黑客“借刀杀人”，阿里 14 年经验安全大佬教你如何防御 DDoS 攻击 _防御

【CSDN 编者按】DDoS 攻击近几年来非常常见，许多知名的平台网站都遭遇过。当应用层 DDoS 攻击当前已经是最常见的攻击类型之时，对于程序员而言，有哪些必须掌握的 DDoS 攻击的知识点，更为关键的是，如何进行有效的防御实践？在「CSDN 在线峰会 —— 阿里云核心技术竞争力」上，在系统、应用、网络安全领域拥有 14 年研究经验的阿里云资深安全专家叶敏深入分享了新型应用层 DDoS 攻击防御的最佳实践，希望能够对所有技术人有所启发及裨益。

文章插图

一、应用层 DDoS 攻击介绍
DDoS 攻击长久以来困扰着互联网企业，从我们云盾监测到的 DDoS 攻击流量峰值来看，最近几年攻击流量在大幅上涨，从 2014 年我们对外宣布防御了全球最大的 DDoS 攻击，453.8Gbps，到现在 T 级别的 DDoS 也变得很常见。

文章插图
大流量 DDoS 攻击存在了很多年，虽然攻击流量一直在增长，但是攻击类型变化不大，一直以 SYN Flood、UDP Flood、UDP 反射攻击为主。针对大流量攻击已经有了非常有效的防御手段，以前这种大流量攻击遇到安全设备时，就像进了黑洞一样被吞噬，防御成功率很高，但是黑客们不服输，他们向这个黑洞发起了新的挑战。
如果把攻击流量伪装成正常业务的流量，那么安全防御设备就很难区分出攻击流量，这样就能穿过防御设备攻击到后端的应用，这就是应用层 DDoS 攻击，也叫 CC（ Challenge Collapsar ）攻击，就是挑战黑洞的意思。
二、应用层 DDoS 的攻击方式
应用层 DDoS 最近几年越来越受到黑客的青睐，从监测到的数据来看，应用层 DDoS 攻击在 2019 年就有翻倍增长。
除了容易绕过防御设备，还有一个重要的原因是应用层 DDoS 攻击更加高效，因为应用层的攻击都要触发上层应用的处理逻辑，其中可能有数据库查询、远程 API 调用、文件读写，甚至有复杂的计算逻辑，所以这些流量会对服务端带来更大的压力。攻击者精心挑选的带有复杂逻辑的 URL 进行攻击，可以用很小的流量对应用或数据库产生巨大压力。攻击者不需要用到很大的带宽，甚至对服务端只有小幅度的 QPS 上涨，让检测和防御都变得更有挑战。
DDoS 攻击最典型的方式是僵尸网络，黑客控制了大量的傀儡主机（肉鸡或 bot）向目标发起攻击。这些傀儡主机可能是服务器、PC、手机或 IoT 设备。
在应用层 DDoS 攻击中，我们发现另一种借刀杀人的攻击方式也很常见，黑客在一些热门的网页中嵌入了带有攻击行为的 JAVAScript 代码，当访问者打开这些网页时，浏览器就循环对目标发起攻击，在一些停留时间比较长的网页，比如长篇小说或小电影网站，再加上不停的有新用户访问，攻击就会持续很长时间。虽然黑客没有控制这些设备的权限，但是他借助这些正常用户的浏览器实现了大规模的应用层 DDoS 攻击。

文章插图
互联网上 HTTP/HTTPS 服务占比最大，所以针对 HTTP/HTTPS 协议的应用层 DDoS 攻击也是最常见的，我们把它叫 HTTP Flood 。虽然都是发起 HTTP 请求，但是也有不同的方式，防御的难度也不一样。我们分析过很多 DDoS 木马，有些直接拼接 HTTP 报文内容发送给服务端，这种通常攻击手法比较单一，而且也没有考虑 Cookie 和 HTTP 跳转，更不能执行 JavaScript 。
进一步我们发现有些木马使用现成的 HTTP 库，它对 HTTP 协议的支持更完善，部分可以支持 Cookie 和 HTTP 跳转，但没有浏览器引擎所以不能执行 JavaScript 。

文章插图
再进一步我们发现带有浏览器引擎的攻击方式，它其实就是个无窗口的浏览器，可以完整的支持 Cookie、HTTP 跳转和 JavaScript 。我们也发现直接使用浏览器进行攻击的，有 windows 平台的恶意软件中嵌入 IE 控件，移动 App 中嵌入 WebView 控件，前面讲到的热门网页嵌入 JavaScript 也是浏览器攻击的例子。因为攻击流量本身就是浏览器发起的请求，所以这种识别难度更大。
另外一种应用层 DDoS 攻击是针对 SSL，据统计全球超过 85%的网页已经启用 HTTPS 协议了，所以攻击目标范围很大。我们知道建立一个 SSL 连接的开销是比较大的，有人分析过，建立一个 SSL 连接服务端消耗的计算资源是客户端的 15 倍，所以如果攻击者向目标服务器发起大量 SSL 连接握手，就会对目标服务器产生巨大的性能压力。这里还有一个挑战在于，只有在 SSL 握手完成以后，才会传输应用层的数据内容，所以通过数据包内容来检测攻击，在这里就不适用。