qq3250845

.............

qq3250845

............

qq3250845

https://www.sdisp.net/

qq3250845

DHDISCOVER反射攻击：可将攻击放大近200倍



全球有约31万个IP开放了DHDiscover服务，存在被利用进行DDoS攻击的风险。

开放DHDiscover服务的资产暴露数量最多的五个国家依次是韩国、巴西、越南、中国和美国。

通过对绿盟威胁捕获系统在2020年6月1日到2020年8月18日捕获到的访问37810端口的日志数据进行分析，从6月初到8月上旬攻击呈现上升趋势，8月中旬有所下降，单蜜罐单日捕获数据包数量最大达到了90万个。

绿盟威胁捕获系统捕获的攻击报文长度主要为4字节（54.7%）和62字节（44.9%）。

我们采用了两种方式来对DHDiscover的带宽放大因子进行评估：一是发送62字节的报文，可以得到DHDiscover的平均带宽放大因子为11.4；二是发送4字节的报文，可以得到DHDiscover的平均带宽放大因子为178.8，约有53.6%的DHDiscover服务会对这一报文进行响应，近200倍的带宽放大因子值得引起重视。

绿盟威胁捕获系统数据显示，美国是受DHDiscover反射攻击影响最严重的国家，美国的IP占全部受害者IP的42%。

具备DHDiscover反射攻击能力的样本最早出现于2019年12月7日，当前已经有至少5个样本具备该反射攻击能力。随着攻击者发现其实际放大倍数可达近200倍，相信会有更多的样本中内置该反射攻击能力。

最后，我们也提出了我们对于设备发现类服务在设计层面的思考。设备发现类协议设计的初衷是方便局域网内的设备发现，所以，一般在进行设备发现时，采用的是多播地址。因此，我们认为比较理想的设备发现报文回复策略为：

对多播报文进行回复。

如果是单播报文，判断发送方的IP是否和设备的IP在同一网段，如果在同一网段则回复。也可以把这一策略改为判断发送方的IP是否为局域网IP。

若不为1、2，则不回复。同时，设备加入Discovery回复任意单播报文的功能，可在需要时由用户开启，但是设备出厂时默认关闭该功能。

一、DHDiscover简介

2020年3月，腾讯发表了一篇关于某DVR被用于反射攻击的文章[1]。该DVR的服务端口为37810，因其探测报文中包含DHDiscover字样，因此，我们将其称之为DHDiscover服务。

DHDiscover服务探测报文长度为62字节，设备返回的内容如下所示，可以看到关于设备的很多信息，如MAC地址、设备类型、设备型号、HTTP Port、设备序列号、设备版本号等，因此，我们推测该服务被用于设备发现：

\x00\x00\x00DHIP\x00\x00\x00\x00\x00\x00\x00\x00\xa6\x02\x00\x00\x00\x00\x00\x00\xa6\x02\x00\x00\x00\x00\x00\x00{“mac”:”38:af:29:26:f8:80″,”method”:”client.notifyDevInfo”,”params”:{“deviceInfo”:{“AlarmInputChannels”:16,”AlarmOutputChannels”:3,”DeviceClass”:”HCVR”,”DeviceType”:”DH-********-*”,”Find”:”BD”,”HttpPort”:80,”IPv4Address”:{“DefaultGateway”:”192.168.0.1″,”DhcpEnable”:true,”IPAddress”:”192.168.0.19″,”SubnetMask”:”255.255.255.0″},”IPv6Address”:{“DefaultGateway”:””,”DhcpEnable”:null,”IPAddress”:”\\/64″,”LinkLocalAddress”:”fe80::3aaf:29ff:fe24:****\\/64″},”Init”:166,”MachineName”:”XVR”,”Manufacturer”:”Private”,”Port”:37777,”RemoteVideoInputChannels”:0,”SerialNo”:”4D019B8PAZ4****”,”Vendor”:”Private”,”Version”:”4.000.10****.0″,”VideoInputChannels”:16,”VideoOutputChannels”:0}}}\n\x00’

我们将DHDiscover相关关键词在威胁情报平台AlienVault OTX进行了检索，检索方式为Google: DHDiscover.search sitetx.alienvault.com/。

