和 錘子搶頭條的居然是 DDoS攻擊 ！

8月25日晚，錘子手機新品牌堅果第一款手機公布， 發布會意外延遲引發網絡“ 黑色半小時” 大討論。多種猜測 在網絡瘋傳，羅永浩 在 微博上證實 官方 網站遭受 DDoS攻擊 。 據了解，錘子 官網遭到高達數十 G的 流量 攻擊，一度面臨 全面癱瘓風險 。錘子科技立即 啟動 應急預案，緊急接入騰訊云大禹系統，最后，新品堅果手機順利發布并在9分鐘內全部售罄！

DDoS攻擊 沒有對錘子新品 開放購買 帶來影響 ，但這一事件卻再一次引發行業對于網絡安全的關注。

由于 安全防護能力的參差 不齊 ， 作為 最常見的網絡攻擊方式， DD oS 往往 能 給大多數 互聯網企業帶來沉重的打擊。 幸運 的是 ，在網絡 安全上有深 厚 積累 的騰訊，已經通過騰訊云將 安全防護能力對外開放。

本文希望 通過 騰訊云 安全團隊的分享， 梳理DDoS黑產，希望讓行業對網絡安全有更深認識 。

DDoS黑產揭秘：以攻為業，利益至上

城東新開了一家牛肉面館，生意紅火，顧客絡繹不絕。某天，一個地方惡霸召集了手下一批小弟，一窩蜂涌入牛肉面館，霸占了所有座位 ， 只聊天不點菜，導致真正的顧客無法進店消費。由此 ，牛肉面館 的生意受到影響，損失慘重。

如果把這家牛肉面館看作是一家互聯網企業，那么這群地痞的惡行，就是典型的分布式拒絕服務，也就是我們所說 的 DDoS攻擊 。

攻擊 ， 只 是手段 。 利益，才是永恒的目的。 DDoS誕生近二十年，最初純粹是作為一種彰顯黑客能力的技術而存在，往后卻逐漸發展成為被人們用以逐利的工具。究其獲利方式， 主要有兩大類： 敲詐勒索 和商業競爭。

一、敲詐勒索

相比于現實世界，互聯網可以說是一個更難以監督， 同時 更易于匿藏的世界。在這個虛擬世界里，無論是犯罪成本、風險還是法律強制力，都遠比現實世界來得低。

從現實延伸到網絡，敲詐勒索這門 犯罪 活動愈演愈烈。而DDoS 由于成本低 、 實施容易 等特點 ， 在 較早期就開始 成為不法之徒在網絡上敲詐勒索的主要方式。首先，勒索者或 勒索組織 選取目標網站， 對其 發起示威性的DDoS攻擊 ，使其 業務受到影響。接著 ， 勒索 者 向 受害者 發送勒索信， 收取所謂的 「保護費」。如果受害者不按照要求支付費用，就會繼續遭到更猛烈 的 攻擊。因此 ， 對于眾多互聯網業務的經營者來說，DDoS敲詐勒索始終是一個揮之不去的夢魘。

1、在線盈利 企業 成獵物

如果說早期黑客 所進行 的DDoS更多是表現為無序的攻擊，那DDoS 敲詐勒索便是有 特定 目標、有 一定 計劃的犯罪行為 。不法之徒 所選取的敲詐勒索 的 對象 ，往往是 一些通過在線經營而盈利的業務 ，例如 在線交易市場、博彩網站等等 。 另外 ， 那些缺乏安全防護措施 或者安全防護能力 低下的在線業務或機構， 也容易成為 這些不法之徒 的獵物 。

而在 攻擊 時間 的選擇上 勒索者 也很有考究， 他們 一般 會 選擇在 網站 流量高峰期或者網站 促銷活動開始前 發動DDoS

　　圖 2 ： DDoS敲詐勒索信

2 、周而復始 的 敲詐

現實中的綁匪在收取保釋金后，未必會遵守約定乖乖放人。網絡世界也是如此，DDoS攻擊者并非都是講信義的黑客，隱藏在屏幕后面的往往是一個個貪婪的逐利者。

有時候，在受害者繳納了商定的「保護費」之后，該網站就會被黑客列為容易屈服的網站名單中。根據 這份名單， 攻擊者 會 偽裝成其他的攻擊組織再次進行敲詐勒索， 或者直接撕破臉皮 繼續發動攻擊，向其索要更多費用。

