消耗型攻擊

DDoS 頻寬消耗攻擊可以分為兩個不同的層次；洪泛攻擊或放大攻擊。洪泛攻擊的特點是利用殭屍程式傳送大量流量至受損的受害者系統，目的在於堵塞其寬頻。放大攻擊與其類似，是透過惡意放大流量限制受害者系統的寬頻；其特點是利用殭屍程式透過偽造的源 IP（即攻擊目標 IP）向某些存在漏洞的伺服器傳送請求，伺服器在處理請求後向偽造的源 IP 傳送應答，由於這些服務的特殊性導致應答包比請求包更長，因此使用少量的寬頻就能使伺服器傳送大量的應答到目標主機上。

UDP 洪水攻擊（User Datagram Protocol floods）

UDP（使用者資料報協議）是一種無連線協議，當資料包透過 UDP 傳送時，所有的資料包在傳送和接收時不需要進行握手驗證。當大量 UDP 資料包傳送給受害系統時，可能會導致頻寬飽和從而使得合法服務無法請求訪問受害系統。遭受 DDoS UDP 洪泛攻擊時，UDP 資料包的目的埠可能是隨機或指定的埠，受害系統將嘗試處理接收到的資料包以確定本地執行的服務。如果沒有應用程式在目標埠執行，受害系統將對源 IP 發出 ICMP 資料包，表明 “目標埠不可達”。某些情況下，攻擊者會偽造源 IP 地址以隱藏自己，這樣從受害系統返回的資料包不會直接回到殭屍主機，而是被髮送到被偽造地址的主機。有時 UDP 洪泛攻擊也可能影響受害系統周圍的網路連線，這可能導致受害系統附近的正常系統遇到問題。然而，這取決於網路體系結構和線速。

ICMP 洪水攻擊（ICMP floods）

ICMP（網際網路控制訊息協議）洪水攻擊是透過向未良好設定的路由器傳送廣播資訊佔用系統資源的做法。

2.2 資源消耗型攻擊

協議分析攻擊（SYN flood，SYN 洪水）

傳送控制協議（TCP）同步（SYN）攻擊。TCP 程序通常包括髮送者和接受者之間在資料包傳送之前建立的完全訊號交換。啟動系統傳送一個 SYN 請求，接收系統返回一個帶有自己 SYN 請求的 ACK（確認）作為交換。傳送系統接著傳回自己的 ACK 來授權兩個系統間的通訊。若接收系統傳送了 SYN 資料包，但沒接收到 ACK，接受者經過一段時間後會再次傳送新的 SYN 資料包。接受系統中的處理器和記憶體資源將儲存該 TCP SYN 的請求直至超時。DDoS TCP SYN 攻擊也被稱為 “資源耗盡攻擊”，它利用 TCP 功能將殭屍程式偽裝的 TCP SYN 請求傳送給受害伺服器，從而飽和服務處理器資源並阻止其有效地處理合法請求。它專門利用傳送系統和接收系統間的三向訊號交換來發送大量欺騙性的原 IP 地址 TCP SYN 資料包給受害系統。最終，大量 TCP SYN 攻擊請求反覆傳送，導致受害系統記憶體和處理器資源耗盡，致使其無法處理任何合法使用者的請求。

LAND 攻擊

這種攻擊方式與 SYN floods 類似，不過在 LAND 攻擊包中的原地址和目標地址都是攻擊物件的 IP。這種攻擊會導致被攻擊的機器死迴圈，最終耗盡資源而宕機。

CC 攻擊（Distributed HTTP flood，分散式 HTTP 洪水攻擊）

向受害伺服器傳送大量貌似合法的請求（通常為 HTTP GET）。攻擊者創造性地使用代理伺服器，利用廣泛可用的免費代理伺服器發動 DDoS 攻擊。許多免費代理伺服器支援匿名，這使追蹤變得非常困難。

2004 年，一位匿名為 KiKi 的中國駭客開發了一種用於傳送 HTTP 請求的 DDoS 攻擊工具以攻擊名為 “Collapsar” 的 NSFOCUS 防火牆，因此該駭客工具被稱為 “Challenge Collapsar”（挑戰黑洞，簡稱 CC），這類攻擊被稱作 “CC 攻擊”。

殭屍網路攻擊

殭屍網路是指大量被（C&C）伺服器所控制的網際網路主機群。攻擊者傳播惡意軟體並組成自己的殭屍網路。殭屍網路難於檢測的原因是，殭屍主機只有在執行特定指令時才會與伺服器進行通訊，使得它們隱蔽且不易察覺。殭屍網路根據網路通訊協議的不同分為 IRC、HTTP 或 P2P 類等。

應用程式級洪水攻擊（Application level floods）

與前面敘說的攻擊方式不同，應用程式級洪水攻擊主要是針對應用軟體層的，也就是高於 OSI 的。它同樣是以大量消耗系統資源為目的，透過向 IIS 這樣的網路服務程式提出無節制的資源申請來破壞正常的網路服務。