我们对这5个样本出现的时间进行了简要分析，发现有1个样本最早出现在2019年12月7日（注：第一个样本的时间数据来自AlienVault OTX，其他样本的时间数据以及所有样本的下载URL数据来自VirusTotal。），并且这个样本处于持续活跃的状态，有1个样本出现在2020年3月3日，还有3个样本出现在2020年4月13日。

样本MD5出现时间

73697e97fb48df3d9b52a4fa4d97c074        http://144.217.34.147/jug7 http://ip04.montreal01.cloud.hosthavoc.com/jug7        2019/12/7-2020/8/18

ccbd299499183b3b889951071182fcb1        http://104.168.215.223/jibmips        2020/3/3

b46d2b948d239e257445b6c62f41a6df        http://103.214.6.199/fuk.mips64        2020/4/13

a58b18742f910ee979bd55678ad6e54a        http://103.214.6.199/fuk.mips        2020/4/13

c29ed229587825b425b215b8f9f2ef5e        http://103.214.6.199/fuk.spc        2020/4/13

表 1.1 相关样本及其出现时间

二、DHDiscover服务暴露情况分析

本章我们对DHDiscover服务的暴露情况进行了分析，采用的是绿盟威胁情报中心（NTI）在2020年6月的一轮完整测绘数据。

全球有约31万个IP开放了DHDiscover服务，存在被利用进行DDoS攻击的风险。

在绿盟威胁捕获系统的数据中，我们不只捕获了对37810端口的DHDiscover服务探测行为，也在23000端口捕获到少量探测行为。因此，我们对这两个端口分别进行了一轮测绘。过滤掉无关数据后，发现开放37810端口的资产多达30万个，而开放23000端口的资产也有7000多个。

开放DHDiscover服务的资产暴露数量最多的五个国家依次是韩国、巴西、越南、中国和美国。

三、DHDiscover反射攻击分析

本章我们通过绿盟威胁捕获系统在2020年6月1日到2020年8月18日捕获到的访问37810端口的日志数据来说明当前DHDiscover反射攻击的威胁态势。

我们对绿盟威胁捕获系统捕获到的37810端口的日志数量进行了分析。可以看出从6月初到8月上旬攻击呈现上升趋势，8月中旬有所下降，单蜜罐单日捕获数据包数量最大达到了90万个。

DHDiscover服务被访问趋势

我们对37810端口收到的日志数据中的payload进行了统计，出于尽量不扩散攻击报文的考虑，这里我们按照出现的报文的长度对其命名。从图 3.2 中可以看出，攻击者较常使用的Payload的长度有4字节和62字节，其中，62字节的Payload也在腾讯写的文章中被提及过。

绿盟威胁捕获系统捕获的payload占比情况

结合绿盟威胁捕获系统捕获的payload占比情况，我们分别采用Payload4和Payload62进行了一轮全网测绘。如表 3.1 所示，53.6%的DHDiscover服务对Payload4进行了响应，这些IP可能造成的反射攻击带宽放大因子（放大因子我们采用NDSS 2014的论文Amplification Hell: Revisiting Network Protocols for DDoS Abuse上对于带宽放大因子的定义，不包含UDP的报文头。）[2]高达178.5。通过采用Payload62进行测绘，可以得到DHDiscover服务的全网暴露情况，由此得到的带宽放大因子为11.4。

发送报文长度        响应报文平均长度        响应数量        带宽放大因子

4        714.1        165335        178.5

62        705.3        308198        11.4

表 3.1 DHDiscover反射攻击带宽放大因子评估

DHDiscover反射攻击受害者IP数量的国家分布情况如图 3.3 所示。从图中可以看出，美国是受害最严重的国家，美国的IP占全部受害者IP的42%。

注意：这里我们对单IP单日包数大于50个的数据进行的统计。

DHDiscover反射攻击受害者的国家分布

四、结语

借助绿盟威胁情报中心（NTI）的全网测绘数据和绿盟威胁捕获系统的威胁捕获数据，本文对DHDiscover服务的全网暴露情况、反射攻击趋势、攻击者常用的攻击手法、反射攻击带宽放大因子等进行了分析。DHDiscover是视频监控设备的设备发现服务，在此之前，我们也对WS-Discovery[3]进行过分析，视频监控组织ONVIF选择了将WS-Discovery作为设备发现协议，在我们去年的数据中，约73万开放WS-Discovery服务的视频监控设备暴露在了互联网上。因此，DHDiscover和WS-Discovery等设备发现服务需要引起视频监控厂商的重视。