3 、勒索間接利益

而有的攻擊者向 受害者 所勒索 的 ，既不是現實 貨幣 ，也 不是虛擬貨幣，而是其他間接利益 。 例如， 一些 受到 攻擊的游戲運營 商會 被 脅迫 在其游戲中植入廣告 ， 攻擊者再通過 這些 廣告渠道獲利 。 再例如 ， 一些 攻擊者會 把網吧作為 專門 的攻擊 對象 ，要求網吧植入僵尸程序 ， 借此 擴充自己 的僵尸網絡。

雖然攻擊者 沒有從 這種變相敲詐勒索中 直接獲得錢財，但 通過 植入廣告 或者 僵尸程序， 他們也實現了間接獲利 。

二、商業競爭

自古以來 ， 商業競爭 就 是市場經濟 的一部分。 為搶占更多的市場份額、獲得更高的經濟效益，商品經營者 展開角逐 ，相互較量，最后汰弱留強。

商業競爭在互聯網這個「萬億市場」中尤 為激烈。 乘著「 互聯網 +」的 熱潮， 無數滿懷熱情和理想的創業者紛紛投奔到這片紅海，老大想要穩坐第一，老二想要博取上位，老三想要搶占份額，老四也想分一杯羹。有些行業競爭者甚至 為了 利益 不擇手段 、 不顧 法紀。在這種惡性競爭 態勢下， DDoS也成了一種 邪惡 的競爭手段， 被互聯網業務的經營者用以妨礙競爭對手的業務活動，打擊對手的聲譽，從中獲取競爭優勢 。

1、 電商 和 游戲 深受其害

目前 ， 這種利用 DDoS進行 惡性競爭的情況主要存在于兩大互聯網行業：電商行業和游戲行業。O2O模式成為時下新寵，促使 電商 行業風生水起；而在線 游戲 用戶量龐大，利潤豐厚 。正所謂「樹大招風，財大招賊」，在利益 和貪欲的驅使 下 ，DDoS攻擊充斥 在這兩個行業中 。

另外 ， 在 創業初期的互聯網 業務 也 較易遭受 DDoS攻擊 ， 這些攻擊 大多數 是 來自行業壁壘同盟。行業 壁壘同盟 為了現有 的市場份額不被更多地瓜分 ，遂通過攻擊， 共同 抵制同盟外 的 「 行業新人 」。面對 嚴峻形勢，很多 弱小 的互聯網初創企業 只能早早 夭折 。

2、 助長 黑色產業

有人 的地方就有江湖， 有需求的 地方就有市場 。在互聯網地下市場中，利用DDoS進行商業競爭已經成為一種低成本、見效快的現象， 因此， 在網絡世界中明碼標價提供DDoS攻擊服務的黑產市場也隨之不斷擴張， 并逐漸形成一條成熟的黑色產業鏈 。

　　圖 4 ： 形形色色的DDoS接單廣告

在這個黑色產業 中 ，DDoS黑客不再 是單純發泄不滿的 年輕人 ，也 不再是組織攻擊的主角，他們成了同行競爭者所雇傭的「打手」。從事DDoS攻擊服務已有四年的 K哥甚至 信心滿滿地 說：這是一份「零風險」的活兒，只要不打政府網站，沒人會管，管也管不了。

3、兩百塊搞定一單

當某個行業發展到一定階段，就自然而然衍生出一些業內行規。在提供 DDoS 攻擊服務 的黑市中， 黑產從業者要想 有生意，首先 需要接收「D單」和「C單」 。 所謂「D單」，就是 客戶要求對某個目標發起 DDoS的訂單。「C 單 」 則是 指使用 CC攻擊 的 訂單（ CC攻擊 ： DDoS攻擊中較含技術含量的一種 ） 。除此之外，DDoS黑市上 還有 「包天單」、「包夜單」等 說法 ， 分別 指對目標進行整天、整夜攻擊的大訂單。

