上周三凌晨两点，击工具测我盯着Wireshark里一条SYN flood的击工具测流量曲线，峰值冲到12万包/秒。击工具测目标是击工具测一台内网测试机，跑着Nginx，击工具测配置普通。击工具测发起攻击的击工具测是一台租来的VPS，上面只跑了一个hping3命令。击工具测结果呢？击工具测目标机在47秒后彻底没响应，SSH连不上，击工具测HTTP超时。击工具测这就是击工具测一次典型的DoS测试——不玩花哨的，就用最糙的击工具测工具打最直接的弱点。

很多人一听DoS工具，击工具测脑子里蹦出LOIC、击工具测HOIC这些带界面的东西。我试过LOIC，在Windows上点几下就能发HTTP flood，但它的流量特征太明显，稍微像样的WAF都能拦。真正做压力测试，命令行工具更顺手。hping3算一个，能构造任意TCP/UDP/ICMP包。比如这条：hping3 -S --flood -p 80 192.168.1.100，直接往80端口灌SYN包，源IP随机伪造。目标机每收到一个SYN就分配一个半连接， backlog塞满后新连接全丢。我那次测试里，Nginx的worker_connections设的1024，根本扛不住。

另一个常用的是slowloris，这玩意儿不靠量，靠赖。它跟目标建立一堆HTTP连接，每个连接只发一个不完整的请求头，比如GET / HTTP/1.1\r\nHost: test\r\n，然后每隔几秒补一个无关的header。服务器等着收完请求，连接就一直挂着。Apache prefork模式下，几百个这种连接就能把worker占满。我拿它打过一台老Tomcat，200个连接就让新用户转圈了。这种攻击流量小得可怜，但效果立竿见影。

还有hping3的UDP变种，配合DNS放大。伪造源IP为受害者，向开放DNS解析器发ANY查询，响应包能放大50倍。去年有个客户被打了40Gbps，溯源发现是Memcached放大，一个stats请求能回传几千倍数据。这类反射攻击不需要控制肉鸡，找一堆开放服务就行。测试的时候我用自己搭的DNS服务器试过，dig ANY isc.org @target，单次响应1.2KB，放大倍数约30倍。要打满1Gbps，每秒只需要发3万个伪造包——一台VPS足够。

工具本身没好坏，看你怎么用。我在内网做压测时，会先跟运维打招呼，把目标机从负载均衡里摘掉，只留一台测试实例。攻击流量限制在500Mbps以内，持续30秒，观察CPU、内存、连接数变化。有一次测一台Kubernetes节点，SYN flood打过去，kubelet直接失联，Pod全飘走。这暴露了内核参数net.ipv4.tcp_syncookies没开，somaxconn也设得小。改完再测，同样的流量，节点只掉了10%的包，服务没断。

别信那些“一键DDoS”的鬼话。真实环境里，运营商、云厂商、CDN都有清洗策略。我试过从三个不同机房同时打一个带Cloudflare的站，流量加起来8Gbps，结果全被Anycast吸收，源站日志里连个影子都没有。反倒是内网测试，没有防护设备，一打一个准。所以做DoS测试，先搞清楚目标有没有前置防护，不然就是白费力气。

最后说个细节：hping3的--rand-source参数在Linux上需要root，而且很多云厂商会丢弃源IP不在本网段的包。我试过在AWS EC2上伪造源IP，出站就被安全组拦了。后来改用真实源IP，只是把速率调高，效果一样。工具是死的，网络环境是活的。测之前先抓包看看，别上来就猛怼。