DDoS攻击长什么样
DDoS就是攻击者控制大量肉鸡，同时向你的服务器发送大量请求或者垃圾数据包，把你的带宽或者服务器资源耗尽，导致正常用户无法访问。跟一群人堵在你店门口不买东西也不让别人进是一个道理。
DDoS分两大类：流量型攻击和资源耗尽型攻击。流量型就是用海量数据把你的带宽填满，常见的是SYN Flood、UDP Flood、ICMP Flood。资源耗尽型是用大量合法请求把你的服务器CPU、内存、连接数耗尽，CC攻击就属于这一类。
龙湖镇一家做网页游戏的公司，去年被竞争对手打了20G的SYN Flood。服务器在郑州一个普通机房，带宽只有100M独享，20G流量打过来瞬间就把入口带宽撑爆了，不仅这个游戏公司的服务器挂了，同机房的其他客户也受影响。
攻击发生时的应急处理
确认是DDoS攻击后，第一时间联系机房。为什么？因为单靠你自己是扛不住的，DDoS流量在你服务器的上游就被堵住了，你服务器上做什么配置都没用。机房可以在上层交换机或者路由器层面做ACL过滤，把攻击流量在到达你服务器之前就丢掉。
如果是小流量攻击（1到5G），机房的普通防护可能够用。但像20G这种规模的，机房自身防护也扛不住，需要专业的DDoS清洗服务。国内常用的有阿里云DDoS高防、腾讯云大禹、知道创宇加速乐。这些服务在你被攻击的时候把流量引流到他们的清洗中心，洗干净了再回源给你。
切换清洗服务需要改DNS解析，把域名指向清洗服务商的IP。DNS生效时间取决于TTL，所以平时TTL别设太长，300秒（5分钟）比较合适。被攻击的时候你改了解析，5分钟就能生效。如果TTL设的是3600（1小时），那这一个小时内你的网站还是被打的。
高防服务器 适合常被攻击的业务
如果你的业务经常被攻击（游戏、支付、金融类），直接上高防服务器比临时找清洗服务靠谱。高防服务器就是机房给你分配的带大流量清洗能力的服务器，一般防护能力在50G到500G不等。
郑州本地机房的高防能力参差不齐。洛阳和开封的几个BGP机房高防能力比较强，郑州本地的机房高防资源相对少。选择的时候看三个指标：防护峰值多大、清洗精度怎么样、被攻击时是否影响正常业务。
那个游戏公司后来迁移到了一个带100G防护的高防机房，月费从800涨到了2500，但之后再遇到攻击就没被打挂过。老板说多花的1700块买的是安心。
CC攻击是DDoS的变种 防护思路不同
CC攻击流量不大，但请求很精准，专门打你服务器上最耗资源的页面。SYN Flood那种流量型攻击可以靠清洗设备搞定，但CC攻击的请求看起来跟正常用户一样，清洗设备很难区分。
CC防护的核心是区分人和机器。方法：第一，给关键接口加验证码，人能过验证码但脚本不行。第二，分析请求特征，同一个IP在短时间内请求同一接口超过阈值就限流。第三，用JavaScript挑战，要求客户端执行一段JS代码才能继续访问，绝大多数CC脚本没有JS执行能力。
管城区一家做票务的网站被CC打过，攻击者反复请求订单查询接口，每个请求都触发数据库复杂查询。后来给查询接口加了Redis缓存，同一个订单号5分钟内只查一次数据库，配合限流策略，CC攻击的影响直接降到了可接受范围。
日常准备比应急处理更重要
DDoS攻击的应急处理窗口很短，从发现到服务不可用可能就几分钟。如果你等被攻击了才找清洗服务商、才改DNS、才联系机房，黄花菜都凉了。日常该做的准备：
提前对接好DDoS清洗服务商，把接入流程走一遍，别等出事了才开始对接。DNS的TTL设短，300秒左右。准备一份应急联系名单：机房值班电话、清洗服务商技术支持、域名注册商客服。
部署流量监控，带宽使用率突然飙升到80%以上自动告警。很多时候DDoS攻击刚开始的时候流量是逐步上升的，如果你能在5G的时候就发现并启动防护，比等到20G再处理容易得多。
说白了DDoS防御就是打有准备的仗。攻击者随时可能来，你的防护方案必须提前就位。临时抱佛脚的结果就是网站挂几个小时甚至几天，这个损失远超防护费用。别被忽悠了觉得小公司不会被攻击，很多攻击就是随机扫描打的，跟公司大小没关系。