DDOS分布式拒绝服务攻击

      DDOS攻击一直是一个很难解决的问题之一，因为ddos很难解决，所以就有一些不法分子针对一些网站进行ddos攻击威胁来收取网络保护费。

     DDOS 是一种向服务器发送大量无用请求，使服务器资源过载,使服务无法正常响应的一种攻击手段。

     Ddos 攻击大致可分为 网络层的ddos攻击 和应用层的ddos攻击。

     网络层的ddos攻击只要手段有sys flood，udp flood，icmp flood 等。其中syn flood 是一种最为经典的ddos 攻击，它利用了tcp/ip 协议的三次握手的规则，建立大量的半连接（半连接：当客户端向服务器器发送syn包时，服务器会向客户端发送syn/ack的回应包，但由于创建连接的是ip是虚假的，使得客户端对syn/ack的包无法正常回应，但服务端不知道这个地址是虚假的，所以它会重试发送3-5次，直到超时才会丢弃这个连接），这种大量的半连接会使服务器马上无法响应，拒接服务。对抗这种ddos 攻击，一般会使用各种算法，针对ddos的攻击特性，对流量进行清洗。
    应用层的ddos，就是发生在应用层面的，他是属于的正常的tcp连接，但它比网络层的ddos更难控制，因为在应用层的ddos攻击和正常应用访问之间的界限很难区分
    Cc攻击（challenge Collapasar 挑战黑洞）是应用层ddos的一种攻击手段，通过对一些资源消耗比较大的应用页面发起连接，消耗系统资源从而达到拒绝服务的目的
    还有一种就是攻击一些流量大的网站，在里面嵌入连接攻击目标的链接，这样的话所以访问该网站的用户都会对目标发起一次http请教。前几天的github被拖垮的原因，就是由于12306的抢票插件中嵌入了访问github的链接，这个也可以算是一次ddos攻击。
   还有一种攻击手段就是构造一个的不完整的http头部，是服务端认为没有正确的接受http header，并保持此连接不释放，这样持续的构造不完整的http头部，很快就可以是系统资源耗尽
     
以上内容是从 《白帽子讲web安全》里整理而来！