由于DHDiscover服务暴露数量较多，因此，我们也与相关厂商进行了联系。厂商给我们的反馈是，其已经在产品中提供了Discovery启用和关闭功能，但是由于出厂时并不知道客户在公网还是受限网络部署设备，因此默认这个功能是开启的，但客户可以选择将这个功能关闭。另外，设备也提供了防火墙功能，客户可以根据实际需求进行配置，被拒绝访问的IP网段无法与设备进行通信。如果用户的设备中还未发现这两个功能，可以通过官网或者云升级等方式将设备升级。

我们认为Discovery类DDoS的检测和防护是一个多方参与的事情，因此，我们有如下建议。

1. 作为安全厂商：

扫描能力，及时发现客户网络中存在的安全隐患。

的流量检测能力，及时发现客户网络中存在的安全威胁。也可以关联开放Discovery服务的IP的威胁情报，阻断命中的源IP的连接。

2. 作为设备开发商，除提供服务开启关闭、黑白名单功能外，我们建议加入白名单自学习能力，根据用户的使用习惯自动生成白名单，并推荐用户进行相关配置。同时设计更合理的设备发现方法，规避设备被用于进行反射攻击的风险。

3. 作为电信运营商，需遵循BCP38网络入口过滤。

4. 作为监管部门，对于网络中的DHDiscover威胁进行监控，发现问题进行通报。

5. 作为Discovery相关设备用户，可以设置设备访问白名单，如无必要，也可以关闭Discovery功能。

6. 作为有DDoS防护需求的用户，购买具备Discovery反射攻击防护能力的安全厂商的DDoS防护产品。

我们从去年开始持续关注与物联网相关的反射攻击，也在不断思考，是否有办法能够从根本上解决这一问题呢？

设备发现类协议设计的初衷是方便局域网内的设备发现，所以，一般在进行设备发现时，采用的是多播地址。比如WS-Discovery采用的地址是239.255.255.250。由于手头没有实验设备，所以我们也不清楚DHDiscover采用的地址是什么，但必然是某一多播地址。而在反射攻击时，攻击者其实是直接给目标设备（IP）发送的探测报文，是单播。因此，可以在设备端对收到的设备发现报文进行分析，判断报文是单播报文，还是多播报文，如果是单播，就不响应就好。这样做的话，理论上可以从根本上解决设备发现服务带来的反射攻击的问题，而且，潜在的好处是，设备发现端口在公网不会被扫描到了。另外，这种方式也不会对未升级的设备的使用带来任何不良影响。在实际使用中，通过单播方式进行设备发现可能也有其使用场景。因此，我们认为比较理想的设备发现报文回复策略为：

1. 对多播报文进行回复。

2. 如果是单播报文，判断发送方的IP是否和设备的IP在同一网段，如果在同一网段则回复。也可以把这一策略改为判断发送方的IP是否为局域网IP。

3. 若不为1、2，则不回复。同时，设备加入Discovery回复任意单播报文的功能，可在需要时由用户开启，但是设备出厂时默认关闭该功能。

qq3250845

https://www.sdisp.net/

qq3250845

经常听别人说，接D单、CC单，CC不也是拒绝服务攻击吗？和DDOS两者有什么区别呢？很多人都分不清楚DDoS攻击和CC攻击的区别。

CC攻击全称Challenge Collapsar，中文意思是挑战黑洞，因为以前的抵抗DDoS攻击的安全设备叫黑洞，顾名思义挑战黑洞就是说黑洞拿这种攻击没办法，CC攻击的原理是通过代理服务器或者大量肉鸡模拟多个用户访问目标网站的动态页面，制造大量的后台数据库查询动作，消耗目标CPU资源，造成拒绝服务。

DDoS全称是分布式拒绝服务(Distributed Denial of Service)，简单的说就是攻击者操控大量的傀儡机，对你的服务器进行大量看似合法的访问，占用服务器的服务资源，从而使真正的用户的请求无法得到服务的响应。CC不像DDoS可以用硬件防火墙来过滤攻击，CC攻击本身的请求就是正常的请求。

网站应该怎样做好CC防护和DDoS防护：

基本原理是基于一种智能识别的计算能力，使用深度学习的算法，可以快速地产生安全情报和安全策略，实现智能识别大规模攻击并自动切换高防IP，实现对DDoS、CC防护。而当节点未受攻击时，用户的资源请求可正常从CDN节点获取，达到加速效果。

