2023年冬天，网站我帮一个做跨境电商的攻击朋友看服务器日志。他的软件独立站连续三天在凌晨两点到四点之间出现大量异常POST请求，每次持续约40分钟，网站流量峰值冲到正常值的攻击17倍。服务器没崩，软件但数据库连接池被占满，网站正常用户结账时全部卡死。攻击他以为是软件竞争对手搞鬼，花了两千多块买了个“高防CDN”，网站结果第四天攻击照旧。攻击后来我们抓包分析，软件发现攻击源IP分散在六个国家的网站VPS上，请求包里带着固定的攻击User-Agent字符串——那是一款叫“Xerxes”的开源压力测试工具留下的指纹。

这就是软件网站攻击软件最真实的模样。它未必是电影里那种黑底绿字的黑客界面，更多时候，它就是一个几百KB的C程序，或者一段二十行的Python脚本。Xerxes本身是2010年代初期流传出来的代码，设计初衷是测试服务器抗压能力，但被改几行参数就成了攻击工具。它的原理简单得让人失望：向目标网站发送大量带有随机参数的GET或POST请求，每个请求都完整走一遍TCP握手和HTTP解析。服务器资源有限，应付不过来，正常访客就被挤出去了。

这类软件分几个层次。最底层是“连接层”攻击，比如SYN Flood，它不完成TCP三次握手，只发SYN包，服务器为每个半开连接分配内存，几十万个半开连接就能把内存吃光。中间层是“应用层”攻击，像Xerxes这种，请求本身合法，但量太大。最上层是“慢速攻击”，比如Slowloris，它跟服务器建立连接后，每隔几秒发一个字符，保持连接不断开，一个线程就能拖住一个服务器进程，几千个线程就能让Apache或Nginx的并发连接数耗尽。

我见过一个更刁钻的案例。2021年某在线教育平台被攻击，攻击者没有发海量请求，而是精准地反复调用“发送短信验证码”接口。每个请求都触发一次第三方短信网关调用，平台每被攻击一次就损失0.05元短信费。攻击持续了六小时，直接烧掉三万多块。这种叫“经济型攻击”，软件本身只是curl命令加个循环，但找准了业务逻辑里的成本点。

写这些软件的人通常不直接参与攻击。他们混在Telegram群组或暗网论坛里，出售“攻击服务”按小时计费。一个叫“Stresser”的平台，界面跟普通云服务控制台没区别，输入目标URL、选择攻击类型、设定持续时间，点“启动”就开始。价格从每小时5美元到200美元不等，取决于攻击带宽和是否带“绕过Cloudflare”选项。买这些服务的人，可能是想搞垮竞争对手的小老板，也可能是跟游戏服务器有仇的玩家。

防御手段也在进化。Cloudflare和Akamai这类服务商靠的是“边缘节点清洗”——攻击流量先打到他们的全球节点，节点识别出恶意请求后丢弃，只把正常流量回源到你的服务器。但道高一尺魔高一丈，2022年出现的“HTTP/2 Rapid Reset”漏洞，攻击者利用HTTP/2协议的多路复用特性，在单个TCP连接里瞬间发起数万个请求再立即取消，Cloudflare自己都承认一度被打了每秒2.01亿个请求。软件和防御的对抗，本质上是协议实现细节的对抗。

普通人能做什么？如果你运营一个小网站，别指望靠代码完全挡住。最实际的做法是：把静态资源全扔到CDN上，源站只保留动态接口；给所有API加频率限制，比如同一IP每分钟最多60次；数据库查询加缓存，别让每个请求都打到MySQL。我那个朋友后来把结账接口改成异步队列，攻击流量进来后先入队，后端按正常速度消费，攻击持续了四天，但网站再没卡过。他花的钱不到之前买“高防”的十分之一。

攻击软件不会消失，因为写它们的人永远能找到新协议漏洞。但大多数网站根本轮不到被高级攻击——你只要把基础防护做好，就能过滤掉90%的脚本小子。剩下的10%，那是Cloudflare和AWS的工程师该头疼的事。