和 锤子抢头条的居然是 DDoS攻击 ！

8月25日晚，锤子手机新品牌坚果第一款手机公布， 发布会意外延迟引发网络“ 黑色半小时” 大讨论。多种猜测 在网络疯传，罗永浩 在 微博上证实 官方 网站遭受 DDoS攻击 。 据了解，锤子 官网遭到高达数十 G的 流量 攻击，一度面临 全面瘫痪风险 。锤子科技立即 启动 应急预案，紧急接入腾讯云大禹系统，最后，新品坚果手机顺利发布并在9分钟内全部售罄！

DDoS攻击 没有对锤子新品 开放购买 带来影响 ，但这一事件却再一次引发行业对于网络安全的关注。

由于 安全防护能力的参差 不齐 ， 作为 最常见的网络攻击方式， DD oS 往往 能 给大多数 互联网企业带来沉重的打击。 幸运 的是 ，在网络 安全上有深 厚 积累 的腾讯，已经通过腾讯云将 安全防护能力对外开放。

本文希望 通过 腾讯云 安全团队的分享， 梳理DDoS黑产，希望让行业对网络安全有更深认识 。

DDoS黑产揭秘：以攻为业，利益至上

城东新开了一家牛肉面馆，生意红火，顾客络绎不绝。某天，一个地方恶霸召集了手下一批小弟，一窝蜂涌入牛肉面馆，霸占了所有座位 ， 只聊天不点菜，导致真正的顾客无法进店消费。由此 ，牛肉面馆 的生意受到影响，损失惨重。

如果把这家牛肉面馆看作是一家互联网企业，那么这群地痞的恶行，就是典型的分布式拒绝服务，也就是我们所说 的 DDoS攻击 。

攻击 ， 只 是手段 。 利益，才是永恒的目的。 DDoS诞生近二十年，最初纯粹是作为一种彰显黑客能力的技术而存在，往后却逐渐发展成为被人们用以逐利的工具。究其获利方式， 主要有两大类： 敲诈勒索 和商业竞争。

一、敲诈勒索

相比于现实世界，互联网可以说是一个更难以监督， 同时 更易于匿藏的世界。在这个虚拟世界里，无论是犯罪成本、风险还是法律强制力，都远比现实世界来得低。

从现实延伸到网络，敲诈勒索这门 犯罪 活动愈演愈烈。而DDoS 由于成本低 、 实施容易 等特点 ， 在 较早期就开始 成为不法之徒在网络上敲诈勒索的主要方式。首先，勒索者或 勒索组织 选取目标网站， 对其 发起示威性的DDoS攻击 ，使其 业务受到影响。接着 ， 勒索 者 向 受害者 发送勒索信， 收取所谓的 「保护费」。如果受害者不按照要求支付费用，就会继续遭到更猛烈 的 攻击。因此 ， 对于众多互联网业务的经营者来说，DDoS敲诈勒索始终是一个挥之不去的梦魇。

1、在线盈利 企业 成猎物

如果说早期黑客 所进行 的DDoS更多是表现为无序的攻击，那DDoS 敲诈勒索便是有 特定 目标、有 一定 计划的犯罪行为 。不法之徒 所选取的敲诈勒索 的 对象 ，往往是 一些通过在线经营而盈利的业务 ，例如 在线交易市场、博彩网站等等 。 另外 ， 那些缺乏安全防护措施 或者安全防护能力 低下的在线业务或机构， 也容易成为 这些不法之徒 的猎物 。

而在 攻击 时间 的选择上 勒索者 也很有考究， 他们 一般 会 选择在 网站 流量高峰期或者网站 促销活动开始前 发动DDoS

　　图 2 ： DDoS敲诈勒索信

2 、周而复始 的 敲诈

现实中的绑匪在收取保释金后，未必会遵守约定乖乖放人。网络世界也是如此，DDoS攻击者并非都是讲信义的黑客，隐藏在屏幕后面的往往是一个个贪婪的逐利者。

有时候，在受害者缴纳了商定的「保护费」之后，该网站就会被黑客列为容易屈服的网站名单中。根据 这份名单， 攻击者 会 伪装成其他的攻击组织再次进行敲诈勒索， 或者直接撕破脸皮 继续发动攻击，向其索要更多费用。

3 、勒索间接利益

而有的攻击者向 受害者 所勒索 的 ，既不是现实 货币 ，也 不是虚拟货币，而是其他间接利益 。 例如， 一些 受到 攻击的游戏运营 商会 被 胁迫 在其游戏中植入广告 ， 攻击者再通过 这些 广告渠道获利 。 再例如 ， 一些 攻击者会 把网吧作为 专门 的攻击 对象 ，要求网吧植入僵尸程序 ， 借此 扩充自己 的僵尸网络。

虽然攻击者 没有从 这种变相敲诈勒索中 直接获得钱财，但 通过 植入广告 或者 僵尸程序， 他们也实现了间接获利 。

二、商业竞争

自古以来 ， 商业竞争 就 是市场经济 的一部分。 为抢占更多的市场份额、获得更高的经济效益，商品经营者 展开角逐 ，相互较量，最后汰弱留强。

商业竞争在互联网这个「万亿市场」中尤 为激烈。 乘着「 互联网 +」的 热潮， 无数满怀热情和理想的创业者纷纷投奔到这片红海，老大想要稳坐第一，老二想要博取上位，老三想要抢占份额，老四也想分一杯羹。有些行业竞争者甚至 为了 利益 不择手段 、 不顾 法纪。在这种恶性竞争 态势下， DDoS也成了一种 邪恶 的竞争手段， 被互联网业务的经营者用以妨碍竞争对手的业务活动，打击对手的声誉，从中获取竞争优势 。