我们都知道网站的页面有静态和动态之分，动态网页是需要与后台数据库进行交互的，比如一些论坛用户登录的时候需要去数据库查询你的等级、权限等等，当你留言的时候又需要查询权限、同步数据等等，这就消耗很多CPU资源，造成静态网页能打开，但是需要和数据库交互的动态网页打开慢或者无法打开的现象。这种攻击方式相对于前两种实现要相对复杂一些，但是防御起来要简单的多，提供服务的企业只要尽量少用动态网页并且让一些操作提供验证码就能达到一定的CC防护效果。

DDoS攻击的模式改变了传统的点对点的攻击模式，使攻击方式出现了没有规律的情况，而且在进行攻击的时候，通常使用的也是常见的协议和服务，这样只是从协议和服务的类型上是很难对攻击进行区分。在进行攻击的时候，攻击数据包都是经过伪装的，在源IP 地址上也是进行伪造的，这样就很难对攻击进行地址的确定，在查找方面也是很难的。

这里能看出来DDoS和CC的区别，DDoS攻击打的是网站的服务器，而CC攻击是针对网站的页面攻击的，用术语来说就是，一个是WEB网络层拒绝服务攻击（DDoS），一个是WEB应用层拒绝服务攻击（CC），网络层就是利用肉鸡的流量去攻击目标网站的服务器，针对比较本源的东西去攻击，服务器瘫痪了，那么运行在服务器上的网站肯定也不能正常访问了。

而应用层就是我们用户看得到的东西，就比如说网页，CC攻击就是针对网页来攻击的，CC攻击本身是正常请求，网站动态页面的正常请求也会和数据库进行交互的，当这种"正常请求"达到一种程度的时候，服务器就会响应不过来，从而崩溃。每次双十一，在大家都忙着准备抢购商品的时候，各大电商平台的机房往往是灯火通明，紧张观察一切动态，各种流量清洗设备，软件硬件都用上了，就是怕到时候服务器崩掉了，那损失可不止一点，电商平台在这方面的投入资金也是比较大的。

qq3250845

XSS攻击全称跨站脚本攻击，是一种在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。

常见的 XSS 攻击有三种：反射型XSS攻击、DOM-based 型XXS攻击以及存储型XSS攻击。

1.反射型XSS攻击

反射型 XSS 一般是攻击者通过特定手法（如电子邮件），诱使用户去访问一个包含恶意代码的 URL，当受害者点击这些专门设计的链接的时候，恶意代码会直接在受害者主机上的浏览器执行。反射型XSS通常出现在网站的搜索栏、用户登录口等地方，常用来窃取客户端 Cookies 或进行钓鱼欺骗。

2.存储型XSS攻击

也叫持久型XSS，主要将XSS代码提交存储在服务器端（数据库，内存，文件系统等），下次请求目标页面时不用再提交XSS代码。当目标用户访问该页面获取数据时，XSS代码会从服务器解析之后加载出来，返回到浏览器做正常的HTML和JS解析执行，XSS攻击就发生了。存储型 XSS 一般出现在网站留言、评论、博客日志等交互处，恶意脚本存储到客户端或者服务端的数据库中。

3.DOM-based 型XSS攻击

基于 DOM 的 XSS 攻击是指通过恶意脚本修改页面的 DOM 结构，是纯粹发生在客户端的攻击。DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞。

如何防御XSS攻击？

1. 对输入内容的特定字符进行编码，例如表示 html标记的 < > 等符号。

2. 对重要的 cookie设置 httpOnly, 防止客户端通过document.cookie读取 cookie，此 HTTP头由服务端设置。

3. 将不可信的值输出 URL参数之前，进行 URLEncode操作，而对于从 URL参数中获取值一定要进行格式检测（比如你需要的时URL，就判读是否满足URL格式）。

