1、SYN/ACK Flood攻击：这种攻击方法是经典最有效的DDOS方法，可通杀各种系统的网络服务，主要是通过向受害主机发送大量伪造源IP和源端口的SYN或ACK包，导致主机的缓存资源被耗尽或忙于发送回应包而造成拒绝服务，由于源都是伪造的故追踪起来比较困难，缺点是实施起来有一定难度，需要高带宽的僵尸主机支持。少量的这种攻击会导致主机服务器无法访问，但却可以Ping的通，在服务器上用Netstat -na命令会观察到存在大量的SYN_RECEIVED状态，大量的这种攻击会导致Ping失败、TCP/IP栈失效，并会出现系统凝固现象，即不响应键盘和鼠标。普通防火墙大多无法抵御此种攻击。
DDOS全名是DistributedDenialofservice（分布式拒绝服务攻击），很多DOS攻击源一起攻击某台服务器就组成了DDOS攻击，DDOS最早可追溯到1996年最初，在中国2002年开始频繁出现，2003年已经初具规模。通俗点说，就是黑客攻击网站。不过这种攻击方式是暴力模式！
DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使服务器无法处理合法用户的指令。DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当被攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高，它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了-目标对恶意攻击包的"消化能力"加强了不少，例如你的攻击软件每秒钟可以发送3，000个攻击包，但我的主机与网络带宽每秒钟可以处理10，000个攻击包，这样一来攻击就不会产生什么效果。这时候分布式的拒绝服务攻击手段（DDoS）就应运而生了。
DDOS的中文名叫分布式拒绝服务攻击，俗称洪水攻击,是网络攻击的一种。最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。国内腾正的惠州高防机房、湖南衡阳等等的高防服务器可以防御DDOS攻击，
腾正科技，嘉辉
具体含义
DDOS是指拒绝服务攻击，亦称洪水攻击，是一种网络攻击手法，其目的在于使目标计算机的网络或系统资源耗尽，使服务暂时中断或停止，导致其正常用户无法访问。当黑客使用网络上两个或以上被攻陷的计算机作为僵尸向特定的目标发动拒绝服务式攻击时，称为分布式拒绝服务攻击。
1.使用防火墙屏蔽
2.天网/瑞星防火墙可以显示攻击IP
3.防范办法在不影响你上网的前提下,关闭被攻击端口.
1.减少公开暴露
对于企业来说，减少公开暴露是防御 DDoS 攻击的有效方式，对 PSN 网络设置安全群组和私有网络，及时关闭不必要的服务等方式，能够有效防御网络黑客对于系统的窥探和入侵。具体措施包括禁止对主机的非开放服务的访问，限制同时打开的 SYN 最大连接数，限制特定 IP 地址的访问，启用防火墙的防 DDoS 的属性等。
路由器上的防火墙主要是针对外网的。。功能是防止DDoS攻击。可以开启。说实话。。你的这个路由器做不了防ARP攻击。从第一页开始说。。Ping服务第一项是忽略wan的Ping包。主要的功能是可以禁止别人通过外网来查询你的ping的状态。但arp对方照样可以学到。。如果是在internat开与不开无所谓。。第二项是禁止内网的ping包通过路由器到达对端。比如你想ping一个外网的或DNS服务器。如果这里开启了。你则ping不通上述的两台服务器。这对发生网络故障进行排错时，造成了一定的麻烦。建议不开启。第二页。。防火墙设置第一项开启防火墙。如果是通过拔号连通的外网。。我建议你开启此项。。如果你对外网的网络环境比较熟悉。。可以不开启。。毕竟开启防火墙会稍微影响网络速度。。但对拔号用户可以忽略不计的。反正都够慢的了。。还在忽再慢一点吗。。呵呵。。第二项。开启IP地址过滤。建议不要开启。。这是限制某一段的IP地址不允许通过路由器。如果你对外网不熟悉。或你是拔号用户。建议你不要开启此项。。否则很可能造成有的网页你打不开。。还找不到原因。第三项。开启域名过滤。这是很好理解。。就是说。。哪个域名的网页可以浏览，哪些不允许。。这个要看你的具体情况。。比如你家里有孩子。。不想让孩子上黄赌毒的网站。。你就可以在这里进行限制。禁止上述的网页通过路由器。第四项。主要是针对内网的。通过描述你也应该清楚的了解到。。哪些MAC地址的PC可以通过路由访问Internat网络。。哪些不允许。。配置此项要看自己的具体情况。。如果你的内网中，还有很多的PC。。你只想让其中某一台PC，连接到Internat那你就是可以选择[仅允许]，并把那台PC的MAC地址写进去即可。
CC攻击是DDoS攻击的其中一种，DDoS攻击方式还有：ICMP Flood、UDP Flood、NTP Flood...