2.3 漏洞觸發型

這類攻擊手法，透過嘗試觸發緩衝區溢位等漏洞，使作業系統發生核心錯誤或藍色畫面宕機，達到阻斷服務攻擊。

死亡之 Ping（ping of death）

死亡之 Ping 是產生超過 IP 協定能容忍的封包數，若系統沒有檢查機制，就會宕機。

淚滴攻擊

每個資料要傳送前，該封包都會經過切割，每個小切割都會記錄位移的資訊，以便重組，但此攻擊模式就是捏造位移資訊，造成重組時發生問題，造成錯誤。

防禦方式

拒絕服務攻擊的防禦方式通常為入侵檢測，流量過濾和多重驗證，旨在堵塞網路頻寬的流量將被過濾，而正常的流量可正常透過。

3.1 防火牆

防火牆可以設定規則，例如允許或拒絕特定通訊協議，埠或 IP 地址。當攻擊從少數不正常的 IP 地址發出時，可以簡單的使用拒絕規則阻止一切從攻擊源 IP 發出的通訊。

複雜攻擊難以用簡單規則來阻止，例如 80 埠（網頁服務）遭受攻擊時不可能拒絕埠所有的通訊，因為其同時會阻止合法流量。此外，防火牆可能處於網路架構中過後的位置，路由器可能在惡意流量達到防火牆前即被攻擊影響。然而，防火牆能有效地防止使用者從啟動防火牆後的計算機發起攻擊。

3.2 網路交換裝置自有能力

大多數交換機有一定的速度限制和存取控制能力。有些交換機提供自動速度限制、流量整形、後期連線、深度包檢測和假 IP 過濾功能，可以檢測並過濾拒絕服務攻擊。例如 SYN 洪水攻擊可以通過後期連線加以預防。基於內容的攻擊可以利用深度包檢測阻止。

和交換機類似，路由器也有一定的速度限制和存取控制能力。

3.3 黑洞引導

黑洞引導指將所有受攻擊計算機的通訊全部發送至一個 “黑洞”（空介面或不存在的計算機地址）或者有足夠能力處理洪流的網路裝置商，以避免網路受到較大影響。

3.4 流量清洗

當獲取到流量時，透過 DDoS 防禦軟體的處理，將正常流量和惡意流量區分開，正常的流量則回注回客戶網站，反之則遮蔽。這樣一來可站點能夠保持正常的運作，僅僅處理真實使用者訪問網站帶來的合法流量。

歷史

Panix 是世界上第三古老的 ISP，被認為是首個 DoS 攻擊的目標。 1996 年 9 月 6 日，Panix 遭受了 SYN 洪水攻擊，導致其服務中斷數日，而硬體供應商（尤其是思科）找到了適當的防禦措施。 DoS 攻擊的另一個早期例子是 Khan C. Smith 在 1997 年的 DEF CON 活動期間進行的，導致拉斯維加斯大道的網際網路訪問中斷一個多小時。活動期間釋出的示例程式碼引發了次年對斯普林特、地球連線、E-Trade 等大公司的網路攻擊。 迄今為止最大規模的 DDoS 攻擊發生在 2017 年 9 月，當時谷歌雲遭受了一次峰值量為 2.54Tb/s 的攻擊（Google 於 2020 年 10 月 17 日透露）。

2020 年 2 月，亞馬遜雲遭受了一次攻擊，攻擊量峰值為 2.3Tb/s。 2021 年 7 月，CDN 提供商 Cloudflare 宣稱能夠保護其客戶免受來自全球 Mirai 殭屍網路的 DDoS 攻擊，該攻擊每秒發出高達 1720 萬個請求。俄羅斯 DDoS 防禦提供商 Yandex 表示，它於 2021 年 9 月 5 日阻止了一次 HTTP 管道 DDoS 攻擊，該攻擊源自未修補的 Mikrotik 網路裝置。 2022 年上半年，俄烏戰爭極大地影響了網路威脅格局，各個國家的支援和全球駭客趁機活動導致網路攻擊大量增加。最引人注目的事件是 2 月份發生的 DDoS 攻擊，這是烏克蘭遭遇的最大規模的攻擊，擾亂了政府和金融部門的服務。這波攻擊也波及了英、美、德等西方盟國。

2023 年 2 月，Cloudflare 面臨每秒 7100 萬次請求的攻擊，Cloudflare 聲稱這是當時最大的 HTTP DDoS 攻擊。（HTTP DDoS 攻擊是透過每秒 HTTP 請求數而不是每秒資料包或每秒位數來衡量的。 ）2023 年 7 月 10 日，同人小說平臺 Archive of Our Own遭遇 DDoS 攻擊，服務中斷。AO3 和專家們對一個匿名蘇丹組織表示懷疑，聲稱此次襲擊是出於宗教和政治原因。2023 年 8 月，駭客組織 NoName057 執行緩慢的 DoS 攻擊，目標針對多家義大利金融機構。2024 年 1 月 14 日，在澤倫斯基總統出席達沃斯世界經濟論壇的推動下，他們對瑞士聯邦網站發起了 DDoS 攻擊。瑞士國家網路安全中心迅速緩解了此次攻擊，確保聯邦核心服務保持安全，儘管某些網站暫時出現訪問問題。 2023 年 10 月，利用 HTTP/2 協議中的新漏洞導致最大 HTTP DDoS 攻擊記錄被兩度打破，其中一次是 Cloudflare 觀察到的每秒 2.01 億次請求的攻擊，另一次則是由 Google 觀察到的每秒 3.98 億次請求的攻擊。