DDoS功击是目前最常见的一种网路功击手段，随著互联网路带宽的增加和多种DDOS黒客工具的不断发布，DDOS拒绝服务功击的实施越来越容易，DDOS功击事件正在成上升趋势。DDoS功击有许多不同的类型，有些DDOS功击通过架构优化、伺服器加固等简单的常规手段就可以进行防御，而有些厉害的DDOS功击类型就只能通过接入墨者安全这样的商业DDOS高防服务才可以有效的防护了。哪种类型的DDoS功击最难防御呢？墨者安全通过多年高防经验，来分享一下最恐怖的DDOS功击类型有哪些？

1、TCP洪水功击（SYN Flood）

TCP洪水功击是当前最流行的DoS（拒绝服务功击）与DDoS（分散式拒绝服务功击）的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，常用假冒的IP或IP号段发来海量的请求连接的第一个握手包（SYN包），被功击伺服器回应第二个握手包（SYN+ACK包），因为对方是假冒IP，对方永远收不到包且不会回应第三个握手包。导致被功击伺服器保持大量SYN_RECV状态的「半连接」，并且会重试默认5次回应第二个握手包，塞满TCP等待连接队列，资源耗尽（CPU满负荷或内存不足），让正常的业务请求连接不进来。

2、反射性功击（DrDoS）

反射型的 DDoS 功击是一种新的变种，与DoS、DDoS不同，该方式靠的是发送大量带有被害者IP地址的数据包给功击主机，然后功击主机对IP地址源做出大量回应，形成拒绝服务功击。黒客往往会选择那些响应包远大于请求包的服务来利用，这样才可以以较小的流量换取更大的流量，获得几倍甚至几十倍的放大效果，从而四两拨千斤。一般来说，可以被利用来做放大反射功击的服务包括DNS服务、NTP服务、SSDP服务、Chargen服务、Memcached等。

3、CC功击（HTTP Flood）

HTTP Flood又称CC功击，是针对Web服务在第七层协议发起的功击。通过向Web伺服器发送大量HTTP请求来模仿网站访问者以耗尽其资源。虽然其中一些功击具有可用于识别和阻止它们的模式，但是无法轻易识别的HTTP洪水。它的巨大危害性主要表现在三个方面：发起方便、过滤困难、影响深远。

4、直接僵尸网路功击

僵尸网路就是我们俗称的「肉鸡」，现在「肉鸡」不再局限于传统PC，越来越多的智能物联网设备进入市场，且安全性远低于PC，这让功击者更容易获得大量「肉鸡」，也更容易直接发起僵尸网路功击。根据僵尸网路的不同类型，功击者可以使用它来执行各种不同的功击，不仅仅是网站，还包括游戏伺服器和任何其他服务。

以上这四种DDOS功击类型就是目前最难防御的功击类型了，当网站或伺服器遭到其中的任何一种DDOS功击，都是需要专业级的高防服务才可以抵御，常规的防御措施在这四种DDOS功击面前根本起不到任何缓解的作用。互联网企业一定要提前做好防护措施，才能避免因DDOS功击而受到经济损失。

推荐阅读：