CC攻击是目前应用层攻击的主要手段之一，借助代理服务器生成指向目标系统的合法请求，实现伪装和DDoS。我们都有这样的体验，访问一个静态页面，即使人多也不需要太长时间，但如果在高峰期访问论坛、贴吧等，那就很慢了，因为服务器系统需要到数据库中判断访问者否有读帖、发言等权限。访问的人越多，论坛的页面越多，数据库压力就越大，被访问的频率也越高，占用的系统资源也就相当可观。
分布式拒绝服务攻击（DDOS攻击）可以使很多的计算机在同一时间遭受到攻击，使攻击的目标无法正常使用，分布式拒绝服务攻击已经出现了很多次，导致很多的大型网站都出现了无法进行操作的情况，这样不仅仅会影响用户的正常使用，同时造成的经济损失也是非常巨大的。
分布式拒绝服务攻击方式在进行攻击的时候，可以对源IP地址进行伪造，这样就使得这种攻击在发生的时候隐蔽性是非常好的，同时要对攻击进行检测也是非常困难的，因此这种攻击方式也成为了非常难以防范的攻击。
1、使用 ip verfy unicast reverse-path 网络接口命令 这个功能检查每一个经过路由器的数据包。在路由器的CEF（Cisco Express Forwarding）表该数据包所到达网络接口的所有路由项中，如果没有该数据包源IP地址的路由，路由器将丢弃该数据包。例如，路由器接收到一个源IP地址为1.2.3.4的数据包，如果CEF路由表中没有为IP地址1.2.3.4提供任何路由（即反向数据包传输时所需的路由），则路由器会丢弃它。 单一地址反向传输路径转发（Unicast Reverse Path Forwarding）在ISP（局端）实现阻止SMURF攻击和其它基于IP地址伪装的攻击。这能够保护网络和客户免受来自互联网其它地方的侵扰。使用Unicast RPF需要打开路由器的"CEF swithing"或"CEF distributed switching"选项。不需要将输入接口配置为CEF交换（switching）。只要该路由器打开了CEF功能，所有独立的网络接口都可以配置为其它交换（switching）模式。RPF（反向传输路径转发）属于在一个网络接口或子接口上激活的输入端功能，处理路由器接收的数据包。 在路由器上打开CEF功能是非常重要的，因为RPF必须依靠CEF。Unicast RPF包含在支持CEF的Cisco IOS 12.0及以上版本中，但不支持Cisco IOS 11.2或11.3版本。 2、使用访问控制列表（ACL）过滤RFC 1918中列出的所有地址 参考以下例子： interface xy ip access-group 101 in access-list 101 deny ip 10.0.0.0 0.255.255.255 any access-list 101 deny ip 192.168.0.0 0.0.255.255 any access-list 101 deny ip 172.16.0.0 0.15.255.255 any access-list 101 permit ip any any 3、参照RFC 2267，使用访问控制列表（ACL）过滤进出报文 参考以下例子： {ISP中心} -- ISP端边界路由器 -- 客户端边界路由器 -- {客户端网络} ISP端边界路由器应该只接受源地址属于客户端网络的通信，而客户端网络则应该只接受源地址未被客户端网络过滤的通信。以下是ISP端边界路由器的访问控制列表（ACL）例子： access-list 190 permit ip {客户端网络} {客户端网络掩码} any access-list 190 deny ip any any [log] interface {内部网络接口} {网络接口号} ip access-group 190 in 以下是客户端边界路由器的ACL例子： access-list 187 deny ip {客户端网络} {客户端网络掩码} any access-list 187 permit ip any any access-list 188 permit ip {客户端网络} {客户端网络掩码} any access-list 188 deny ip any any interface {外部网络接口} {网络接口号} ip access-group 187 in ip access-group 188 out 如果打开了CEF功能，通过使用单一地址反向路径转发（Unicast RPF），能够充分地缩短访问控制列表（ACL）的长度以提高路由器性能。为了支持Unicast RPF，只需在路由器完全打开CEF；打开这个功能的网络接口并不需要是CEF交换接口。 4、使用CAR（Control Access Rate）限制ICMP数据包流量速率 参考以下例子： interface xy rate-limit output access-group 2020 3000000 512000 786000 conform-action transmit exceed-action drop access-list 2020 permit icmp any any echo-reply 请参阅IOS Essential Features 获取更详细资料。
一、确保系统的安全
1、确保服务器的系统文件是最新的版本,并及时更新系统补丁。
2、管理员需对所有主机进行检查，知道访问者的来源。
3、过滤不必要的服务和端口，可以使用工具来过滤不必要的服务和端口，即在路由器上过滤假IP。
4、限制同时打开的SYN半连接数目,缩短SYN半连接的time out 时间,限制SYN/ICMP流量。
5、正确设置防火墙，在防火墙上运行端口映射程序或端口扫描程序。
分布式拒绝服务攻击（Distributed Denial of Service），是指处于不同位置的多个攻击者同时向一个或数个目标发动攻击。由于攻击的发出点是分布在不同地方的，这类攻击称为分布式拒绝服务攻击。
DDoS 是一种基于 DoS 的特殊形式的拒绝服务攻击。单一的 DoS 攻击一般是采用一对一方式，利用网络协议和操作系统的缺陷，采用欺骗和伪装的策略来进行网络攻击，使网站服务器充斥大量要求回复的信息，消耗网络带宽或系统资源，导致网络或系统不胜负荷以至于瘫痪而停止提供正常的网络服务。与 DoS 相比，DDos 借助数百上千台攻击机形成集群，发起的规模更大，更难防御的一种进攻行为。
