DOS: Denial of Service 拒绝服务
DDOS: Distributed Denial of Service 分布式拒绝服务攻击
RDDos: Reflection Distributed Denial of Service 反射分布式拒绝服务攻击
TCP/IP连接建立过程：
A 发送SYN到 B
B 发送SYN2＋ACK到 A
A 发送ACK2到 B （TCP/IP连接成功建立）
DOS攻击利用了TCP/IP协议的固有漏洞，在第二步，A接受到SYN2＋ACK后并不回复ACK2给B，从而使B保持等待回复状态，产生大量的半连接，消耗掉[wiki]系统[/wiki]资源，使正常的服务不能相应。
DOS攻击的模型图如下：
DDOS攻击的模型图如下：
在这里模型下，目标机器上反查攻击路径是可能的。目标机器会找到大量的傀儡机，傀儡机指向上一层傀儡机。而[wiki]黑客[/wiki]使用了两层傀儡机的好处是，只需要在第一层的一台傀儡机上清除掉自己的脚印，就可以保证不被查到；而不必在第二层每台机器上都清除访问痕迹。
对于DDOS攻击，防范的办法可以有限制访问[wiki]端口[/wiki]、封锁傀儡机IP、限制半连接数量等。在DDOS攻击方式出现这么长[wiki]时间[/wiki]之后，应对它也逐渐有了更多、更有效的方法。
RDDOS，或者叫做DRDOS(Distributed Reflection Denial of Service)攻击是一种比较新的拒绝服务攻击模式，它的模型图如下：
这种攻击方式的几大优点：
1、傀儡机众多，但每个傀儡机上发出礫wiki]氖[/wiki]莅⒉缓Ａ浚糠馑鳬P的方法来防止攻击基本不可行
2、黑客甚至不需要清除自己的足迹
3、傀儡机可以根本没有[wiki]安全[/wiki]漏洞，它们只是相应正常的请求
对于这种攻击方式，目前没有好的防止办法，只能靠限制半连接数目来缓冲一下。
--------------------------------------------------------------------------------
对此有帮助的文档：
http://www.grc.com/dos/drdos.htm
请关注：
http://www.secexpert.net
http://literature.mblogger.cn/jakee/posts/200857.aspx
[
本帖最后由 jakee 于 2008-4-21 20:57 编辑 ]
