一、什麼是ddos？
ddos是英文distributed denial of service的縮寫，意即「分布式拒絕服務」，那麼什麼又是拒絕服務（denial of service）呢？可以這麼理解，凡是能導致合法使用者不能夠訪問正常網路服務的行為都算是拒絕服務攻擊。也就是說拒絕服務攻擊的目的非常明確，就是要阻止合法使用者對正常網路資源的訪問，從而達成攻擊者不可告人的目的。分布式拒絕服務攻擊一旦被實施，攻擊網路包就會猶如洪水般湧向受害主機，從而把合法使用者的網路包淹沒，導致合法使用者無法正常訪問伺服器的網路資源，因此，拒絕服務攻擊又被稱之為「洪水式攻擊」，常見的ddos攻擊手段有syn flood、ack flood、udpflood、icmp flood、tcp flood、connections flood、script flood、proxy flood等
二、當前主要三種流行的ddos攻擊方式：
1、syn/ack flood攻擊：這種攻擊方法是經典最有效的ddos方法，可通殺各種系統的網路服務，主要是通過向受害主機傳送大量偽造源ip和源埠的syn或ack包，導致主機的快取資源被耗盡或忙於傳送回應包而造成拒絕服務，由於源都是偽造的故追蹤起來比較困難，少量的這種攻擊會導致主機伺服器無法訪問，但卻可以ping的通，在伺服器上用netstat -na命令會觀察到存在大量的syn_received狀態，大量的這種攻擊會導致ping失敗、tcp/ip棧失效，並會出現系統凝固現象，即不響應鍵盤和滑鼠。普通防火牆大多無法抵禦此種攻擊。
2、tcp全連線攻擊：這種攻擊是為了繞過常規防火牆的檢查而設計的，一般情況下，常規防火牆大多具備過濾teardrop、land等dos攻擊的能力，但對於正常的tcp連線是放過的，殊不知很多網路服務程式（如：iis、apache等web伺服器）能接受的tcp連線數是有限的，一旦有大量的tcp連線，即便是正常的，也會導致**訪問非常緩慢甚至無法訪問，tcp全連線攻擊就是通過許多殭屍主機不斷地與受害伺服器建立大量的tcp連線，直到伺服器的記憶體等資源被耗盡而被拖跨，從而造成拒絕服務，這種攻擊的特點是可繞過一般防火牆的防護而達到攻擊目的，缺點是需要找很多殭屍主機，並且由於殭屍主機的ip是暴露的，因此容易被追蹤。
3、刷script指令碼攻擊：這種攻擊主要是針對存在asp、jsp、php、cgi等指令碼程式，並呼叫mssqlserver、mysqlserver、oracle等資料庫的**系統而設計的，特徵是和伺服器建立正常的tcp連線，並不斷的向指令碼程式提交查詢、列表等大量耗費資料庫資源的呼叫，典型的以小博大的攻擊方法。一般來說，提交乙個get或post指令對客戶端的耗費和頻寬的占用是幾乎可以忽略的，而伺服器為處理此請求卻可能要從上萬條記錄中去查出某個記錄，這種處理過程對資源的耗費是很大的，常見的資料庫伺服器很少能支援數百個查詢指令同時執行，而這對於客戶端來說卻是輕而易舉的，因此攻擊者只需通過proxy**向主機伺服器大量遞交查詢指令，只需數分鐘就會把伺服器資源消耗掉而導致拒絕服務，常見的現象就是**慢如蝸牛、asp程式失效、php連線資料庫失敗、資料庫主程式占用cpu偏高。這種攻擊的特點是可以完全繞過普通的防火牆防護，輕鬆找一些proxy**就可實施攻擊，缺點是對付只有靜態頁面的**效果會大打折扣，並且有些proxy會暴露攻擊者的ip位址。
三、怎麼抵禦ddos？
1、採用高效能的網路裝置
首先要保證網路裝置不能成為瓶頸，因此選擇路由器、交換機、硬體防火牆等裝置的時候要盡量選用知名度高、口碑好的產品。再就是假如和網路提供商有特殊關係或協議的話就更好了，當大量攻擊發生的時候請他們在網路接點處做一下流量限制來對抗某些種類的ddos攻擊是非常有效的。