4. 不要使用 e val来解析并运行不确定的数据或代码，对于 JSON解析请使用 JSON.parse() 方法。

5. 后端接口也应该要做到关键字符过滤的问题。

以上，是给大家分享的关于XSS攻击的全部内容，大家记得收藏方便以后查看哦。如今，各种类型网络攻击日益频繁，除了XSS攻击之外，比较常见的网络攻击类型还包括DDoS攻击、CC攻击等，它们非常难以防御，除了需要做好日常网络安全防护之外，还需要接入高防服务，可以接入恒欣高防，通过恒欣高防隐藏源IP，对攻击流量进行清洗，保障企业网络及业务的正常运行。

qq3250845

DDoS攻击是最常见的网络攻击类型，尽管技术含量低，但攻击力强，难防御，让很多互联网企业非常头疼。

根据不同的协议类型和攻击模式，我们可以将DDOS分为SYN Flood、ACK Flood、UDP Flood、NTP Flood、SSDP Flood、DNS Flood、HTTP Flood、ICMP Flood、CC等攻击类型。

每种类型的攻击都有其自身的特点，反射式DDoS攻击是一种新的变体。攻击者不是直接攻击目标服务IP，而是使用Internet的一些特例来打开服务器。通过伪造Attackee的IP地址，将构造好的请求消息以开放服务方式发送给服务器，服务器将比请求消息多几倍的回复数据发送给被攻击的IP，以便攻击者将回复数据发送给被攻击的IP。DDOS攻击是间接形成的。实际上，攻击者使用更多的木偶机器进行攻击。他们不直接将攻击包发送给受害者，而是假装是受害者，然后将包发送给放大器，放大器随后通过放大器反射回受害者。在反射攻击中，攻击者利用网络协议的缺陷或漏洞来欺骗IP，主要是因为许多协议（如ICMP、UDP等）没有对源IP进行身份验证。同时，为了达到更好的攻击效果，黑客通常选择具有放大效果的协议服务进行攻击。综上所述，IP欺骗用于反射和放大，从而达到4到2组千克的效果。

DNS反射攻击
DNS服务是整个互联网的基础服务。当我们连接到互联网时，我们需要通过DNS解析将域名转换成相应的IP地址。理论上，ISP的DNS服务器只响应来自其自身客户端IP的DNS查询响应，但实际上，互联网上大量DNS服务的默认配置丢失，导致响应所有IP的DNS查询请求。同时，大多数DNS使用没有握手过程的UDP协议来验证请求的源IP。攻击者（实际上是由攻击者控制的傀儡机）将大量伪造的请求从受害者IP发送到DNS服务器，该服务器充当一个放大器来回复受害者的DNS响应。

NTP反射攻击
NTP是网络时间协议的缩写，是用于同步计算机时间的网络协议。ntp包含一个monlist函数，也称为mon-getlist，主要用于监视ntp服务器。当ntp服务器响应monlist时，它们返回与ntp服务器同步的最后600个客户机的IP。响应包分为六个IP包，最多100个响应包。我们可以通过ntpdc命令向ntp服务器发送monlist，并结合抓包查看实际效果。在上面的命令行中，我们可以看到一个包含monlist的请求收到了602行数据，除了前两行是无效数据之外，它碰巧是600个客户机IP列表。从上图中的Wireshare，我们还可以看到有101个NTP协议包，除了一个请求包，恰好是100个响应包。

反射 DDoS 攻击由于难以追踪、且不需要大量的肉鸡等特点，越来越流行，势必会对业务造成很大的威胁。除了需要各方通力合作对互联网上的设备和服务进行安全管理和安全配置消除反射站点之外，还需要在服务端做好防御准备，比如增加 ACL 过滤规则和 DDoS 清洗服务。建议接入恒欣盾高防，利用DDoS 流量的清洗技术，过滤恶意流量，保证企业服务器的正常运行。

qq3250845

什么是流量清洗？

流量清洗服务是提供给租用IDC服务的高防客户，针对DDoS攻击/DOS攻击的监控、告警和防护的一种网络安全服务。

流量清洗的运作原理是什么？

当流量被送到DDoS防护清洗中心时，通过流量清洗技术，将正常流量和恶意流量区分开，正常的流量则回注客户网站。保证高防客户网络的正常运行。那么对于典型的DDoS攻击响应中，流量首先进入流量清洗中心，随后将此分类成基础架构攻击流量或者应用层攻击流量。之后还会进行进一步区分，主要通过向量和期待特征确定，通过采用DDoS中心的专属技术来处理实现。

