一、概述
二、传输层 TCP 类小包攻击（协议耗尽型，无流量放大能力）
1. SYN Flood（最主流 TCP 小包攻击）
攻击原理
伪造海量随机源 IP 发送 TCP SYN 握手包，服务器回复 SYN+ACK 后永久收不到客户端 ACK，堆积大量半连接（SYN_RECV），占满服务器 / 防火墙连接表，无法新建合法连接。全部为小包报文，高频 PPS 消耗内核会话资源。
资源消耗：防火墙会话表、服务器 CPU、系统半连接队列，带宽为辅。
黑市成本（900Gbps TCP 小包，全天 24h）
零售散单（按小时购买）：22680～113400 USDT / 天
批量包天套餐（IoT 肉鸡，稳定性一般）：5500～14000 USDT / 天
云主机高质量肉鸡（IP 分散难溯源）：12000～22000 USDT / 天
目标带 500G 高防清洗：总价上浮 100%
防御手段
开启 Linux 内核
tcp_syncookies=1、缩短半连接超时、防火墙单 IP SYN 限速、上游高防 IP 会话清洗、拦截畸形 TCP 小包。
2. ACK/RST 小包洪水
攻击原理
发送大量无上下文 ACK、RST 畸形小包，强制服务器持续校验 TCP 序列号，消耗 CPU；混杂随机端口扫描，扰乱防火墙规则匹配。
成本：同 SYN Flood，TCP 类统一溢价 50%，计价标准一致。
防御：边界丢弃无连接状态孤立 ACK/RST、TCP 状态检测过滤。
3. TCP 分片小包攻击
原理：发送极小、不完整 TCP 分片报文，迫使服务器反复重组报文，耗尽内存与 CPU。
特点：隐蔽性强，普通流量阈值难以识别。
三、传输层 UDP 类攻击（带宽耗尽型，支持反射放大，成本最低）
1. 普通 UDP 小包洪水
原理：无连接协议，无需握手，海量小包打满出口带宽；服务器对未知端口回复 “端口不可达” ICMP，二次消耗资源。
资源消耗：机房出口带宽、防火墙转发性能。
黑市成本（900Gbps 全天）
裸服无防护包天：3000～5000 USDT
带基础云清洗：上浮 50%；高防 500G + 上浮 100%
2. UDP 反射放大攻击（攻击者首选低成本方案）
原理：伪造目标 IP 向公网开放 DNS/NTP/SSDP/Memcached 服务器发送小请求，第三方服务器返回数十～数百倍大流量至目标，少量肉鸡打出超大流量。
成本优势：同等 900G 峰值，成本仅普通 UDP 小包 60% 左右，全天 1800～6000 USDT。
四、网络层辅助攻击（ICMP 类，多作为混合攻击辅助）
ICMP Flood（Ping 洪水、死亡之 Ping）
原理：海量 Ping 小包、超大畸形 ICMP 包堵塞带宽，占用服务器 ICMP 处理线程；多搭配 TCP/UDP 混合使用，极少单独 900G 攻击。
成本：接近普通 UDP 价格，单独发包需求极少。
防御：防火墙限制 ICMP 速率、外网屏蔽大尺寸 ICMP 报文。
五、应用层 CC 攻击（七层业务耗尽，单价最高，流量不一定大）
攻击原理
模拟真实用户 HTTP/HTTPS 访问，高频请求动态接口、数据库查询、登录页面；流量可能仅几十 G，但直接耗尽 Web、数据库、中间件资源，业务卡死 503 报错。
成本特点：单位带宽价格远高于四层流量，900G CC 全天 30000～80000 USDT，高防 WAF 环境价格翻倍。
防御：接入 WAF、验证码人机识别、单 IP 请求频率限流、静态资源 CDN 分离、数据库缓存优化。
六、各类攻击综合对比表（峰值 900Gbps、持续 24 小时）
| 攻击类型 | 协议层级 | 是否可放大 | 核心消耗资源 | 黑市包天成本区间 (USDT) | 典型业务影响 |
|---|---|---|---|---|---|
| TCP 小包（SYN/ACK） | 四层传输层 | 不可放大 | 会话表、CPU | 5500～22000 | 无法建立新连接，游戏 / 网站掉线 |
| 普通 UDP 小包洪水 | 四层传输层 | 不可放大 | 出口带宽 | 3000～12000 | 机房带宽占满，所有业务断流 |
| UDP 反射放大攻击 | 四层传输层 | 50～500 倍放大 | 带宽 | 1800～6000 | 超大流量瞬间打垮基础防护 |
| ICMP Ping 洪水 | 三层网络层 | 不可放大 | 带宽、内核 ICMP 线程 | 3500～13000 | 延迟飙升，内网通信卡顿 |
| CC 七层应用攻击 | 七层应用层 | 无流量放大 | Web / 数据库 | 30000～80000 | 网站打开缓慢、接口超时、数据库卡死 |
七、攻击者两种实施模式成本差异
外购黑产攻击服务（外部攻击者主流）
全部成本参考上表，交易使用虚拟货币，无售后保障，极易遭遇诈骗，无法维权。
自有僵尸网络（自建 IoT 肉鸡池）
仅算边际增量成本，一次性搭建成本不计单次攻击：
IoT 摄像头肉鸡发起 900G TCP 小包 24h：人民币 800～3000 元
云服务器肉鸡发起 TCP 攻击：单日增量 8000～20000 元
八、统一防御体系建设建议
底层流量防护：业务前置高防 IP / 流量清洗中心，抵御四层 900G 级大流量 TCP/UDP 洪水；
传输层加固：TCP 启用 SYN Cookie、UDP 端口精细化 ACL 限速、拦截分片 / 畸形小包；
应用层防护：部署 WAF，人机验证、接口限流，对抗 CC 业务层攻击；
运维监控：实时监控带宽、并发连接、PPS 包速率、CPU 负载，异常自动触发清洗；
溯源处置：完整留存流量日志、攻击时间段业务损失凭证，遭遇攻击立即向属地网安大队报案。
九、法律风险警示（重点）
购买、发包、运营 DDoS 攻击、提供攻击服务均触犯《刑法》第 286 条破坏计算机信息系统罪；
持续 900Gbps 全天攻击造成企业长时间业务中断、大额经济损失，属于后果特别严重，量刑五年以上有期徒刑，附带全额民事赔偿；
网安部门可溯源肉鸡 IP、聊天记录、虚拟币转账记录，完整取证抓捕全链条人员。
咨询
24小时技术QQ:1767559921
24小时技术电话:13221000030