2、盡量避免nat的使用
無論是路由器還是硬體防護牆裝置要盡量避免採用網路位址轉換nat的使用，因為採用此技術會較大降低網路通訊能力，其實原因很簡單，因為nat需要對位址來回轉換，轉換過程中需要對網路包的校驗和進行計算，因此浪費了很多cpu的時間，但有些時候必須使用nat，那就沒有好辦法了。
3、充足的網路頻寬保證
網路頻寬直接決定了能抗受攻擊的能力，假若僅僅有10m頻寬的話，無論採取什麼措施都很難對抗現在的synflood攻擊，當前至少要選擇100m的共享頻寬，最好的當然是掛在1000m的主幹上了。但需要注意的是，主機上的網絡卡是1000m的並不意味著它的網路頻寬就是千兆的，若把它接在100m的交換機上，它的實際頻寬不會超過100m，再就是接在100m的頻寬上也不等於就有了百兆的頻寬，因為網路服務商很可能會在交換機上限制實際頻寬為10m，這點一定要搞清楚。
4、公升級主機伺服器硬體
在有網路頻寬保證的前提下，請盡量提公升硬體配置，要有效對抗每秒10萬個syn攻擊包，伺服器的配置至少應該為：p4 2.4g/ddr512m/scsi-hd，起關鍵作用的主要是cpu和記憶體，若有志強雙cpu的話就用它吧，記憶體一定要選擇ddr的高速記憶體，硬碟要盡量選擇scsi的，別只貪ide**不貴量還足的便宜，否則會付出高昂的效能代價，再就是網絡卡一定要選用3com或intel等名牌的，若是realtek的還是用在自己的pc上吧。
5、把**做成靜態頁面
6、增強作業系統的tcp/ip棧
win2000和win2003作為伺服器作業系統，本身就具備一定的抵抗ddos攻擊的能力，只是預設狀態下沒有開啟而已，若開啟的話可抵擋約10000個syn攻擊包，若沒有開啟則僅能抵禦數百個，具體怎麼開啟，自己去看微軟的文章吧！《強化tcp/ip 堆疊安全》。
也許有的人會問，那我用的是linux和freebsd怎麼辦？很簡單，按照這篇文章去做吧！《syn cookies》。
7、安裝專業抗ddos防火牆
8、其他防禦措施
以上幾條對抗ddos建議，適合絕大多數擁有自己主機的使用者，但假如採取以上措施後仍然不能解決ddos問題，就有些麻煩了，可能需要更多投資，增加伺服器數量並採用dns輪巡或負載均衡技術，甚至需要購買七層交換機裝置，從而使得抗ddos攻擊能力成倍提高，只要投資足夠深入。
什麼是DDOS攻擊及怎麼抵抗DDOS攻擊
一 為何要ddos？隨著internet網際網路絡頻寬的增加和多種ddos黑客工具的不斷發布，ddos拒絕服務攻擊的實施越來越容易，ddos攻擊事件正在成上公升趨勢。出於商業競爭 打擊報復和網路敲詐等多種因素，導致很多idc託管機房 商業站點 遊戲伺服器 聊天網路等網路服務商長期以來一直被ddos攻...
什麼是DDOS攻擊及怎麼抵抗DDOS攻擊？
一 為何要ddos 隨著internet 網際網路絡頻寬的增加和多種ddos 黑客工具的不斷發布，ddos 拒絕服務攻擊的實施越來越容易，ddos 攻擊事件正在成上公升趨勢。出 於商業競爭 打擊報復和網路敲詐等多種因素，導致很多idc 託管機房 商業站點 遊戲伺服器 聊天網路等網路服務商長期以來一直...
什麼是DDOS攻擊？怎麼抵抗？
一 為何要ddos?隨著internet網際網路絡頻寬的增加和多種ddos黑客工具的不斷發布，ddos拒絕服務攻擊的實施越來越容易，ddos攻擊事件正在成上公升趨勢。出於商業競爭 打擊報復和網路敲詐等多種因素，導致很多idc託管機房 商業站點 遊戲伺服器 聊天網路等網路服務商長期以來一直被ddos攻...