流量清洗如何防御DDoS攻击？

流量清洗一般是通过两种技术来防御DDoS攻击：

1. DDOS流量检测技术

高防通过用户流量模型的学习，通过分组分析和人内用户流量统计，自动形成用户流量模型的基线。基于该基线检测装置，可以实时监测用户的业务流。当检测到用户流量异常时，检测设备将攻击报告给专用业务管理平台。通过异常流量限速和云漫网络自主开发的静态漏洞攻击特征检测、动态规则过滤和指纹识别技术，实现多级安全防护，在各种网络上准确检测和拦截DoS/DDOS攻击和未知恶意流量。

2. DDOS流量牵引技术

当用户的服务器受到DDoS攻击时，为了动态地将用户的流量拖到流清洗中心，该流净化中心利用所述中继或所述转接协议，首先在所述城域网中的用户业务路径上与多个核心设备建立连接。当发生攻击时，恒欣盾流量清洗中心通过BGP协议向核心路由器发出通知，更新核心路由器上的路由表条目，动态拖动所有核心设备上受攻击服务器的流量到流量清洗中心进行清洗。

qq3250845

一、什么是DDoS攻击？

DDOS的全称“Distributed Denial of Service”，中文意思是分布式拒绝服务。该攻击方式利用目标系统网络服务功能缺陷或者直接消耗其系统资源。使得该目标系统无法提供正常的服务。

二、什么是CC攻击？

CC的全称“Challenge Collapsar”，中文意思是挑战黑洞。顾名思义挑战黑洞就是说黑洞拿这种攻击没办法。CC攻击的原理是通过代理服务器或者大量肉鸡模拟多个用户访问目标网站的动态页面。制造大量的后台数据库查询动作，消耗目标CPU资源，造成拒绝服务。

三、DDoS和CC攻击有什么区别？

主要是攻击方式和针对对象的不同。DDOS主要针对IP的攻击，而CC攻击的主要是网页。

四、为什么DDoS攻击和CC攻击越来越泛滥？

随着互联网的发展，企业对互联网依赖性越来越强，来自于同行的竞争激烈，一些非法同行采用极端激进的竞争方式，从中获取流量利益。而且DDoS已经有很完整的产业链了，想要对目标发起攻击变得越来越简单，攻击成本也越来越低了。

五、如何防御DDoS攻击和CC攻击？

我们永远无法预知DDOS攻击或CC攻击什么时候会来袭，却又无法完全避免。但是我们能做到的是巩固检测以及防御。接下来恒欣国内白帽子二十人组核心成员孤之剑介绍几种常见的防护手段：

1、隐藏服务器IP

可以选择将所有的域名以及子域名都使用CDN来解析，这样可以隐藏服务器的真实IP，从而也不容易让服务器被DDOS攻击。不要把域名直接解析到服务器的真实IP地址，不能让服务器真实IP泄漏。

2、持续更新系统

首先我们就是要保障服务器软件没有任何安全漏洞，避免攻击者入侵。一定要确定服务器是采用最新系统，并打上安全补丁。在服务器上删除未使用的服务，关掉未使用的端口号。对于服务器上运作的网站，保证其打了最新的补丁，没有网络安全问题。因为，只有保证自身安全，才能让“敌人”没有可趁之机。

3、发送邮件要小心

一般情况下，服务器对外传送信息会泄漏IP，因此，大家最好别用服务器来大量发送邮件。假如一定要发送邮件，可以通过第三方代理软件进行发送，这样显示出来的IP是代理IP，也不容易暴露服务器真实IP。另外，现在80%以上的网络攻击都是从一封钓鱼邮件开始的。因而，除了不要“明目张胆”的发送邮件外，对于，来路不明的邮件、文件以及链接也不要轻易的点击，以防招来麻烦。

4、选择专业的高防服务

像金融、电商、游戏、直播等DDoS攻击高危行业，建议可以选择专业的高防服务防御，恒欣高防以防护SYN Flood、UDP Flood、ACK Flood、ICMP Flood、DNS Query Flood、NTP reply Flood、CC百万级并发攻击等三到七层DDoS攻击，隐藏源IP，保障服务器稳定运行。

最后，知名安全论坛版主安大师一点点经验给到大家，市场高防产品众多，价格也参差不齐，很多安全公司为了用低价吸引用户，推出的所谓的高防其实防不了多大流量，用户在选择高防产品时不要只看重价格，要进行多方面对比和参考。企业也要提高自身的网络安全意识，做好必要的防护措施，在威胁来临时才不会自乱阵脚。