目前黑市上，根據 攻擊難度和攻擊時長， 完成一份 D單的 報酬從1 00 元到上千元不等， 一般是 200元 一單 。據一位專門 接單的黑產人員 透露：憑這份活兒， 一個月能凈賺3000元人民幣以上。

4、 黑吃黑現象普遍

在 交易的時候， 「先測試，后付款」是黑產人員與客戶之間相沿成習的規定。攻擊者先為客戶對目標進行小試牛刀的DDoS攻擊，讓客戶看到效果后再進行付款。收到約定 的 款項后，攻擊者才會對目標進行持續性的攻擊，攻擊力度和時長根據客戶要求而定。另外 還有 一種簡單粗暴 的 交易 規則： 直到 攻擊者把 目標網站徹底打 癱瘓了 ，客戶 再一次性付款 ， 行內 俗稱 「支持測試 ， 打死付款」。

然而，在DDoS 接單 黑產中 ， 也存在較多黑吃黑現象——客戶騙取免費「測試」后逃之夭夭 ，或者接單人員收取客戶 的 款項 后 ， 不 按照 約定 提供 攻擊服務， 直接拉黑對方 。

5 、 攻擊工具唾手可得

外行人 可能會 認為 DDoS 攻擊 是黑客的專利 ，實際上，進行DDoS 攻擊 的門檻變得越來越低，這很大程度上是由于DDoS攻擊工具唾手可得。

現在 ，DDoS 攻擊所需 的工具 一般 在網絡上 可以 直接 免費 下載，稍微好一點的也能 在網上廉價購得。這些工具使用簡單、方便，只要輸入攻擊目標的地址就能進行攻擊。此外 ，攻擊所需的流量 也可在 網上租 用 ， 一般 按時按量收費。

　　圖 6 ：DDoS攻擊所需 的 流量可在 網上 租用

6 、會打字就 會 DDoS

有了攻擊 工具 和 流量， 進行 DDoS便 不再是難事 。 因此， 除了 接收攻擊訂單 ，有的攻擊者還有償 接收 學徒， 提供DDoS 教學 。 目前 黑市上 學習 DDoS的 學費從100 元 到 5 00 元人民幣 不等。 有的 黑產人員 甚至 提供 免費教學 ， 前提 是學徒必須租用 由他們提供 的 工具 和 流量 。 從學徒 收來的學費 和 租用費， 也成 了這些黑產從業者收入的一部分。

說到學習難度 ，黑產從業者 承諾 ： 只要 會打字， 就保證 能學會DDoS 。事實上， 這種說法 并不 假 ， 只要具備攻擊工具（軟件）和攻擊資源（流量），發起DDoS攻擊的人可以是完全不具備專業技術知識的人。

騰訊云全面開放 安全防護 能力，新版大禹系統即將發布

曾有一位互聯網大拿說過：安全，是互聯網企業的第一道門檻。縱觀被DDoS充斥的互聯網產業生態圈，這句話顯得格外在理。

為了提高互聯網業界的安全防護能力，騰訊云總結十年安全對抗經驗，傾力打造成熟 的 DDoS攻擊防護解決方案「大禹」，該 系統 曾抵御近300G攻擊峰值，能夠為騰訊云客戶業務提供穩定可靠的DDoS攻擊檢測與防護能力，為業務的安全、穩定、健康運營保駕護航。

近期 ， 團隊集中研發資源對大禹系統進行了多次升級，新版大禹系統預計將在九月中旬對外全面開放。新版本將進一步強化DDoS和CC的防護能力，使其具備應用防火墻（WAF）、反DNS劫持、資源防盜鏈等安全能力，并且提供加速訪問的功能，形成更加可靠和全面的web安全解決方案。