1、 电商 和 游戏 深受其害

目前 ， 这种利用 DDoS进行 恶性竞争的情况主要存在于两大互联网行业：电商行业和游戏行业。O2O模式成为时下新宠，促使 电商 行业风生水起；而在线 游戏 用户量庞大，利润丰厚 。正所谓「树大招风，财大招贼」，在利益 和贪欲的驱使 下 ，DDoS攻击充斥 在这两个行业中 。

另外 ， 在 创业初期的互联网 业务 也 较易遭受 DDoS攻击 ， 这些攻击 大多数 是 来自行业壁垒同盟。行业 壁垒同盟 为了现有 的市场份额不被更多地瓜分 ，遂通过攻击， 共同 抵制同盟外 的 「 行业新人 」。面对 严峻形势，很多 弱小 的互联网初创企业 只能早早 夭折 。

2、 助长 黑色产业

有人 的地方就有江湖， 有需求的 地方就有市场 。在互联网地下市场中，利用DDoS进行商业竞争已经成为一种低成本、见效快的现象， 因此， 在网络世界中明码标价提供DDoS攻击服务的黑产市场也随之不断扩张， 并逐渐形成一条成熟的黑色产业链 。

　　图 4 ： 形形色色的DDoS接单广告

在这个黑色产业 中 ，DDoS黑客不再 是单纯发泄不满的 年轻人 ，也 不再是组织攻击的主角，他们成了同行竞争者所雇佣的「打手」。从事DDoS攻击服务已有四年的 K哥甚至 信心满满地 说：这是一份「零风险」的活儿，只要不打政府网站，没人会管，管也管不了。

3、两百块搞定一单

当某个行业发展到一定阶段，就自然而然衍生出一些业内行规。在提供 DDoS 攻击服务 的黑市中， 黑产从业者要想 有生意，首先 需要接收「D单」和「C单」 。 所谓「D单」，就是 客户要求对某个目标发起 DDoS的订单。「C 单 」 则是 指使用 CC攻击 的 订单（ CC攻击 ： DDoS攻击中较含技术含量的一种 ） 。除此之外，DDoS黑市上 还有 「包天单」、「包夜单」等 说法 ， 分别 指对目标进行整天、整夜攻击的大订单。

目前黑市上，根据 攻击难度和攻击时长， 完成一份 D单的 报酬从1 00 元到上千元不等， 一般是 200元 一单 。据一位专门 接单的黑产人员 透露：凭这份活儿， 一个月能净赚3000元人民币以上。

4、 黑吃黑现象普遍

在 交易的时候， 「先测试，后付款」是黑产人员与客户之间相沿成习的规定。攻击者先为客户对目标进行小试牛刀的DDoS攻击，让客户看到效果后再进行付款。收到约定 的 款项后，攻击者才会对目标进行持续性的攻击，攻击力度和时长根据客户要求而定。另外 还有 一种简单粗暴 的 交易 规则： 直到 攻击者把 目标网站彻底打 瘫痪了 ，客户 再一次性付款 ， 行内 俗称 「支持测试 ， 打死付款」。

然而，在DDoS 接单 黑产中 ， 也存在较多黑吃黑现象——客户骗取免费「测试」后逃之夭夭 ，或者接单人员收取客户 的 款项 后 ， 不 按照 约定 提供 攻击服务， 直接拉黑对方 。

5 、 攻击工具唾手可得

外行人 可能会 认为 DDoS 攻击 是黑客的专利 ，实际上，进行DDoS 攻击 的门槛变得越来越低，这很大程度上是由于DDoS攻击工具唾手可得。

现在 ，DDoS 攻击所需 的工具 一般 在网络上 可以 直接 免费 下载，稍微好一点的也能 在网上廉价购得。这些工具使用简单、方便，只要输入攻击目标的地址就能进行攻击。此外 ，攻击所需的流量 也可在 网上租 用 ， 一般 按时按量收费。

　　图 6 ：DDoS攻击所需 的 流量可在 网上 租用

6 、会打字就 会 DDoS

有了攻击 工具 和 流量， 进行 DDoS便 不再是难事 。 因此， 除了 接收攻击订单 ，有的攻击者还有偿 接收 学徒， 提供DDoS 教学 。 目前 黑市上 学习 DDoS的 学费从100 元 到 5 00 元人民币 不等。 有的 黑产人员 甚至 提供 免费教学 ， 前提 是学徒必须租用 由他们提供 的 工具 和 流量 。 从学徒 收来的学费 和 租用费， 也成 了这些黑产从业者收入的一部分。

说到学习难度 ，黑产从业者 承诺 ： 只要 会打字， 就保证 能学会DDoS 。事实上， 这种说法 并不 假 ， 只要具备攻击工具（软件）和攻击资源（流量），发起DDoS攻击的人可以是完全不具备专业技术知识的人。

腾讯云全面开放 安全防护 能力，新版大禹系统即将发布

曾有一位互联网大拿说过：安全，是互联网企业的第一道门槛。纵观被DDoS充斥的互联网产业生态圈，这句话显得格外在理。

为了提高互联网业界的安全防护能力，腾讯云总结十年安全对抗经验，倾力打造成熟 的 DDoS攻击防护解决方案「大禹」，该 系统 曾抵御近300G攻击峰值，能够为腾讯云客户业务提供稳定可靠的DDoS攻击检测与防护能力，为业务的安全、稳定、健康运营保驾护航。

近期 ， 团队集中研发资源对大禹系统进行了多次升级，新版大禹系统预计将在九月中旬对外全面开放。新版本将进一步强化DDoS和CC的防护能力，使其具备应用防火墙（WAF）、反DNS劫持、资源防盗链等安全能力，并且提供加速访问的功能，形成更加可靠和全面的web安全解决方案。