DDOS攻击原理
1. 泛洪攻击（Flood Attack）的核心原理
泛洪攻击的本质是“资源耗尽”。攻击者利用“不对称”的优势（攻击成本低，防御成本高），向目标发送海量的“垃圾”请求，导致目标系统瘫痪。
这种“瘫痪”通常发生在这个两个层面：
- 带宽耗尽（堵塞道路）： 就像成千上万辆空车同时开上高速公路，导致真正的乘客（正常用户）无法上路。
- 系统资源耗尽（累死前台）： 就像成千上万个假客户冲进银行大厅领号排队，但不办理业务，导致柜员（CPU/内存）一直在处理无效请求，真正的客户无法被服务。
2. 经典的 SYN Flood（SYN 泛洪）原理
这是最著名的泛洪攻击，攻击的是 TCP 协议的漏洞。
- 正常流程（三次握手）：
- 用户发个 SYN 包（“我想建立连接”）。
- 服务器回复 SYN-ACK 包（“好的，我准备好了，确认一下？”），并分配内存等待用户确认。
- 用户回复 ACK 包（“确认！”），连接建立。
- 攻击原理（SYN Flood）：
- 伪造源头： 攻击者伪造大量不存在的 IP 地址（假 IP）。
- 海量发送： 攻击者用这些假 IP 向服务器疯狂发送 SYN 请求。
- 服务器受骗： 服务器收到请求后，回复 SYN-ACK，并在内存中建立“半连接队列”（Half-open connection），傻傻地等待对方回复 ACK。
- 死循环： 因为 IP 是假的，永远不会有人回复 ACK。服务器会一直重试，直到超时。
- 结果： 服务器的“半连接队列”被填满，再也无法处理任何正常用户的 SYN 请求，服务中断。
3. Frag Flood（分片泛洪攻击）原理
利用 IP 数据包分片（Fragmentation）机制的攻击。
- 背景： 互联网上传输的数据包如果太大，路由器会把它切碎（分片），到了目的地再由服务器拼装（重组）起来。
- 攻击原理：
- Teardrop（泪滴攻击）： 攻击者发送重叠、错位的分片。服务器在尝试拼接这些“畸形积木”时，逻辑会崩溃，导致死机或蓝屏。
- 资源消耗： 攻击者发送大量的分片，但故意丢失其中一片。服务器为了等待那丢失的一片，必须长时间保留其他分片在内存中，导致内存耗尽（类似拼图拼到最后少一块，又舍不得扔，桌子被占满了）。
4. UDP Flood（UDP 泛洪）原理
- 原理： UDP 是不需要“握手”的协议。攻击者就像拿着大喇叭对着服务器耳朵喊叫。
- 手段： 攻击者向服务器的随机端口发送海量 UDP 大包。
- 后果： 服务器不仅要接收这些包，还要去检查这些端口有没有程序在监听（通常没有），然后回复“端口不可达”。这一过程极其消耗带宽和 CPU，直接把网络通道堵死。