2016年10月21日，攻击美国东海岸的利用互联网几乎瘫痪了。Twitter刷不出来，攻击Netflix放不了，利用PayPal付不了款，攻击连《纽约时报》的利用网站都打不开。不是攻击海底光缆断了，也不是利用什么超级黑客入侵了核心服务器。一家叫Dyn的攻击DNS服务商被海量垃圾流量淹没了，而制造这些流量的利用，是攻击几十万台被恶意软件感染的摄像头、打印机和家用路由器。利用这件事让我印象很深——原来你家里那个从没改过密码的攻击智能插座，也可能成为攻击武器。利用

DDoS，攻击全称分布式拒绝服务攻击。名字听着挺学术，拆开看就明白了。拒绝服务，就是让你用不了。分布式，就是不是一个人干的，是一群。打个比方：你开了家小饭馆，正常一天来一百个客人。突然某天门口涌来五千人，每人占一张桌子只点一杯白水，坐一整天不走。真正的客人进不来，你什么生意都做不了。DDoS就是这么回事，只不过被堵住的不是饭馆门，是服务器的带宽、连接数或者处理能力。

攻击方式其实不复杂，甚至可以说粗暴。最常见的是流量型攻击，用巨大的数据包把目标带宽塞满。就像拿消防水管往你家门缝里灌水，你连门都推不开。另一种是连接型攻击，比如SYN Flood，利用TCP协议握手的漏洞，发大量半连接请求，把服务器的连接表占满。服务器一直在等那个永远不来的确认包，正经用户的请求排不上队。还有一种更阴的，叫应用层攻击，流量看着不大，但专门打你最耗资源的接口，比如搜索查询、登录验证。一个HTTP请求就能让数据库跑好几秒，几百个并发就能把站打瘫。

关键在“分布式”三个字。早期黑客自己一台机器发攻击，目标封掉一个IP就完了。现在他们控制了僵尸网络——就是前面说的那些被感染的物联网设备。这些设备分布在全球各地，来自不同网络，你封IP根本封不过来。更麻烦的是，攻击者可以随时切换攻击源，今天用越南的摄像头，明天用巴西的路由器。你根本不知道下一波从哪来。

我观察到一个现象：很多人觉得DDoS离自己很远，是大公司才需要担心的事。但实际情况是，游戏私服、小型电商、甚至个人博客都会被打。原因很简单，攻击成本太低了。网上有现成的“压力测试”服务，几十块钱就能买一小时的攻击流量。竞争对手花点小钱就能让你周末促销活动彻底泡汤。有个做独立游戏的朋友跟我说，他服务器上线第一天就被打了，就因为有人在论坛里说了句“这游戏不错”。

防御这事，说实话挺被动的。常规做法无非几种：买高防服务器，相当于把饭馆搬到更宽敞的地方，但成本高；用CDN分散流量，把客人引导到不同分店去；配置防火墙规则，识别异常流量并丢弃。但攻击流量和正常流量混在一起时，过滤规则很容易误杀。更根本的问题在于，只要互联网协议还是现在这套，只要还有大量不设密码的物联网设备在线，DDoS就很难根治。这就像城市治安，你可以装监控、加巡逻，但没法保证永远没人扔石头。

说到底，DDoS利用的是互联网最基础的信任机制。TCP要握手，DNS要递归查询，这些设计当初就没考虑过恶意场景。攻击者不需要攻破什么系统，只需要滥用这些正常功能，把量堆到足够大。一个摄像头算不了什么，十万个摄像头同时发请求，那就是海啸。